Lifehack

Настоящее — третье. Да, оно самое кричащее: эмодзи, капслок, «успейте». Но оно ничего от вас не требует — ни подтвердить личность, ни оплатить, ни войти по ссылке. Оно сообщает, а проверить предлагает в приложении, где вы и так авторизованы. Реклама в письме — признак маркетолога, а не мошенника.

Письмо №1. Сумма в 87 рублей — не случайность, а расчёт: крупную человек пойдёт проверять, а мелкую многие оплатят, лишь бы отстали. Деньги тут вообще не цель — цель в том, чтобы вы ввели данные карты в форму на чужом сайте. Плюс дедлайн, сужающий время на размышление, и главное — платёжное действие по ссылке из письма.

Письмо №2. Опаснее первого, потому что бьёт не в жадность, а в страх: вам сообщают о взломе, и вы жмёте кнопку, чтобы защититься. Кнопка ведёт на копию страницы входа, где вы своими руками отдаёте логин, пароль и код из СМС. Ультиматум с таймером на 24 часа — приём давления. Город и модель телефона тоже приём: конкретика создаёт ощущение, что отправитель что-то про вас знает.

Почему проверка отправителя больше не спасает

Неприятная новость для тех, кто привык смотреть на домен. По данным Яндекс 360, за первое полугодие 2026 года число попыток спуфинга — подделки адреса отправителя — выросло на 50%, зафиксировано около 20 млн случаев. В СМС работает то же самое: сообщение падает в одну ветку с настоящими уведомлениями банка, потому что подделана подпись отправителя. Сам банк при этом никто не взламывал.

Смотреть на домен всё ещё полезно — часто он отличается буквой, дефисом или лишним словом. Но чистый домен больше не доказывает, что письмо настоящее.

Там же: количество картинок в письмах выросло на 33% — текст прячут внутрь изображений, чтобы его не прочитал антиспам. Письмо из одной большой картинки — уже повод насторожиться.

Вывод, который экономит время

Специалисты по безопасности формулируют это так: **смотрите не на оформление письма, а на действие, которого от вас требуют.**

Логотип подделывается, вёрстка копируется, адрес отправителя подделывается, текст пишет нейросеть без ошибок. А список действий, ради которых существует фишинг, короткий:

— перейти по ссылке и ввести логин с паролем;

— назвать код из СМС или подтвердить push;

— ввести данные карты;

— установить приложение по прямой ссылке.

Требуют что-то из этого — дальше можно не разглядывать шрифты. Закрываете письмо, открываете приложение банка или маркетплейса напрямую и проверяете там. Если речь о блокировке, оплате или входе в аккаунт, это почти наверняка отразится и в приложении. А если не отразилось — тем более есть о чём спросить поддержку, набрав номер с карты, а не из письма.

Тридцать секунд. Работает против любого дизайна, домена и нейросети.

И да, схема с 87 рублями отлично работает на родителях. Перешлите им тест — пусть тоже угадают.

А теперь честно в комментариях: угадали с первого раза или третье письмо тоже показалось подозрительным? Судя по тому, как оно свёрстано, — вы такие не одни.

Разборы свежих схем — в канале: Life-Hack - Хакер

Второй способ изящнее: голос записывают у вас сами, добровольно. «Коммерсантъ» ещё в прошлом году описывал схему, где мошенники звонят под видом социологов и просят поучаствовать в опросе — вам задают вопросы, вы охотно отвечаете, материал собран. Чтобы итоговая запись звучала естественнее, поверх накладывают шумы плохой связи и фоновые звуки улицы.

Так что если вам звонит бодрый голос с вопросом «оцените по пятибалльной шкале работу нашей поликлиники» — вы, возможно, только что начитали дикторский материал для будущего развода собственной мамы.

Насколько это массово

В июне 2026 года на Петербургском юридическом форуме замначальника Следственного департамента МВД Данил Филиппов назвал дипфейк самой опасной технологией в руках мошенников. По данным ведомства, за пять месяцев 2026 года от таких схем пострадали около 4 тысяч человек, а доля дипфейковых эпизодов составила примерно 4% зарегистрированных мошеннических киберпреступлений.

С суммой ущерба вышло забавно: разные издания, пересказывая одно и то же выступление, назвали то 2 миллиарда рублей, то 21 миллиард. Разброс в десять раз — похоже, где-то по дороге в редакцию потерялся ноль. Так что по числу пострадавших цифрам верить можно, а сумму ущерба держите в голове с большим допуском.

