F6: скамеры берут 1,1 млрд руб. в месяц с российских брендов

Компания F6 (российский разработчик технологий против киберпреступлений) 21 октября опубликовала разбор III квартала 2026 года. По её оценке, мошенники зарабатывают минимум 1,1 млрд рублей в месяц, используя названия знакомых магазинов, соцсетей, банков и IT-сервисов. Доля ресурсов с легальными брендами, которые ушли в обман, составила 5,7%. Это не абстрактная статистика: ссылка «как в VK» или «скидка как у известного магазина» может оказаться частью этой суммы.

Что именно посчитали

Аналитики подразделения Digital Risk Protection смотрели не только сайты. В выборку попали аккаунты, чаты и боты в мессенджерах, группы в соцсетях, карточки на площадках объявлений и маркетплейсах, а также приложения в обычных и «серых» магазинах. Из всех таких точек, где фигурировало имя настоящего бренда, 5,7% несли мошеннический или фишинговый контент. Во II квартале эта доля была 8,4%.

Большая часть опасных точек - сайты (62%). Дальше мессенджеры: 23,9% аккаунтов, каналов, чатов и ботов. Соцсети дали 9,4%, объявления и маркетплейсы 3,1%, мобильные приложения 1,6%. Специалисты оговариваются: реальная доля может быть выше, потому что в цифру попали только ресурсы, где уже виден обманный текст или форма.

Фишинг, скам и вредонос - это разные деньги

Фишинг собирает логины, пароли и данные карт. Скам уговаривает человека самому перевести деньги «добровольно». Распространение вредоносного ПО заражает телефон или компьютер, чтобы потом снять деньги или украсть доступ. В выборке F6 60,1% опасных ресурсов шли на скам, 38,5% на фишинг, 1,4% на вредонос. Для фишинга 66,3% форм целились в данные банковских карт, 33,3% в учётки.

Разница важна для обычного человека. Фишинг часто выглядит как «войдите, чтобы подтвердить заказ». Скам - как «перевод за посылку» или «инвестиция с гарантией». Вредонос прячется в «обновлении приложения доставки» или «официальном клиенте». Одно и то же имя бренда может стоять на всех трёх типах страниц.

Под какие бренды маскируются чаще

Для фишинга лидирует ретейл: 39% масок. Дальше социальные медиа (сети, мессенджеры, видеохостинги) - 21,5%, платёжные системы 15,7%, банки 11,7%, развлечения 7,3%. Для скама картина другая: социальные медиа 25,9%, ретейл 22,9%, СМИ 21,2%, банки 16,5%, инвесткомпании 7,9%. Вредонос для Android чаще всего выдают за IT-бренды (49,3%), службы доставки (16,8%) и снова ретейл (12,1%).

Это совпадает с тем, куда люди кликают без второй мысли. Скидка в знакомом магазине, «поддержка» в мессенджере, «официальное приложение» банка или доставки. Мошеннику не нужно изобретать новое имя: достаточно чужого логотипа и похожего домена или ника.

Откуда оценка в 1,1 млрд рублей

F6 сложила доход по пяти схемам, в которых бренды работают как приманка: «Мамонт» (давление и перевод «для проверки»), FakeDate (фейковые знакомства), инвестиционный обман, партнёрские программы и DeliveryRAT (вредонос под видом доставки). Минимум 1,1 млрд рублей в месяц - оценка именно этих пяти линий, не всех потерь населения.

Для сравнения: Банк России по другим методикам фиксирует миллиарды рублей украденных переводов за квартал. Цифра F6 уже, но показывает, сколько «арендуют» чужой бренд как вывеску. Чем известнее имя, тем выше конверсия клика в перевод.

Почему доля фейков упала, а денег меньше не стало

Падение с 8,4% до 5,7% аналитики связывают с сезонностью схем, появлением новых форматов и более жёсткой зачисткой. Мошенники не уходят: они меняют канал. Сайт закрыли - появляется бот. Бот заблокировали - карточка на маркетплейсе. Бренд остаётся якорем доверия, меняется только витрина.

Параллельно растёт рынок готовых услуг в теневых чатах: шаблоны писем, хостинг, аккаунты. Конечному исполнителю не обязательно уметь писать код. Достаточно купить набор и подставить чужой логотип. Это индустриализация, а не романтика «одинокого хакера».

Что это значит для человека с телефоном

Если вы живёте в России, СНГ или Европе и пользуетесь привычными магазинами, банками и мессенджерами, вы в целевой аудитории этих 5,7%. Ссылка из чата, «официальный» бот, карточка с узнаваемым названием на площадке объявлений - типичный вход. Данные карт собирают чаще учёток, потому что перевод быстрее, чем долгий взлом почты.

Проверка простая и скучная: домен не тот, ник чуть отличается, просят срочно перевести «для разблокировки», приложение качается не из магазина. Никакой схемы «как сделать так же» здесь нет. Есть наблюдение: чужой бренд стал дешёвым топливом для конвейера. Чем спокойнее вы относитесь к срочности в чате, тем дороже обходится этот конвейер его организаторам.

Источники

Официальный разбор F6 и независимые пересказы цифр. Оценка дохода относится к пяти названным схемам и помечена как минимум.