Международная группа NiceNIC

Основные выводы

• Каждый шестнадцатый домен — это фишинговый сайт. В ходе полного сканирования 351 701 домена, зарегистрированных в NiceNIC, мы выявили 22 535 подтвержденных фишинговых страниц — уровень зараженности составил 6,4 %. Для регистратора такого масштаба этот показатель является исключительным; средний показатель по отрасли значительно ниже 0,5 %.
• Основной целью являются криптовалютные платформы. На долю одной только Coinbase пришлось 3 798 поддельных доменов, при этом Ledger (1 317) и Kraken (1 214) также стали объектами массированных атак. Эта схема характерна для организованных операций по сбору сед-фраз, в ходе которых регистрируются домены оптом, эксплуатируются в течение короткого времени, а затем используются новые серверы.
• Всплески регистраций свидетельствуют о скоординированной деятельности злоумышленников. 16 июня 2026 года за один день было зарегистрировано 1 382 фишинговых домена — это в 14,9 раза превышает среднесуточный показатель. Всплески такой масштабности не возникают спонтанно; они свидетельствуют о наличии небольшого числа злоумышленников, имеющих прямые связи с регистраторами, заранее одобренные способы оплаты и автоматизированные механизмы регистрации доменов.
• .com занимает доминирующее положение, но основная масса доменов верхнего уровня служит в качестве резервных. Из 351 701 просканированных доменов 194 812 (55,4 %) используют домен .com. Однако управление NiceNIC доменами .vip (27 121 домен) и .icu (16 517 доменов) обеспечивает недорогие каналы массовой регистрации, которыми злоумышленники активно пользуются, когда домены .com трудно быстро приобрести.
• Механизмы реагирования на случаи злоупотреблений структурно отсутствуют. PhishDestroy направил в NiceNIC сотни сообщений о злоупотреблениях через различные каналы. Показатели удаления доменных имен, связанных с действующей фишинговой инфраструктурой, остаются близки к нулю. Домены, в отношении которых направляются уведомления об удалении, часто вновь регистрируются в течение 24–48 часов на той же учетной записи регистратора, что свидетельствует об отсутствии мер воздействия на уровне учетной записи.
• Полный набор данных находится в общедоступном архиве. Каждый фишинговый домен, дата регистрации, бренд, ставший целью атаки, и каждое сообщение о злоупотреблении фиксируются в общедоступном репозитории доказательств. Данные структурированы таким образом, чтобы их можно было передавать правоохранительным органам и использовать при проверке на соответствие требованиям ICANN.

Поток данных о обнаруженных угрозах в режиме реального времени

Самые последние фишинговые домены NiceNIC, обнаруженные сервисом PhishDestroy. Информация обновляется постоянно.

Доказательства и связанное с ними расследование