Что не разошлось — так это оценка доступности. По словам того же представителя МВД, в сети работает больше 150 тысяч сервисов, генерирующих дипфейки. Порог входа для мошенника сейчас — это не хакерские навыки, а умение загрузить аудиофайл на сайт.

Отдельно МВД предупреждает, что схема эволюционирует: от заранее записанных голосовых мошенники переходят к подмене голоса и лица в реальном времени. По оценке ведомства, массово в криминальной среде такие инструменты пока не разошлись, но в отдельных схемах уже встречаются. То есть речь не только о голосовом от «сына» — можно и поговорить с ним по видеосвязи.

Что реально работает

Совет, который повторяют все — от МВД до депутатов Госдумы и Би-би-си, — звучит смешно, но работает: **договоритесь с семьёй о кодовом слове**.

Важные детали, которые обычно упускают:

Слово не должно угадываться. Не кличка кота, не девичья фамилия мамы, не дата свадьбы — всё это либо есть в соцсетях, либо всплывёт в утечках. Работает что-нибудь абсурдное: «синий носок», «пельмень», случайное число.

Слово нельзя пересылать в переписке. Договариваться о нём надо голосом при личной встрече, иначе оно уедет вместе со взломанным аккаунтом.

Если человек начинает давить («ты что, мне не веришь?», «времени нет!») вместо того чтобы назвать слово — это ответ. Разговор окончен.

Второй рабочий вариант, если кодового слова нет: задать вопрос о том, чего нет ни в открытых источниках, ни в вашей переписке. Это важная оговорка — если аккаунт взломан, всю историю чата мошенник читает вместе с вами, и «что ты мне подарил на Новый год» он спокойно оттуда достанет. Спрашивать надо про то, что вы обсуждали только вживую: где именно застряли позапрошлым августом, что сказала бабушка на дне рождения. Дипфейк не знает вашей общей биографии — он знает только тембр и содержимое чата.

И самое простое: **положите трубку и перезвоните сами**. Не по номеру из сообщения, а по тому, что у вас в контактах. Тридцать секунд неловкости против всех денег на карте — размен так себе выгодный для мошенника.

Если уже перевели

Звонить в банк немедленно — но без иллюзий. Если перевод вы сделали сами, своими руками, банк обязан возместить ущерб только в узких случаях: например, если деньги ушли на реквизиты из базы ЦБ, а он не предупредил и не задержал операцию. Статистика невесёлая: во втором квартале 2026 года через СБП мошенники похитили больше 2,74 млрд рублей, а возместить удалось лишь 2,1% от этой суммы.

Это не повод не звонить — счёт получателя ещё могут заблокировать, пока деньги не увели дальше. И обязательно заявление в полицию: даже если конкретно ваши деньги вернуть не выйдет, эпизод пойдёт в общую картину, а по этим схемам их сейчас собирают активно.

И да, отдельно поговорите об этом с родителями и бабушками. Не в формате «мам, ну ты не ведись», а конкретно: придумайте слово, запишите на бумажке, положите рядом с телефоном. Голос в трубке теперь не доказательство вообще ничего.

Разборы свежих схем и того, как их вычислять, — в канале: OSINT

Схема известна с ковидных времён, когда все резко ушли на удалёнку: на видеозвонок выходит подставной сотрудник, а вместо его лица и голоса — дипфейк нужного кандидата. Раньше для этого нужна была команда и заметный бюджет. Сейчас разработчики сервисов биометрической проверки утверждают, что убедительного дипфейк-кандидата — с подменённым лицом и клонированным голосом — можно собрать примерно за час (здесь стоит сделать скидку на то, что это оценка компании, которая сама продаёт защиту от таких дипфейков, но порядок цифр похож на правду).

Цель обычно не украсть данные компании в моменте, а именно устроиться и получать зарплату — иногда сразу в нескольких местах параллельно. Эксперты «Лаборатории Касперского» пока называют такие случаи редкими, но растущими: ИИ снижает порог входа для мошенников с любым уровнем подготовки.

ИИ-боты в Telegram: помощник, который на самом деле ворует пароли

В конце мая 2026 года Дуров выкатил в Telegram ботов-секретарей — автоматических помощников для личных сообщений. Мошенники отреагировали быстрее службы поддержки: уже через неделю появились фальшивые сервисы и чат-боты, которые маскируются под такого помощника, а на деле воруют пароли, доступы к криптокошелькам и содержимое переписок. По оценке экспертов, схема успела задеть несколько тысяч человек, а ущерб в России уже превысил 10 млн рублей.

