В 2026 году произошла фундаментальная смена парадигмы в кибербезопасности. Если раньше мы говорили о новаторских программных эксплойтах и продвинутом вредоносном ПО для конечных точек, то теперь облачные приложения и идентичности стали "нулевым пациентом" современных нарушений. Но это еще не все. Этот сдвиг сопровождался эволюцией самих путей атак — эволюцией, к которой многие команды безопасности не приспособились. Лучший способ понять этот сдвиг — признать, что браузер стал новой конечной точкой.
Ключевая статистика: 1 из 2 фишинговых payload перехвачены через неконтролируемые каналы (поисковики, соцсети); фишинговые домены ротируются каждые 2 дня; 95% браузерных атак используют bot-protection для сокрытия; 90% фишинговых китов используют AI-генерацию; 30+ новых device code phishing китов в 2026 году (с нуля в прошлом); 4 из 5 ClickFix страниц доступны через malvertising и SEO poisoning.
Современный фишинг — это уже не просто кража учетных данных. Техники фишинга выглядят совсем иначе, чем даже несколько лет назад. Когда-то фишинг означал просто кражу credentials или отправку вредоносного ПО по email. Теперь фишинговые атаки регулярно обходят MFA, нацеливаясь на сессии и токены, а не на учетные данные, и принимают несколько различных форм — ввод device code, авторизация consent grant, установка браузерного расширения или даже прямое выполнение вредоносного кода на машине путем копирования и вставки вредоносной команды.
Злоумышленники злоупотребляют широким спектром легитимных, доверенных сервисов для размещения вредоносного контента, benign decoy страниц и redirect chains — что позволяет им сливаться с нормальным веб-трафиком и оставаться незамеченными. Сервисы вроде Microsoft Dynamics, SharePoint, Adobe, Google Firebase, Google Sites, Jotform, Linode, Azure, Cloudflare, Atlassian и многие другие часто используются злоумышленниками. Они даже используют легитимные bot protection tools для обхода других легитимных security tools для сканирования и анализа веб-контента, что означает, что страницы остаются необнаруженными до тех пор, пока не станет слишком поздно.
| Тип атаки | Механизм | Цель |
|---|---|---|
| AiTM (Adversary-in-the-Middle) | Reverse proxy между жертвой и легитимной страницей входа | Кража session token в реальном времени |
| Device Code Phishing | Злоупотребление OAuth 2.0 device authorization flow | Получение access token без credentials |
| BITM (Browser-in-the-Middle) | Screen sharing технология (noVNC) для стриминга браузера | Жертва входит на браузере атакующего |
| BITB (Browser-in-the-Browser) | Фейковый browser popup внутри страницы | Имитация легитимного login URL |
| Consent Phishing | Обман пользователей для предоставления OAuth permissions | Персистентный API-level доступ к данным |
| ClickFix | Fake CAPTCHA/error messages загружают вредоносные команды в clipboard | Установка infostealer или RAT |
Device code phishing злоупотребляет потоком авторизации устройств OAuth 2.0 — атакующий генерирует легитимный device code и обманом заставляет жертву ввести его, предоставляя атакующему валидный access token, никогда не касаясь credentials жертвы. В 2026 году было каталогизировано более 30 новых device code phishing китов, поскольку злоумышленники быстро внедряют новые техники — по сравнению с нулем в прошлом году.
ClickFix атаки используют различные приманки, такие как fake CAPTCHA страницы, сообщения об ошибках или prompts установки для тихой загрузки вредоносных команд в clipboard жертвы и инструктируют их вставить и выполнить payload, который обычно устанавливает infostealer или remote access tool. Обнаружение охватывает все семейство x-Fix — ClickFix, FileFix, CrashFix, ConsentFix и InstallFix — через единое обнаружение класса техники.
