Имало едно време фишинг мейл с правописни грешки, нигерийски принц и оферта, която не можеш да откажеш. Лесно се разпознаваше. Даже забавно. Онези времена, обаче, приключиха.
Или поне така би трябвало да е. През 2026 г. се налага да пишем за същото. Не за първи път. Вероятно и не за последен.
Защото тези схеми не са изчезнали. Не са еволюирали до неузнаваемост. Не са станали толкова сложни, че само NSA може да ги разбере. Те работят днес по същия начин, по който са работили преди десет години – просто вече са по-евтини, по-автоматизирани и се изпълняват в по-голям мащаб. И всяка година ГДБОП излиза с нови числа, медиите публикуват нови статии, и на следващата среща по киберсигурност някой отново казва „трябва да повишим осведомеността“.
Трябва. Все още. В 2026-та.
Така че – за пореден път – нека минем през това как изглежда атаката, от най-простото до най-сложното.
Ниво 1: Класиката, която все още работи безотказно Email spoofing – защото From: полето е просто текст
Полето „От:“ в имейл може да съдържа каквото атакуващият реши. Без да е хакнал нищо. Просто защото SMTP е проектиран през 1982 г. и доверието е вградено по подразбиране.
Резултатът: получаваш имейл от ivan.petrov@firmata.com – твоят колега от Счетоводство – с молба да потвърдиш банкова сметка „спешно, преди края на деня“. Атакуващият е използвал произволен SMTP сървър и е написал каквото е поискал. Отнело му е по-малко от пет минути.
Съществуват механизми срещу това – SPF, DKIM и DMARC. Огромна част от организациите или не са ги конфигурирали правилно, или изобщо не са ги конфигурирали. Провери DMARC политиката на домейна си. Ако е p=none – имаш работа за вършене.
Display name spoofing – за тези, които не проверяват адреса
По-фина версия: атакуващият слага познато име като display name, а реалният адрес е ivan.petrov@gmail-secure-corp.com. Повечето имейл клиенти показват само името. Особено на телефон, където адресът е скрит зад едно докосване.
Колко пъти на ден проверяваш реалния адрес на подателя, а не само името? Точно така.
Ниво 2: Компрометиран акаунт – когато атакуващият е твоят колега
Account takeover – влизане без чупене на врати
Атакуващият не се нуждае от сложни exploit-и. Нуждае се от парола – и начините да я получи са досадно много: credential stuffing с изтекли бази данни, фишинг страница, копие на корпоративния портал, или infostealer малуер, събирал saved passwords от браузъра на Иван.
След като влезе в акаунта – играта се променя качествено. Вече не имитира Иван. Вече е Иван. Пише от реалния му адрес. Вижда реалната му кореспонденция. Знае контекста.
Компрометиране на бизнес имейл (Business Email Compromise – BEC) – най-скъпото социално инженерство
Класическият сценарий: атакуващият компрометира акаунта на счетоводител, наблюдава кореспонденцията седмици, и в точния момент – при реална транзакция – се намесва: „Банковата сметка е сменена. Моля използвайте новата.“ Парите отиват при него. Никой не разбира веднага.
И тук не говорим за далечни американски корпорации. Говорим за България.
Данните на ГДБОП са конкретни и неудобни. През 2024 г. около 120 български компании са станали жертва на схемата „Сменен IBAN“ – Business Email Compromise (BEC) в неговия най-чист вид. Загубите: близо 16 млн. евро. Най-малката щета – 1 500 евро. Най-голямата – около 10 млн. долара, преведени от българска фирма към фалшива сметка. За две години над 200 фирми са загубили общо над 20 млн. евро само по тази схема. (Източник: БТА, април 2025 г. – изказване на ст. комисар Владимир Димитров на форум „Електроиндустрия 2025″; в. „Сега“, ноември 2025 г.).
Димитров го описва директно: „Почти всяка седмица при нас идват представители на компании, които съобщават, че въпреки извършено плащане към техни контрагенти, доставките са спрени.“ (Капитал, октомври 2025 г.) А от ГДБОП допълват, че само в 10-20% от случаите успяват да блокират средствата навреме. Останалите пари изчезват в сметки на организирани престъпни групи и се прехвърлят онлайн, преди някой да е разбрал какво се е случило.