Отдельная история — голосовые сообщения. Специалисты по кибербезопасности показывали, что для клонирования голоса хватает трёх секунд записи — а она почти у всех есть в истории переписки взломанного аккаунта. Дальше мошенники рассылают вашим контактам голосовое якобы от вас с просьбой срочно перевести денег. По опросам, почти половина людей готова отреагировать на такое сообщение от «знакомого», не проверяя его.

Фишинговое письмо, которое раньше писала команда, теперь пишет одна нейросеть

С офисным фишингом всё ещё интереснее. По данным свежего отчёта KnowBe4 (апрель 2026), ИИ уже участвует в написании порядка 86% всех проанализированных фишинговых писем — год назад было около 82%. IBM в своём исследовании посчитала разницу в скорости: команда безопасников тратит на подготовку убедительной фишинговой рассылки около 16 часов, нейросеть — 5 промптов и 5 минут.

Инструменты для этого не прячутся в даркнете за семью печатями. Один из вариантов WormGPT, по данным исследователей Cato Networks, вообще работал как обычный бот в Telegram поверх модели Grok — мошенник просто обошёл её системные ограничения промптом. Итог — фишинговые письма без корявого перевода и нелепых ошибок, которые раньше выдавали мошенника с первой строчки.

Заодно поясняет и куда более скучную с виду статистику: по данным российского Центра мониторинга информационной безопасности, только с начала 2026 года количество готовых инструментов для взлома выросло — именно за счёт того, что часть работы за хакеров теперь делает ИИ.

— Ты точно живой человек?

— Да, конечно.

— А если я попрошу резко повернуть голову и дотронуться до уха?

— …

— Алло?

Что с этим реально делать

На видеозвонках с малознакомыми людьми — особенно если решается вопрос про деньги, доступы или трудоустройство — не стесняйтесь просить резко повернуть голову, поднести руку к лицу или ответить на неожиданный вопрос не по сценарию: дипфейки в реальном времени такое пока обрабатывают с заметной задержкой или искажениями.

Голосовому сообщению с просьбой перевести деньги — даже от близкого человека — не верьте на слово, перезвоните и переспросите что-то, что знаете только вы вдвоём.

Сторонние боты и сервисы, обещающие «прокачать» официальные функции мессенджера, ставьте только из проверенных источников — а лучше не ставьте вовсе, пока функция не обкатана хотя бы полгода.

И да, письмо от «руководителя» с грамотным русским и правильно расставленными запятыми — это давно не признак того, что оно настоящее. Раньше — да, сейчас — нет.

Больше разборов подобных схем и подборок ИИ-инструментов — в каналах: Life-Hack - AI и Life-Hack - Хакер.

В начале 2025 года Роскомнадзор нашёл в открытом доступе базу РЖД на 17 миллионов строк с данными сотрудников — ФИО, должности, почта. Суд оштрафовал компанию... на 150 тысяч рублей. РЖД подала апелляцию, доказала, что утечка — результат кибератаки хакерской группировки, а не халатности компании, и штраф отменили. В июне 2026-го кассация это подтвердила: виновата атака, а не РЖД.

Почта России отделалась теми же 150 тысячами — за утечку базы из 26 миллионов строк.

Детская онлайн-школа «Юкидс» слила данные примерно 300–500 тысяч клиентов: имена, телефоны, почты. По новой статье грозило от 5 до 10 млн рублей. Заплатили 400 тысяч — суд учёл статус микропредприятия и снизил штраф ниже нижнего предела.

Единственный, кому не удалось отбиться, — Минтруд. Утекло всего 1400 записей, зато самых «вкусных»: паспортные данные и реквизиты карт. Ведомство пыталось всё свалить на подрядчика — мол, взломали его инфраструктуру, мы ни при чём. Верховный суд в январе 2026-го ответил коротко: оператор данных — вы, значит, отвечаете вы, а не тот, кому вы их передали. Штраф — 100 тысяч рублей, устоял во всех инстанциях.

Вот и вся математика: закон обещает сотни миллионов, а по факту за утечки 2025–2026 годов больше всего заплатил... никто. Максимум — 400 тысяч рублей за данные почти полумиллиона человек, включая детей.

— Данные утекли? — Да. — Кто виноват? — Хакеры, не мы. — Штраф? — Минимальный. Или вообще отменили. — А оборотный, на сотни миллионов? — Так это же за повторную утечку. Пока никто не попался дважды.

