Исследователи KnowBe4 Threat Lab зафиксировали фишинговые кампании, где признаки применения ИИ видны на всех этапах: в тексте писем, скрытых блоках, HTML-разметке и коде страниц для сбора учётных данных. По их оценке, языковые модели помогают операторам создавать убедительные приманки и копии известных сервисов, но одновременно оставляют повторяющиеся стилистические и технические артефакты, полезные для выявления и кластеризации кампаний.
Авторами исследования указаны Дживан Сингх Джалал, Прабхакаран Равичандиран и Шихар Далела. Кампании были нацелены на организации в разных секторах по всему миру. Подтверждений того, что они ориентированы именно на российские организации, в исследовании нет.
Что обнаружили
- вектор атак — фишинговые письма;
- ИИ применялся для генерации контента, подготовки кода и, по оценке авторов, персонализации приманок;
- фишинговые ресурсы размещали на no-code-платформах;
- для обхода анализа использовали скрытый текст, Unicode-гомоглифы и шумовые токены;
- идентифицируемые артефакты LLM встречались от текста письма до исходного кода фишинговых страниц.
Качество текста больше не служит надёжной проверкой
Фишинг долго опирался на ошибки в словах, неестественные формулировки и неточно скопированный брендинг. Поэтому обучение пользователей часто сводилось к простой эвристике: заметить опечатку и не перейти по ссылке.
По данным последнего отчёта KnowBe4 о тенденциях фишинга, за шесть месяцев ИИ в той или иной форме использовался в 86% зафиксированных фишинговых атак. Такие письма могут быть грамотно написаны, персонализированы, не содержать грамматических ошибок и достаточно точно воспроизводить фирменный стиль сервиса.
Авторы приводят и отраслевые показатели: кликабельность фишинговых кампаний, созданных с применением ИИ, достигает примерно 54%, тогда как у традиционно подготовленных кампаний она составляет 12%. В отчёте Cisco Talos о тенденциях реагирования на инциденты за первый квартал 2026 года фишинг вновь назван основным вектором первоначального доступа, опередив эксплуатацию уязвимостей. По миру ежедневно рассылается около 2–4 млрд фишинговых писем.
Цель работы KnowBe4 — не просто зафиксировать использование ИИ, а описать оставляемые им следы и их значение для защитных команд.
Служебная преамбула, шумовые токены и гомоглифы
В одном из писем с требованием выкупа исследователи нашли в первой строке фразу: «Вот текст сообщения, отформатированный и разбитый на разделы:». По оценке KnowBe4, это служебная преамбула, которую языковая модель сгенерировала перед основным текстом, а отправитель не удалил перед рассылкой.
Для получателя такая строка выглядит как бессмысленный фрагмент. Для аналитика она может быть прямым признаком автоматической генерации. В той же кампании исследователи выявили ещё два приёма:
- скрытые токены шума для защиты от отслеживания — невидимые символы в тексте, нарушающие обнаружение на основе хешей;
- систематическую замену символов Unicode-гомоглифами: стандартные знаки заменяли визуально похожими Unicode-аналогами, чтобы обходить сопоставление по текстовым шаблонам.
Каждый приём известен сам по себе. Но их сочетание с преамбулой LLM, по выводу авторов, говорит о скоординированной подготовке письма с применением ИИ. Антиспам-системы, настроенные на традиционные признаки фишинга, могут не учитывать такие структурные артефакты.
Фишинговая инфраструктура на легитимных платформах
Отдельная часть исследования посвящена ресурсам для сбора учётных данных, созданным и размещённым на no-code-платформах. Среди них названы Base44, Beacons[.]ai и Retool.
Одна из страниц размещалась по адресу enthusiastic-secure-link-go[.]base44[.]app и имитировала уведомление Microsoft 365 об окончании срока действия пароля вместе со страницей входа. По описанию исследователей, ресурс воспроизводил шрифты, вёрстку, фирменный стиль и последовательность действий подлинной страницы Microsoft. Авторы отмечают, что подобную страницу можно создать по текстовому запросу, используя бесплатную учётную запись.
Также была обнаружена страница на Beacons[.]ai, выдававшая себя за справочный центр Meta Business. Ещё одна приманка, оформленная как документ SharePoint для обмена файлами, была опубликована через Retool. На ней при сборе учётных данных в углу экрана сохранялся собственный брендинг платформы.
