Компанія з кіберрозвідки KELA виявила мережу фішингових сайтів, які підробляють американські банки та вміють «закривати» самі себе. Під час першого візиту сайт показує фальшиву сторінку входу до інтернет-банкінгу, а під час повторного з тієї самої IP-адреси — повідомлення про те, що обліковий запис на хостингу призупинено. Сканери й аналітики, які перевіряють підозрілий сайт двічі, бачать «заблокований» ресурс і переходять до наступного. Жертва ж відкриває посилання один раз — і потрапляє на робочу фішингову сторінку.
Масштаб: 248 доменів і 189 фінансових установ
За даними звіту KELA, станом на 25 жовтня 2026 року кампанія охоплювала 248 активних фішингових доменів, що імітують 189 фінансових установ США; на цю дату живі сайти-двійники мали 183 з них. Загалом від травня 2026 року в цій інфраструктурі виявлено понад 300 доменів, а нові зʼявляються щодня: лише за тиждень до 25 жовтня запрацювали 49 нових сайтів, тоді як закрили 15. Дослідники назвали цей кластер «Suspended» — від англійського «призупинено».
Серед цілей є кілька великих національних банків, але здебільшого це регіональні й комерційні банки середнього розміру та кредитні компанії. Значну частину підроблених сторінок становлять входи до бізнес-банкінгу та казначейських порталів — із додатковим полем для ідентифікатора компанії. Як пояснюють у KELA, бізнес-рахунки мають більші залишки й дозволяють відправляти банківські перекази, тож облікові дані до них для зловмисників цінніші.
Більшість доменів побудовано за однією формулою: [ключове слово]-[назва банку].com. Найчастіше трапляються слова secure, disable, protect і cancel, рідше — authorize, terminate, credentials і commercial. Новіші домени імітують служби підтримки й казначейські портали банків. За спостереженням KELA, такі назви звучать як тема банківського сповіщення: переказ, який треба підтвердити, платіж, який треба скасувати, рахунок, який ось-ось заблокують. Яким каналом посилання доходять до жертв, дослідники поки не встановили.
KELA передала результати дослідження правоохоронним органам, спецслужбам і постраждалим організаціям ще до публікації. Самі банки, від імені яких діють шахраї, зламані не були — їхні сайти лише підробили.
Як фішинговий сайт імітує власне блокування
Повідомлення на кшталт «This account has been suspended» знайоме кожному аналітику: його показує хостинг-провайдер після закриття облікового запису — найчастіше через скарги на фішинг чи шахрайство. Побачивши таку сторінку, фахівці зазвичай вважають, що з сайтом уже розібралися, і беруться за наступний.
У мережі «Suspended» цю сторінку показує сам фішинговий набір. Він записує IP-адресу кожного відвідувача: перший візит із певної адреси отримує форму входу до банку, будь-який наступний — повідомлення про призупинений обліковий запис. Воно копіює стандартну заглушку хостинг-провайдера аж до посилання «Зверніться до свого хостинг-провайдера».
Жертва зазвичай переходить за посиланням лише раз. Сканер, команда безпеки чи сервіс із закриття фішингових сайтів перевіряє сайт зі скарги, а потім перевіряє ще раз для підтвердження — і друга перевірка показує те, що виглядає як завершене блокування.
На практиці сервіс, який займається закриттям фішингових сайтів, може позначити домен як неактивний, хоча той і далі показує фішингову сторінку новим відвідувачам. Щоб побачити справжній вміст, для кожної перевірки потрібна нова IP-адреса.
Фальшиве блокування — не єдина декорація. Частина доменів показує повідомлення «Sorry, you have been blocked», порожню сторінку або перенаправляє на Google, а деякі новіші сайти агресивно відсікають трафік з анонімних мереж. Через це публічні сервіси сканування фіксують лише частину кампанії: для деяких доменів, виявлених KELA, немає жодного публічного запису.
Маскується й сама фішингова сторінка. Заголовок вкладки браузера копіює напис «Attention required» зі сторінки перевірки Cloudflare, тож відвідувач бачить щось схоже на звичайну перевірку безпеки, хоча на самій сторінці розміщено символіку банку — зокрема банер про страхування вкладів FDIC. Деякі версії показують reCAPTCHA перед формою входу, а спеціальний скрипт блокує інструменти розробника в браузері, щоб ускладнити аналіз.