Большинство ваших существующих средств контроля не были разработаны с учетом браузерных атак. Любой red teamer скажет вам: только потому, что инструмент противодействует атаке на бумаге, не означает, что нет способа обойти его на практике. Традиционные средства безопасности имеют частичную видимость в лучшем случае, когда речь заходит о браузерных атаках.
| Канал доставки | Статус проверки | Инспектируется |
|---|---|---|
| Инспектируется | Secure email gateway (SEG) | |
| Social DMs | Не инспектируется | Нет security tool |
| Slack / Teams | Не инспектируется | Нет security tool |
| SMS | Не инспектируется | Нет security tool |
| Docs & Invites | Не инспектируется | Нет security tool |
| Search Ads | Не инспектируется | Нет security tool |
| In-app messages | Не инспектируется | Нет security tool |
| Service Desk | Не инспектируется | Нет security tool |
| Vishing | Не инспектируется | Нет security tool |
Злоумышленники достигают своих целей во множестве различных мест, а не только в email. Пользователи могут наткнуться на вредоносный контент практически везде, где они работают в браузере. Поисковые системы, IM платформы и приложения социальных сетей становятся все более популярными векторами доставки как альтернатива email. Вредоносная реклама распространяется через Google Search и Facebook, LinkedIn DM и job posts используются для распространения фишинговых ссылок. Эти каналы практически не имеют скрининга контента или сообщений и невидимы для средств безопасности, в то же время являясь местами, где пользователи не обучены подозревать нечестную игру.
Злоумышленники не только используют доверенные сайты и bot protection, они комбинируют их с техниками уклонения от обнаружения, такими как rapid domain rotation, сложные redirect chains и screening checks для фильтрации нежелательных посетителей. Между тем, современные фишинговые страницы разработаны как disposable. Так что даже если они будут обнаружены, злоумышленники проактивно сносят и поднимают новые страницы, чтобы опережать blocklists. Среднее время, в течение которого большинство фишинговых доменов остаются активными перед ротацией на свежий, составляет всего 2 дня, что позволяет избегать обнаружения заблокированных URL.
Техники уклонения: 95% in-browser атак используют bot-protection services для сокрытия от security tools; rapid domain rotation каждые 2 дня; сложные redirect chains; screening checks для фильтрации security scanners; использование легитимных сервисов (SharePoint, Firebase, Google Sites) для хостинга вредоносного контента.
Session hijacking происходит, когда атакующий крадет валидный session token, обычно через infostealer malware или фишинг, и воспроизводит его из своего собственного браузера, чтобы захватить аутентифицированную сессию. Credential stuffing использует украденные пары username-password из breached databases и infostealer logs для попытки входов в масштабе, эксплуатируя повторное использование паролей между сервисами.
Consent phishing обманом заставляет пользователей предоставлять OAuth permissions вредоносному приложению, давая атакующему персистентный API-level доступ к данным жертвы без необходимости в их пароле. ConsentFix оборачивает злоупотребление OAuth consent в приманку стиля ClickFix — fake verification page проводит жертву через одобрение вредоносного consent grant.
Social media phishing доставляет вредоносные ссылки через доверенные платформы вроде LinkedIn — recruiter outreach, direct messages и connection requests приводят жертв к фишинговым страницам, загрузкам malware или другим payloads полностью вне поля зрения email security. Malvertising использует платные поисковые объявления или display ads для размещения вредоносных ссылок над легитимными результатами, направляя жертв к фишинговым страницам или загрузкам malware, сливаясь с легитимными результатами поиска.
| Атака | Механизм обхода | Результат |
|---|---|---|
| AiTM | Reverse proxy ретранслирует MFA challenges | Кража session token после MFA |
| Device Code | Легитимный OAuth flow | Access token без credentials |
| Consent Phishing | OAuth permissions grant | Персистентный API доступ |
| ClickFix | Clipboard hijack через fake prompts | Выполнение вредоносного кода |
| Session Hijacking | Воспроизведение stolen token | Захват аутентифицированной сессии |
Вредоносные браузерные расширения либо начинают как откровенно вредоносные, либо становятся скомпрометированными через supply chain атаки, такие как transfers собственности и escalations разрешений, получая широкий доступ к данным браузинга и credentials. Вредоносные загрузки файлов доставляют malware payloads через браузер via вредоносные и скомпрометированные веб-страницы.