Практический эффект связан с репутацией инфраструктуры. Размещая страницы на легитимных и доверенных сервисах, злоумышленники используют репутацию их доменов. Почтовый шлюз может пропустить такую ссылку, а URL-сканер — не определить содержимое как подозрительное, поскольку сама платформа легитимна, хотя применяется во вредоносных целях.
Авторы не называют это недостатком конкретного поставщика. Речь, по их мнению, идёт о слабости фильтрации, основанной только на репутации: инфраструктура атаки оказывается на тех же сервисах, которыми сотрудники пользуются ежедневно. В этом сценарии одного анализа домена недостаточно — нужны проверка содержимого и поведенческие сигналы.
Самодокументированный код и избыточная разметка
В другой цепочке исследователи изучили фишинговую страницу, имитировавшую выставление счёта Google Cloud Platform. После перехода по призыву к действию они обнаружили форму сбора учётных данных и связанные JavaScript-файлы с подробными многоязычными комментариями, прямо описывающими логику атаки.
Один блок комментариев на китайском языке характеризовал скрипт как защиту от ботов с «нулевым уровнем ложных срабатываний». По оценке авторов, формулировка могла быть перенесена непосредственно из запроса к модели: LLM документирует функциональность, которую ей поручили реализовать.
В том же файле присутствовала пометка «MERGED LOGIC». Исследователи считают, что она может указывать на запрос объединить поведение нескольких источников. В другом комментарии на английском языке была прямо указана конечная точка эксфильтрации данных в Telegram. По наблюдению авторов, модель не только создала ловушку, но и оставила маркировку её компонентов.
KnowBe4 выделил и другие возможные признаки LLM-генерации.
Эмодзи-артефакты. По наблюдению авторов, ИИ использует эмодзи заметно чаще разработчиков-людей, особенно в интерфейсах и комментариях к коду. Страница GCP выделялась их обилием. Как минимум один текстовый элемент был плохо заметен; исследователи связывают это с некорректной оценкой контраста текста и фона.
Чрезмерно сложный CSS. В письме одной из кампаний один тег ссылки содержал 19 CSS-свойств, включая orphans:2, widows:2 и font-variant-ligatures:normal. Это параметры типографского макета для печати, не имеющие практического смысла в электронном письме. Авторы связывают такую разметку с тем, что LLM генерируют технически полный код по шаблонам обучающих данных, не оценивая уместность каждого свойства в конкретном контексте. Код может работать, но его структура не похожа на минимально необходимую разметку, которую обычно написал бы человек.
Для threat intelligence и IR-команд такие артефакты могут помочь в атрибуции и кластеризации кампаний. Самостоятельным доказательством личности оператора они не являются.
При выборе SIEM-платформы для централизованной корреляции журналов можно отдельно изучить Security Capsule SIEM и сопоставить её с требованиями своей инфраструктуры.
Скрытая переписка для обхода сканеров
Ещё один описанный метод — добавление в фишинговое письмо сгенерированного ИИ текста, скрытого от получателя с помощью CSS. Автоматические сканеры при этом могут видеть такой контент.
В кампании с приманкой в виде бонуса Walmart исследователи нашли два крупных скрытых блока с вымышленной перепиской об офисном заказе еды. Получателю они не отображались за счёт свойств display:none, overflow:hidden, max-height:0 и color:transparent.
Предполагаемая задача метода — разбавить письмо безобидным контекстом. Вместо короткой приманки с подозрительной ссылкой эвристический сканер видит сообщение с большим объёмом внешне нормального содержания.
В скрытой ветке авторы отметили несколько признаков синтетического текста:
- идеальные интервалы во временных метках: четыре сообщения отправлены с интервалами ровно 7–8 минут — в 5:08, 5:14, 5:21 и 5:29; авторы считают такой ритм нехарактерным для непринуждённого разговора об ужине;
- SMS-диалог в формате email: быстрый обмен сообщениями о заказе еды навынос больше похож на SMS, чем на электронную почту; по мнению исследователей, LLM часто используют такой шаблон при создании непринуждённого диалога;
- избыточная привязка к личности: адрес получателя повторялся в скрытой ветке 15 раз, а оба участника вымышленного диалога обращались друг к другу по полному email-адресу; авторы предполагают, что текст просили персонализировать;
- математическая небрежность: диалог содержал буквальный расчёт деления остатков еды, который исследователи приводят как пример излишней проработки, характерной для ИИ.
