Юли 2025. В BreachForums се появява списък с над 6.1 милиона български имейл адреса и пароли. Не е просто поредният файл в хакерски форум – той се превръща в суровина за нова вълна от фишинг кампании, насочени точно към хората в този списък.
Януари 2026. Кампания от името на куриерска компания иска лични данни и номера на банкови карти „за потвърждение на доставка“. Имейлите минават през спам филтрите на една от наи-използваните български пощенски услуги. Май 2026 – ГДБОП разбива организирана група, свързвана с масови фишинг измами. Щетите варират от 300 евро до няколко хиляди на жертва. Парите изчезват в рамките на часове.
Фишингът не е абстрактна заплаха от учебник по киберсигурност. Той се случва в България, сега, срещу реални хора и реални бизнеси. В тази статия ще разгледам реалните схеми, засягащи българските фирми, и конкретните стъпки за защита.
Какво е фишинг атака?
Фишингът е опит за измама, при която нападателят се представя за легитимна институция или познато лице, за да подмами жертвата да разкрие чувствителна информация – пароли, банкови данни, лични данни – или да извърши конкретно действие, като превод на пари.
Класическият механизъм: имейл, привидно от банка, куриерска фирма, държавна институция или колега, съдържащ линк към фалшива страница, копираща визуално оригинала. Жертвата въвежда данните си, вярвайки, че комуникира с легитимната организация, и данните отиват директно при нападателя.
Атаките са се развили значително от 90-те години, когато измамниците крадяха AOL пароли. Съвременният фишинг използва прецизно копирани сайтове, персонализирани съобщения и психологически натиск, проектирани да заобиколят и внимателните потребители.
Реални фишинг схеми, засягащи България
Измами с фалшив IBAN
Над 80 български компании са подали сигнали от началото на 2024, че са пострадали от измами със сменен IBAN. Общите загуби достигат около 12 милиона евро. Схемата обикновено е предшествана от пробив чрез имейл – нападателят получава достъп до кореспонденция между две компании, изчаква реална фактура и изпраща „коригирана“ версия с друг банков номер точно преди плащането.
Business Email Compromise (BEC)
За разлика от масовите фишинг кампании, BEC атаките са прецизно насочени. Нападателят се представя за управител, счетоводител или партньор и изпраща изглеждащ напълно нормален имейл със „спешна“ и „конфиденциална“ молба за превод.
Имейлът не крещи „измама“. Напротив – изглежда логичен, навременен и написан в познат стил. Класически сценарий: „шефът“ пише от личния си (компрометиран или спуфнат) имейл, иска спешен превод за придобиване на конкурент, и добавя „нека това остане между нас“ – фраза, елиминираща възможността жертвата да провери искането с друг колега.
Фишинг, представящ се за държавни институции
НАП официално предупреждава за фалшиви имейли, представящи се от тяхно име. Схемата имитира визуално сайта на институцията, иска лични данни, пароли или номера на карти. НАП изрично подчертава, че никога не изисква такава информация през имейл – те вече я имат.
Подобни кампании се появяват и от името на КАТ с фалшиви електронни фишове – изпращат линк за „плащане на глоба“, водещ към фалшива страница за въвеждане на картови данни.
Фишинг срещу банкови клиенти
При сливания на банки (какъвто е случаят с Райфайзенбанк и KBC в България), фишинг кампаниите традиционно се увеличават, таргетирайки клиентите на сливащите се институции. Фалшиви страници, имитиращи m-Token системи и онлайн банкиране, се появяват активно и успяват да заобиколят антифишинг филтрите на популярните браузъри.
Фишинг чрез фалшиви бизнес профили в социални мрежи
Измамници се представят за служители на Meta или за рекламни агенции, предлагащи „помощ“ за развитие на бизнес страница. Целта е получаване на достъп до Facebook Business акаунт – загубата на който носи директни финансови щети и компрометира клиентски данни.
Куриерски и доставни измами
Една от наи-активните схеми в момента. Имейл или SMS, привидно от куриерска компания, иска „потвърждение на доставка“ чрез въвеждане на лични данни и номер на банкова карта. Схемата разчита на факта, че почти всеки очаква поне една пратка и рефлексивно реагира на съобщение за доставка.
Как да разпознаете фишинг опит
Няколко признака се повтарят почти във всеки фишинг имейл:
Усещане за спешност. „Изисква се незабавно действие“, „акаунтът ви ще бъде спрян“, „плащането трябва да стане днес“. Спешността е проектирана да пропусне рационалния анализ.
Странно обръщение. „Уважаеми г-н притежател на сметка“, „Уважаеми ценен клиент“ – легитимните институции, с които работите, обикновено ви знаят по име.
Правописни и граматични грешки. Особено чести, защото много фишинг кампании се съставят с онлайн преводач.
Неясен или подозрителен подател. Проверете реалния имейл адрес, не само визуалното име. „Office@bank-secure-bg.com“ не е реалният имейл на банката ви.
Линкове, несъответстващи на официалния сайт. Преди клик, задръжте курсора над линка (без да кликате) и проверете реалния URL в долния ляв ъгъл на браузъра.
Молба за конфиденциалност. „Нека това остане между нас“ е класически BEC маркер – целта е да ви попречи да проверите искането с друг колега.
Необичайни прикачени файлове или искания за лични данни по имейл. Легитимните институции рядко искат пароли, ПИН кодове или пълни номера на карти през имейл.