AI-powered атаки стали нормой в 2026 году. 90% фишинговых китов, проанализированных Push в 2026 году, включают какой-либо вид AI-сгенерированного tell. Злоумышленники используют AI для создания убедительных фишинговых страниц, генерации персонализированных сообщений и адаптации атак к конкретным целям. Это делает традиционные signature-based методы обнаружения практически бесполезными.
Эффективная защита от браузерных атак требует поведенческого анализа, а не reliance на domain blocklists или known kit signatures. Современные решения обнаруживают AiTM фишинговые страницы поведенчески — анализируя структуру страницы, поведение скриптов и mechanics сбора credentials, а не полагаясь на domain blocklists или известные сигнатуры китов. Password protection блокирует ввод credentials на страницах, которые не принадлежат identity provider этих credentials.
Для device code phishing современные решения обнаруживают и блокируют device code phishing kits, останавливая атаку до того, как пользователь завершит authorization flow. App-agnostic warnings доставляются во время device code authentication flow, предупреждая пользователей до того, как они авторизуют устройство, которое они не контролируют. Для consent phishing решения мониторят и могут блокировать OAuth consent flows across 20+ authorization servers, записывая client ID, scopes и outcome в реальном времени. Security teams могут управлять и удалять вредоносные OAuth apps из консоли управления.
| Тип защиты | Механизм | Эффективность |
|---|---|---|
| Behavioral detection | Анализ page structure и script behavior | Обнаружение неизвестных угроз |
| Password protection | Блокировка ввода credentials на неправильных страницах | Предотвращение credential theft |
| OAuth monitoring | Мониторинг consent flows в реальном времени | Блокировка malicious app grants |
| Session markers | Уникальные маркеры в каждой сессии | Обнаружение stolen tokens |
| Browser sync detection | Обнаружение синхронизации в personal browsers | Предотвращение credential leakage |
Для защиты от session hijacking современные решения инжектируют уникальный маркер в каждую сессию, исходящую из защищенного браузера — если этот session token позже появляется в uninstrumented браузере, он подтверждается как украденный. Browser sync detection ловит corporate credentials, синхронизирующиеся в personal browser profiles, закрывая общий путь утечки tokens и credentials.
Для credential stuffing решения обнаруживают, когда сотрудники входят с слабыми, повторно используемыми или breached паролями, которые появились в infostealer logs, позволяя remediation до того, как они станут векторами атак. MFA enforcement через in-browser guardrails обеспечивает, чтобы сотрудники enroll в MFA, закрывая gaps, на которые полагается credential stuffing.
Комплексная защита: Behavioral analysis вместо signature-based detection; real-time monitoring OAuth flows; password protection на уровне браузера; session token markers для обнаружения hijacking; inventory и анализ browser extensions; configurable blocking rules для file downloads; защита от всех каналов доставки (email, social, search, IM).
Для malicious extensions решения инвентаризируют все browser extensions across организации с полным permissions analysis, давая security teams visibility в то, что установлено. Malicious extension detection и blocking идентифицирует и удаляет known-malicious extensions across любого браузера в среде. Для file downloads решения стримят все file download events в SIEM с полной metadata, давая security teams visibility в то, что загружается и откуда. Configurable blocking rules предотвращают risky downloads на основе file type, extension, file name patterns, browser profile и user group.
Браузер действительно стал новым полем боя в кибербезопасности 2026 года. Традиционные средства защиты, разработанные для email-based угроз и endpoint malware, не справляются с современными браузерными атаками, которые используют легитимные сервисы, обходят MFA и уклоняются от обнаружения через sophisticated техники. Organizations должны пересмотреть свои стратегии безопасности и внедрить решения, специально разработанные для защиты браузерного perimетра.
Будущее кибербезопасности лежит в поведенческом анализе, real-time monitoring и comprehensive visibility во все браузерные активности. Только такой подход может эффективно противостоять evolving threat landscape, где злоумышленники постоянно адаптируют свои техники для обхода традиционных защит. Браузер больше не просто окно в интернет — это критический компонент корпоративной инфраструктуры, требующий dedicated security controls.
«В современной кибербезопасности периметр больше не определяется сетевыми firewall'ами. Периметр — это браузер, и если вы не защищаете его должным образом, вы не защищены вообще».
— Брюс Шнайер, криптограф и эксперт по кибербезопасности
