Молдова под прицелом: STISC предупреждает о фишинговой кампании против госучреждений

Государственная служба ИТ и кибербезопасности Молдовы сообщила о целевой spear phishing атаке на госучреждения: письма с mail.ru, архивы .7z и .zip и исполняемые файлы под видом платёжек.

Государственная служба информационных технологий и кибербезопасности Республики Молдова (STISC) выпустила предупреждение о целевой фишинговой кампании, нацеленной прежде всего на государственные учреждения. Злоумышленники рассылают письма с вложениями, замаскированными под финансовые документы, и пытаются выманить пароли и конфиденциальные данные. Это не массовый спам «на удачу», а прицельная охота на конкретные организации — и именно поэтому она опаснее, чем кажется на первый взгляд.

Что именно произошло

Согласно сообщению STISC, опубликованному во вторник, 13 октября 2026 года, вредоносные письма рассылаются с различных адресов, связанных с доменом @mail.ru. Внутри писем — архивы в форматах .7z или .zip, а уже в них лежат исполняемые файлы .bat. Имена файлов подобраны так, чтобы не вызывать подозрений у бухгалтера или делопроизводителя: «Ordin de plată» («Платёжное поручение») и «Facturi achitate» («Оплаченные счета»).

Логика атаки строится на повседневной рутине. Сотрудник государственного учреждения ежедневно получает десятки счетов, платёжек и подтверждений — и вложение с таким названием не выделяется из потока. Достаточно одного двойного клика, чтобы на машине запустился сценарий, который способен скомпрометировать информационную систему и обеспечить несанкционированный сбор учётных данных, cookie-файлов и информации об активных сессиях.

Особенно тревожная деталь: по данным STISC, вредоносная программа может завершить свою работу, не оставив явных следов. Для служб информационной безопасности это означает, что факт компрометации может остаться незамеченным — а значит, и время реакции на инцидент растягивается с часов до недель.

Почему это не рядовой спам

Термин spear phishing («целевой фишинг») здесь ключевой. В отличие от массовых рассылок, которые бьют по миллионам адресов в надежде на статистику, целевая атака предполагает предварительную разведку: злоумышленники знают, в какие учреждения пишут, как там устроен документооборот и какие формулировки выглядят естественно. Выбор домена @mail.ru тоже неслучаен — это один из самых распространённых почтовых сервисов в регионе, и письмо с такого адреса не выглядит экзотикой.

Использование архивов с паролем или просто с нестандартным расширением — классический обход почтовых фильтров. Шлюзы, которые уверенно ловят «голый» .exe во вложении, часто пропускают .7z с исполняемым файлом внутри. А формат .bat вообще редко вызывает подозрение у нетехнических сотрудников: это всего лишь «командный файл», который в Windows запускается двойным кликом без каких-либо предупреждений системы.

Внимание: файлы с расширениями .bat, .cmd, .js, .vbs и .lnk внутри архивов — это почти всегда признак вредоносной рассылки. Легитимные бухгалтерские документы в таких форматах не приходят.

Кому адресована кампания

STISC прямо указывает: в зоне риска — государственные учреждения. Но останавливаться на этом было бы ошибкой. Ведомственная специфика здесь вторична, а первична роль человека в цепочке. Атака нацелена на сотрудников, которые работают с финансами, договорами и входящей корреспонденцией — то есть на бухгалтерию, канцелярию, тендерные отделы, юридические службы.

Из этого следует простой вывод, актуальный не только для госсектора. Любая организация, где есть отдел, ежедневно разбирающий счета и платёжные поручения, находится в той же группе риска: частные компании, банки, страховщики, логистика, промышленность. Атака не «про Молдову» и не «про госучреждения» — она про конкретный бизнес-процесс, который легко эксплуатировать.