Юристы, которых цитирует «Коммерсантъ», прямо говорят: нынешняя мягкость судов — это, скорее всего, период адаптации к новым правилам, а не постоянная практика. Так что за вторую утечку кому-то однажды прилетит по полной программе — вопрос времени.

Что это значит лично для вас: если ваши данные утекли из условного банка или маркетплейса, не рассчитывайте, что компания в ближайшее время понесёт ощутимое наказание. Единственная реальная защита — проверять самому, не всплыли ли ваши данные в открытом доступе, и вовремя менять то, что можно поменять: пароли, скомпрометированные карты, привязки к аккаунтам.

Как быстро проверить, утекли ли лично ваши данные, и что делать дальше — разбирали в канале, залетайте!

То есть примерно:

— Давай проверим, умеет ли наш ИИ взламывать.
— Давай.
— Только вот здесь.
— Хорошо.
— Почему он уже там?
— А это точно наш ИИ?

И вот здесь начинается самое интересное.

Проблема не в том, что ИИ внезапно возненавидел человечество и решил стать хакером. Ему дали задачу искать и использовать уязвимости — и он оказался способен делать это довольно самостоятельно.

А теперь представьте такую штуку в руках злоумышленника. Раньше человеку пришлось бы вручную искать уязвимость за уязвимостью, пробовать разные способы атаки и решать, что делать дальше.

Теперь ИИ может делать это сам: искать дыру → пробовать ее использовать → получать доступ → искать, куда двигаться дальше. Вот поэтому ситуация уже не выглядит как забавный эксперимент с нейросетью. Кстати, больше подобных историй мы публикуем в Telegram.

OpenAI объявила, что приостанавливает часть тестирования и усиливает меры безопасности после этого инцидента. Компания планирует жестче изолировать модели и добавить дополнительный мониторинг. То есть, по сути, OpenAI признает: существующих мер безопасности оказалось недостаточно.

Короче, мы дошли до довольно забавного момента.

Люди создали ИИ, чтобы он помогал искать уязвимости. Теперь людям приходится учиться защищаться от ИИ, который сам умеет искать и эксплуатировать эти уязвимости.

А теперь вопрос: а нам-то, обычным пользователям, какая разница? Большая. Если такие агенты попадут к злоумышленникам, они смогут гораздо быстрее искать уязвимости в сайтах и сервисах, взламывать системы и добираться до данных пользователей. То, на что раньше требовались специалисты, время и деньги, частично можно будет автоматизировать. И атаковать станет проще не только крупные компании, но и небольшие сервисы, которыми мы пользуемся каждый день.

А вас уже бесит, что ИИ постепенно лезет во все сферы жизни, или пока норм? И как думаете, станет ли от таких автономных агентов только веселее? 🙂

И тут хочется спросить:

Ребята, а проверить, что ИИ вам там насочинял, совсем времени не было?

Ну факт же — нейросеть может написать очень убедительный текст, даже дать красивую ссылку, автора, название исследования и год публикации. И все это может оказаться полной ерундой и поставить пятно на репутации.

Но лично нас больше всего забавляет другое. Компания рассказывает бизнесу, как правильно использовать ИИ, а сама попалась на главной ошибке ИИ — поверила ему на слово. Больше интересных новостей в нашем Телеграме.

А вы встречались с галлюцинациями ИИ? Расскажите в комментариях, что именно он успел вам насочинять. Нам, например, ИИ как-то рассказал про сервис, которого не существует. С названием, описанием функций и ссылкой. Очень убедительно. Только кликать было некуда. 😅 

И вот тут мы немного зависли. А зачем фитнес-клубу вообще столько всего знать обо мне? Я иду ноги качать. Почему у вас остается моя фотография? Почему вы знаете, когда я прихожу, в какой именно клуб, что покупаю?

Да, у каждого пункта наверняка есть разумное объяснение. Фото — для идентификации, посещения — для учета абонемента, покупки — для бухгалтерии. Но в сумме получается довольно подробный цифровой портрет человека.

И самое прекрасное: мы добровольно отдаем все эти данные, потому что хотим просто купить абонемент и спокойно ходить в зал. А потом читаем: «Компания усилила меры безопасности после инцидента».

Ну спасибо 😐

Может, иногда стоит сначала спросить себя не «как надежно мы это защитим?», а «а нам точно нужно это собирать?» А вы вообще задумывались, сколько данных о вас хранит ваш фитнес-клуб — и считаете ли нормальным, что ему нужны фото и история ваших посещений? 

Больше новостей в нашем Телеграм.