Ing. Calogero Bono
6 ноября 2026 года CSIRT Italia, группа реагирования на киберинциденты Национального агентства кибербезопасности Италии, сообщила о возвращении кампании смишинга под видом SEND и PagoPA. SMS выглядят так, будто их отправили сервисы PagoPA, и говорят об административном штрафе. Ссылка ведет на страницу, которая копирует официальный сайт и крадет личные и платежные данные. Это важно, потому что сообщение играет на страхе перед штрафом и бьет по гражданам и сотрудникам.
Несколько терминов, прежде чем перейти к фактам. Смишинг это фишинг через SMS, то есть поддельное сообщение, которое подталкивает нажать на ссылку. SEND это Servizio Notifiche Digitali, Сервис цифровых уведомлений, которым доставляют официальные акты и уведомления. PagoPA это платформа платежей в пользу государственной администрации. CSIRT Italia это группа, которая отслеживает киберугрозы и публикует предупреждения. IoC это индикаторы компрометации, например адреса сайтов, которые используют злоумышленники.
Что обнаружил CSIRT Italia?
Согласно предупреждению AL01/261106/CSIRT-ITA, кампания представляет собой возобновление активности, о которой сообщали раньше. Это новая волна той же схемы, а не неизвестная техника.
Заявленная цель это побудить пользователей зайти на веб-ресурсы, созданные для кражи личных данных, учетных данных и сведений о платежных инструментах.
Как устроено поддельное SMS?
Отправитель выглядит как связанный с сервисами PagoPA. Текст упоминает якобы поступившее сообщение об административном штрафе и предлагает проверить протокол по ссылке в теле сообщения.
Механизм классический. Штраф создает срочность, а срочность снижает внимательность. Тем, кто работает с корпоративной почтой, эта схема знакома, и мы писали о ней в материале фишинг и мошенничество по электронной почте, как распознать их в компании.
Что произойдет, если нажать на ссылку?
CSIRT сообщает, что жертву перенаправляют на страницу, которая точно воспроизводит графический интерфейс официальных сервисов SEND и PagoPA. Эта страница создана злоумышленниками для кражи конфиденциальной и финансовой информации.
В предупреждении приведен адрес как индикатор, записанный в обезвреженном виде, чтобы исключить случайные переходы. Домен заканчивается на .eu.cc и не является официальным адресом.
Как защититься?
CSIRT подтверждает те же меры смягчения, что и в исходном предупреждении, которое находится в разделе Связанные на официальной странице. В тексте этого нового сообщения они не перечислены по пунктам, поэтому полный список нужно смотреть в том документе.
Проблема обманчивых SMS касается и других сфер телефонии, как показывает случай SMS of Death и уязвимость CVE-2026-58882, хотя это совсем другая история.
Ограничения, которые стоит знать
Предупреждение не говорит, сколько людей получили сообщения, с какого точного момента они ходят и кто стоит за кампанией. Оно также не описывает точный текст сообщения, который показан только на рисунке. Адреса, которые используют злоумышленники, могут меняться быстро, поэтому опубликованный индикатор может быть уже не последним.
Что это меняет для тех, кто работает с цифровыми сервисами
Для компании риск двойной. Сотрудники могут попасться с личного или рабочего телефона, а кража учетных данных или платежной информации может затронуть счета компании. Стоит объяснить персоналу, что SEND и PagoPA не запрашивают данные через ссылки в SMS сомнительного происхождения. Тем, кто управляет цифровыми идентификаторами, можно также посмотреть регламент 1.0 IT-Wallet, полезный для понимания того, как меняются цифровые госуслуги.
Наше мнение
Этот случай показывает, что самый эффективный фишинг по-прежнему тот, который имитирует государственное учреждение и использует тревожную тему. Сложные технологии не нужны, достаточно правдоподобной графики. Важно и то, что предупреждение скупо на меры защиты и отсылает к предыдущему документу, что заставляет читателя искать информацию самостоятельно. Для профилактики важнее обучение и привычки, чем инструменты. Полезны и понятные разъяснения государственной администрации о том, как она НЕ связывается с гражданами.
Часто задаваемые вопросы
Что такое смишинг под видом PagoPA?
Это кампания поддельных SMS, которые выглядят так, будто их отправил PagoPA. Они говорят об административном штрафе и просят нажать на ссылку. Ссылка ведет на подделку.
Кто опубликовал предупреждение?
CSIRT Italia, часть Национального агентства кибербезопасности. Предупреждение имеет номер AL01/261106/CSIRT-ITA и датировано 6 ноября 2026 года.
Какие данные пытаются украсть злоумышленники?
Личные данные, учетные данные для входа и сведения о платежных инструментах. По словам CSIRT, поддельная страница нужна для кражи конфиденциальной и финансовой информации.
Кампания новая?
Нет, это возобновление. CSIRT говорит о кампании, о которой уже сообщали раньше, и теперь пошла новая волна сообщений.
Где найти меры защиты?
В исходном предупреждении, на которое есть ссылка в разделе Связанные на официальной странице. CSIRT повторяет те же рекомендации, не переписывая их.
Что отслеживать, пока кампания продолжается
Кампании смишинга приходят волнами и меняют адреса и предлоги. Стоит следить за официальными обновлениями.
- Смотри страницу CSIRT Italia и исходное предупреждение, чтобы узнать полный список мер.
- Проверяй, не появились ли новые версии предупреждения с другими индикаторами.
- Сообщай внутреннему IT-отделу о подозрительных SMS, полученных сотрудниками, чтобы выявлять всплески атак.