Хто стоїть за мережею «Suspended»
Усі домени працюють через Cloudflare, що приховує справжні сервери. Проте кілька разів окремі домени ненадовго вказували безпосередньо на свої сервери, і за історичними DNS-записами KELA встановила, де розміщено сайти: на кількох адресах у двох провайдерів віртуального хостингу, яких зловмисники використовували по черзі — першого з травня до серпня 2026 року, другого з вересня.
Та сама інфраструктура обслуговує й інші фішингові кампанії — проти клієнтів банків, криптобірж і державних сервісів Великої Британії, Нідерландів, Австралії та Нової Зеландії. Серед підроблених брендів — HSBC, NatWest, британська податкова служба HMRC, Bitvavo, ABN AMRO, CoinSpot, Australia Post і ASB Bank. Це вказує або на одного оператора, який веде кілька кампаній, або на платформу «фішинг як послуга» з кількома клієнтами; наявні дані не дозволяють розрізнити ці варіанти.
Найвагомішою зачіпкою дослідники називають підключення через віддалений робочий стіл до сервера-посередника, з якого керують усією інфраструктурою. Між 11 і 20 жовтня таке підключення встановлювали з британського домашнього інтернет-зʼєднання протягом 10 днів. Утім, у KELA наголошують: це зачіпка, а не встановлення особи — мережеві дані охоплюють лише вибірку трафіку, а домашнє зʼєднання може використовувати як проксі хтось інший. Реклами цього фішингового набору на підпільних форумах аналітики не знайшли.
Чому закриття окремих доменів не зупиняє схему
KELA виділяє чотири чинники, через які інфраструктуру важко зупинити: проста формула назв, яку можна повторити для будь-якого банку; Cloudflare, що приховує розміщення сайтів; фальшиве блокування, через яке живий домен виглядає неактивним; спільні сервери, які переживають будь-який окремий домен. Закриття одного сайту-двійника мало що змінює, поки сервери за ним обслуговують решту: сервер, на якому на початку жовтня розміщувалися підробки американських банків, 20 жовтня вже обслуговував новий домен.
Як розпізнати фішинговий банківський сайт
Хоча кампанія націлена на американські банки, її прийоми універсальні — так само працюють і фішингові сайти, що підробляють українські банки. Основні ознаки:
- Підозріла адреса. Помилки в назві банку, незнайома доменна зона, додаткові слова на кшталт secure-, protect- чи cancel- перед назвою — привід зупинитися. Те саме стосується адреси відправника листа.
- Тиск і терміновість. Вимога негайно скасувати переказ, сплатити штраф чи «розблокувати» рахунок — класичний прийом соціальної інженерії. Перш ніж щось робити, варто зателефонувати до банку за номером зі зворотного боку картки або з офіційного застосунку, а не за номером із повідомлення.
- Неякісне оформлення. Помилки, загальні формулювання без конкретики, вставлені в текст логотипи часто видають фішинг. Проте охайний текст ще не доводить, що повідомлення справжнє.
- Посилання й вкладення. Посилання можуть вести на фішинговий сайт, а вкладення — містити шкідливе ПЗ. Входити до інтернет-банкінгу безпечніше через офіційний застосунок або збережену закладку.
- «Заблокований» сайт. Повідомлення про блокування не означає, що загрозу усунуто: іншим людям той самий сайт може показувати форму входу. KELA радить перевіряти такі домени повторно, з різних адрес і впродовж кількох днів.
Що робити, якщо дані вже введено
Якщо дані картки потрапили на фішинговий сайт, картку слід одразу заблокувати через банк. Якщо введено пароль — змінити його та увімкнути двофакторну автентифікацію. Про шахрайський сайт варто повідомити кіберполіцію та асоціацію ЄМА, яка веде перелік шахрайських сайтів.
Перевірити посилання до переходу: сканер CyberCalm
Фальшиве блокування розраховане на тих, хто оцінює сайт за вмістом сторінки. Але адреса має ознаки, яких декорація не приховає: вік домену, схожість на бренд банку, попередження Google чи Cloudflare. Саме їх перевіряє сканер безпеки CyberCalm — і показує ознаки ризику навіть тоді, коли сайт уже прибрали або він не відповідає.
Посилання з SMS чи месенджера можна перевірити на шахрайство, не відкриваючи його: достатньо скопіювати адресу та вставити її в сканер — сторінку перевіряє сервер CyberCalm, а не телефон. Сканер також звіряє адресу з переліком шахрайських сайтів ЄМА та рішеннями про обмеження доступу в Україні. Сервіс безкоштовний і працює без реєстрації. Водночас відсутність попереджень не гарантує, що сайт безпечний: сканер показує лише ті ознаки ризику, які вдалося виявити.