Механизмът е учебникарски: хакерите влизат в имейла на фирмата чрез фишинг или заразен компютър, наблюдават кореспонденцията с партньори седмици наред, и в ключов момент – при реална транзакция – изпращат имейл с „актуализиран IBAN“. Нито един exploit. Нито един ред малуер код видим от жертвата. Само имейл и липса на верификационен протокол.
Ниво 3: Deepfake – финалният акорд
Deepfake не е заместител на по-простите техники. Той е надстройка – използва се когато жертвата е достатъчно ценна, за да оправдае инвестицията.
Voice cloning – с 30-60 секунди аудио запис (публична реч, подкаст, дори Teams запис от минала среща) модели като ElevenLabs или RVC генерират синтетичен глас, неразличим от оригинала. Атакуващият се обажда с гласа на твоя CEO и иска спешен превод. Работи.
Video deepfake – вече го прави и съседът. През 2024 г. служител на финансова компания в Хонконг превел около 25 милиона долара след видео среща с „колеги“ – всички от тях deepfake.
Двадесет и пет милиона. Един видео разговор. Системата не пробита, само човекът.
Забележи нещо: преди видео разговора почти сигурно е имало имейл кореспонденция. Може би от компрометиран акаунт. Deepfake не работи сам – работи като финален акорд на добре оркестрирана атака.
Защо Security отделът не може да те спаси сам.
Атакува се доверието – не системата.
Няма CVE за „вярвам на имейл от колегата си“. Няма firewall, който да спре телефонно обаждане. Антивирусната не знае, че гласът е синтетичен. Решението не е технологично – или поне не само технологично.
Кое все още работи?
MFA навсякъде. Компрометираната парола е безполезна за атакуващия, ако акаунтът е защитен с многофакторна автентикация. Ако организацията ти има корпоративни акаунти без MFA – това е по-спешно от всичко друго в тази статия.
Верификационен протокол за чувствителни действия. Всяко искане за финансова транзакция или смяна на банкова сметка – независимо от кого идва – минава през независим канал за потвърждение. Не отговаряш на същия имейл. Не се обаждаш на номера, посочен в него. Звучи бюрократично. Но работи.
Реални демонстрации. Покажи подправен имейл редом с истинския. Пусни клониран глас. Страхът от абстрактна заплаха е различен от страха от нещо, което току-що чу.
Култура на „окей е да питаш“. Служителят, който се усъмни и провери – дори да е направил CEO-то да изчака 10 минути – е направил правилното нещо. Организации, в които хората се страхуват да изглеждат параноични, са идеална среда за социално инженерство.
Един неудобен въпрос накрая
Ако получиш имейл от колегата си – от реалния му адрес, в правилния му стил, в контекста на реален проект – с молба да потвърдиш нещо спешно, колко вероятно е да се усъмниш?
А ако след това се обади и с неговия глас?
Тези атаки не печелят, защото технологията е невидима. Печелят, защото ние сме заети, уморени и сме свикнали да вярваме на познати имена и познати гласове.
Това е стара уязвимост. Новото е само колко лесно се експлоатира.
Автор: Десислава Николаева, член на Women4Cyber Bulgaria, Strategic Security Advisor
Професионалният път на Десислава Николаева преминава от защитата на критични системи до архитектурата на модерните процеси за сигурност в разработката. Като Strategic Security Advisor към Women4Cyber Bulgaria и ICT Security Officer, тя работи в точката на пресичане между инженерните екипи и бизнес изискванията.
Десислава вярва в практичните решения и вграждането на сигурността в целия жизнен цикъл на софтуера (Secure SDLC), без това да забавя иновациите. В общността тя се фокусира върху създаването на реални възможности за професионално развитие на жените в сектора, стремейки се към устойчиво професионално израстване и осезаеми резултати, далеч отвъд символичното представителство.
Women4Cyber България работи за изграждане на по-силна и по-информирана общност от жени в киберсигурността. Ако тази статия ти е била полезна – сподели я с колега, който все още вярва, че фишингът изглежда като нигерийски принц.