Пользовательской рекомендации «ищите грамматические ошибки» для таких писем недостаточно. В обучении следует делать акцент на проверке URL и подтверждении запросов по независимому каналу связи.
Индикаторы компрометации
Домены и URL ниже приведены в обезвреженном виде: перед импортом их в платформы анализа угроз необходимо восстановить точки, заменённые на [.].
Домены
- akusu[.]co[.]in — конечная точка для вывода учётных данных;
- sleadtrack[.]com — редиректор для отслеживания переходов;
- bhuntr[.]com — домен отправителя в кампании с секс-шантажом;
- brookstone12[.]com — цель перенаправления в кампании с бонусной программой Walmart;
- ssosecure[.]onlinemabethreturn[.]com — цель перенаправления для сбора учётных данных;
- enthusiastic-secure-link-go[.]base44[.]app — фишинговая страница, созданная на Base44.
URL
- creative24[.]meliohbistro[.]com/wp-weblogin/ — хост фишинговой страницы Microsoft 365;
- bitly[.]cx/4g893 — фишинговый редиректор;
- res[.]cloudinary[.]com/dhwr8jz0x/ — путь к CDN-ресурсу, связанному с активностью злоумышленников. Индикатором является сочетание tenant/path
dhwr8jz0x/, а не весь домен Cloudinary; для него требуется URL- или path-level сопоставление и проверка фактической вредоносной нагрузки, а не доменная блокировка CDN.
Прочие индикаторы
Следующие значения приведены в исходном, рабочем виде и не требуют восстановления:
- +1 587 315 5093 — номер для обмена сообщениями, использовавшийся для опустошения криптовалютного кошелька;
- 15q3oMhkVK24jT8245xCBwE5Aqgxic6ehF — BTC-кошелёк для оплаты вымогательства с использованием интимных фотографий.
Соответствие MITRE ATT&CK
Исследование соотносит наблюдавшиеся техники со следующими идентификаторами ATT&CK:
- T1566.002 — фишинг через ссылку в рамках целевого фишинга: высококачественная имитация брендов с использованием no-code-платформ;
- T1027 — обфусцированные файлы или информация: Unicode-гомоглифы, скрытые CSS-блоки и шумовые токены, затрудняющие идентификацию по отпечаткам;
- T1598 — фишинг для получения информации: сбор учётных данных через поддельные страницы входа.
Что проверить защитным командам
Визуальная точность письма не подтверждает его легитимность. Корректный язык, узнаваемый брендинг и отсутствие опечаток могут означать лишь, что оператор использовал более совершенный инструмент.
- Не использовать поиск опечаток как основной способ выявить фишинг. Обучение должно охватывать приманки, улучшенные ИИ, и переносить акцент на проверку URL и независимое подтверждение действий.
- Проверять домен и цепочку перенаправлений на каждой странице входа. Их следует сопоставлять с утверждённым allowlist или официальной документацией конкретного сервиса. Для Microsoft это не ограничивается доменом microsoft[.]com: легитимная аутентификация может использовать, в частности, login[.]microsoftonline[.]com, account[.]microsoft[.]com или live[.]com. Внешнее сходство страницы не подтверждает её легитимность, если домен и маршрут перехода не соответствуют проверенным данным сервиса.
- Отмечать нетипичное использование адресов получателей. Вставка email-адреса в середину предложения или его многократное повторение в скрытых блоках может быть признаком шаблона, созданного ИИ, если для этого нет легитимного объяснения.
- Пересмотреть роль репутационной фильтрации. Когда инфраструктура атаки построена на легитимных no-code-платформах, репутации домена недостаточно. Этот пробел требуется компенсировать поведенческим анализом и проверкой содержимого.
- Обновить логику детектирования. Артефакты LLM можно выявлять, если средства защиты настроены на их поиск. Для вариантов атак, генерируемых ИИ, одного сигнатурного обнаружения недостаточно. В правилах и аналитике следует учитывать служебные преамбулы, скрытые текстовые блоки, аномальную персонализацию, избыточный CSS и самодокументированные фрагменты кода.
Практический вывод исследования: в фишинге с ИИ качество языка и дизайна перестаёт быть надёжным сигналом. Более значимыми критериями остаются проверяемый домен, маршрут перехода, обоснованность запроса и подтверждение действия вне исходного сообщения.
По материалам KnowBe4 Threat Lab.
Источник: По материалу источника «What AI Can’t Hide When It Writes a Phishing Email».