Отдельного внимания заслуживает кража cookie-файлов и данных активных сессий. Это не просто «увели логин и пароль». Украденная сессионная cookie позволяет обойти многофакторную аутентификацию: злоумышленнику не нужно вводить код из SMS или приложения-аутентификатора — он просто подставляет украденный токен и оказывается внутри системы как легитимный пользователь. Для защитных систем такой вход выглядит абсолютно нормально.

Что рекомендует STISC

Служба сформулировала набор рекомендаций, адресованных как учреждениям, так и рядовым гражданам. Они выглядят простыми, но именно их игнорирование и открывает дорогу атаке:

• не переходить по ссылкам и не открывать вложения в подозрительных сообщениях;
• внимательно проверять адрес отправителя, даже если имя кажется знакомым;
• беречь пароли, коды аутентификации и конфиденциальную информацию;
• с осторожностью относиться к письмам, требующим срочных или необычных действий;
• сообщать о подозрительных письмах ответственным за информационную безопасность.

Последний пункт — самый недооценённый. В большинстве организаций сотрудник, заподозривший фишинг, просто удаляет письмо и идёт дальше. Между тем именно сообщение об инциденте даёт службе ИБ шанс увидеть кампанию целиком: сколько писем пришло, кому, с каких адресов, кто уже открыл вложение. Без этого сигнала атака остаётся невидимой вплоть до момента, когда последствия становятся необратимыми.

Важно: если сотрудник уже открыл подозрительное вложение, недостаточно просто удалить письмо. Необходимо немедленно изолировать машину от сети, сменить пароли со стороны и отозвать активные сессии — украденные cookie продолжают работать даже после смены пароля.

Взгляд со стороны пентеста

С точки зрения специалистов по тестированию на проникновение, эта кампания — учебник по тому, как обходят формальные меры защиты. Антивирус может не сработать на свежем .bat-скрипте. Почтовый шлюз пропустит архив. Средства защиты от утечек данных не увидят ничего необычного, потому что данные уходят небольшими порциями вместе с обычным трафиком. А отсутствие явных следов работы вредоносной программы означает, что в логах не будет громкого события, за которое зацепится дежурный аналитик SOC.

Именно поэтому оценка устойчивости организации к целевой фишинговой атаке не сводится к проверке «стоит ли антивирус». Проверять нужно всю цепочку: насколько легко определить поддельный адрес отправителя, что произойдёт при запуске скрипта на рабочей станции, есть ли сегментация сети, ограничивающая перемещение злоумышленника, как быстро служба ИБ заметит аномальный вход с украденной сессией, и существует ли отлаженный процесс отзыва токенов. Практика показывает, что слабое звено почти всегда находится не в технологиях, а в процедурах и в готовности людей действовать по регламенту.

Что делать дальше

STISC призывает государственные учреждения, компании и граждан проявлять повышенную бдительность при работе с электронной почтой, чтобы предотвратить кражу данных и компрометацию информационных систем. Это предупреждение стоит воспринимать не как формальность, а как сигнал к пересмотру собственных защитных мер.

Разумный минимум для организации, получившей такое уведомление: проверить, как настроена фильтрация вложений на почтовом шлюзе, убедиться, что блокировка макросов и запуск скриптов из временных папок ограничены политиками, включить многофакторную аутентификацию везде, где это возможно, и — что критично — обеспечить возможность быстрого отзыва сессий и сброса токенов, а не только смены паролей. И, разумеется, напомнить сотрудникам, что «Ordin de plată» из архива, пришедшего с незнакомого адреса, — это не бухгалтерский документ, а попытка взлома.

Кампания, о которой сообщил STISC, вряд ли окажется последней. Целевой фишинг против госсектора и корпоративного периметра — устойчивый тренд, потому что он дёшев для атакующего и результативен против человека. Единственный надёжный ответ здесь — не разовая проверка, а постоянная готовность: технические ограничения, обученные люди и отлаженный процесс реагирования, который работает быстрее, чем злоумышленник успевает воспользоваться украденной сессией.