Міжнародна група «NiceNIC»

Основні висновки

• Кожен шістнадцятий домен — це фішинговий сайт. В результаті повного сканування зони, що налічує 351 701 доменів, зареєстрованих у NiceNIC, було виявлено 22 535 підтверджених фішингових сторінок — рівень зараженості склав 6,4 %. Для реєстратора такого масштабу цей показник є надзвичайно високим; базовий показник у галузі становить значно менше 0,5 %.
• Криптовалютні платформи є основною ціллю. Лише на долю Coinbase припадало 3 798 підроблених доменів, при цьому Ledger (1 317) та Kraken (1 214) також стали об’єктами інтенсивних атак. Ця схема відповідає організованим операціям зі збору початкових фраз, в рамках яких домени реєструються масово, використовуються протягом короткого часу, а потім замінюються на нову інфраструктуру.
• Сплески реєстрації свідчать про скоординовану діяльність зловмисників. 16 червня 2026 року за один день було зареєстровано 1 382 фішингові домени — це в 14,9 раза перевищує середньодобовий показник. Сплески такого масштабу не виникають спонтанно; вони свідчать про те, що за цим стоїть невелика кількість зловмисників, які мають прямі зв’язки з реєстраторами, заздалегідь затверджені способи оплати та автоматизовані процеси реєстрації.
• .com домінує, але основні домени верхнього рівня слугують додатковим варіантом. З 351 701 перевірених доменів 194 812 (55,4 %) використовують домен .com. Однак управління компанією NiceNIC доменами .vip (27 121 доменів) та .icu (16 517 доменів) забезпечує недорогі канали масової реєстрації, якими зловмисники активно користуються, коли домени .com важко швидко придбати.
• Механізм реагування на зловживання структурно відсутній. PhishDestroy надіслав сотні повідомлень про зловживання до NiceNIC через різні канали повідомлення. Рівень видалення активних фішингових ресурсів залишається близьким до нуля. Домени, які отримують повідомлення про видалення, часто знову з’являються протягом 24–48 годин під тим самим обліковим записом реєстратора, що свідчить про відсутність заходів щодо дотримання правил на рівні облікового запису.
• Повний набір даних зберігається у відкритому архіві. Кожен фішинговий домен, дата реєстрації, бренд, що став об’єктом атаки, та повідомлення про зловживання задокументовані у відкритому репозиторії доказів. Дані структуровані таким чином, щоб їх можна було використовувати правоохоронними органами та для перевірки на відповідність вимогам ICANN.

Потік даних про виявлення в режимі реального часу

Найсвіжіші фішингові домени NiceNIC, виявлені сервісом PhishDestroy. Інформація постійно оновлюється.

Докази та пов’язані з ними розслідування