Как да защитите бизнеса си от фишинг
1. Винаги проверявайте подателя внимателно
Не само визуалното име – реалния имейл адрес. При съмнение, свържете се с институцията или колегата по друг канал (телефон, лично) преди да предприемете каквото и да е действие.
2. Никога не следвайте линкове от съмнителни имейли
Ако имейлът твърди, че е от банка, НАП, куриер или доставчик, отворете сайта им директно през браузъра, не през линка в имейла.
3. Установете верификационен процес за плащания
При BEC атаки целта е спешен превод без проверка. Задължителна вътрешна политика: всяка молба за промяна на банкова сметка или спешен превод изисква устна верификация по телефон с познат номер, не отговор на същия имейл.
4. Използвайте уникални пароли и мениджър на пароли
При изтичане на данни (какъвто е случаят с 6.1-те милиона български имейла в BreachForums), хората с една и съща парола навсякъде са незабавно уязвими за credential stuffing атаки. Password manager като Bitwarden или 1Password решава проблема.
5. Активирайте двуфакторна автентикация навсякъде
Дори паролата да бъде компрометирана чрез фишинг, 2FA спира достъпа без физическия втори фактор. Приложимо за имейл, банкиране, социални мрежи и административни панели.
6. Обучете екипа редовно
Човешката грешка остава водещият фактор за пробив при фишинг атаки. Технически инструменти (антивирус, антифишинг филтри) помагат, но не компенсират липсата на внимание. Кратко периодично обучение на служителите за разпознаване на фишинг е една от наи-ефективните инвестиции в сигурност.
7. Защитете бизнес имейла технически
SPF, DKIM и DMARC записи на домейна ви намаляват риска имейлът ви да бъде spoof-нат от нападатели, представящи се за вас пред вашите клиенти и партньори. Ако управлявате WordPress сайт с бизнес имейл на същия домейн, проверката на тези записи е важна техническа мярка.
Какво да правите, ако сте станали жертва
Ако сте кликнали на фишинг линк или сте въвели данни:
Сменете незабавно всички пароли, свързани с компрометирания акаунт. Уведомете институцията, от чието име е бил фишингът – банка, доставчик на имейл услуги. Ако е замесена банкова информация, свържете се незабавно с банката за блокиране на картата. При загуба на средства, подайте сигнал в полицията и към ГДБОП. Проверете за необичайна активност във всички свързани акаунти.
При компрометиран бизнес имейл или уебсайт, действайте бързо – разгледахме признаците на компрометиран WordPress сайт в отделна статия.
Фишингът и вашият WordPress сайт
Фишинг измамниците понякога използват копие на легитимен сайт, хостнато на подобен домейн, за да заблудят потребителите. Ако вашият бизнес е достатъчно известен, съществува риск от такова копиране.
Признаци, че вашият бранд е обект на фишинг имитация: клиенти съобщават за странни имейли, привидно от вас. Съмнителни домейни, близки до вашия (например webpulsse.bg вместо webpulse.bg). Оплаквания за поискани данни, каквито вие никога не искате по имейл.
Ако установите такава имитация, докладвайте домейна на регистратора и на Google Safe Browsing. Уведомете клиентите си директно чрез официалните си канали, че такива искания не идват от вас.
Ако искате да проверите сигурността на бизнес имейла и сайта си, свържете се с нас за консултация.
FAQ: Фишинг атаки
Колко чести са фишинг атаките в България?
Изключително чести и нарастващи. Над 80 компании официално са докладвали IBAN измами само за 2024 с щети около 12 милиона евро. Липсва централизиран регистър за всички случаи, но наличните данни показват, че рискът е висок и продължава да расте.
Разликата между фишинг и BEC атака?
Фишингът обикновено е масова кампания, изпращана до широк кръг получатели с надеждата, че част ще се хванат. BEC атаката е силно насочена и персонализирана – нападателят проучва конкретна компания и имитира конкретен ръководител или партньор, което я прави значително по-трудна за откриване.
Антивирусна програма достатъчна ли е за защита?
Не сама по себе си. Антивирусните програми могат да засекат някои съмнителни сайтове, но отговорността за разпознаване на фишинг остава основно у потребителя. Комбинацията от технически инструменти и обучение на екипа дава реална защита.
Какво да правя, ако получа съмнителен имейл от „моя шеф“ с искане за превод?
Никога не отговаряйте директно на имейла. Свържете се с шефа си по друг канал – телефон, лична среща – за да потвърдите искането. Молбите за „конфиденциалност“ и спешност са класически BEC тактики, целящи да ви попречат точно да направите тази проверка.
Как да защитя фирмения си имейл от spoofing?
Настройте SPF, DKIM и DMARC записи на домейна си. Те помагат на получаващите пощенски сървъри да разпознаят дали имейл, представящ се за вас, наистина идва от вашата инфраструктура. Технически специалист може да конфигурира тези записи в DNS настройките на домейна ви.
Какво да правя, ако вече съм пострадал финансово от фишинг?
Свържете се незабавно с банката за опит за блокиране на транзакцията. Подайте сигнал в полицията и към ГДБОП. Сменете всички пароли, свързани с компрометираните акаунти. Колкото по-бързо реагирате, толкова по-голям е шансът за възстановяване на средствата.
Как да обучa служителите си да разпознават фишинг?
Кратки, редовни обучения работят по-добре от еднократен дълъг курс. Покажете реални примери, конкретни признаци за разпознаване, и установете ясен процес за проверка на подозрителни искания. Периодични симулирани фишинг тестове (без наказателен характер) помагат за поддържане на бдителността.