СреднийII Кибервойна и критическая инфраструктура29 октября 2026 г., четверг
Трояны захватили около 18 тысяч телефонов клиентов индийских банков
28 октября Group-IB сообщила, что кластер, получивший название CyberDakait, с помощью 7 семейств Android-троянов захватил не менее 17 960 устройств и прочитал 7 611 443 SMS. Кампания имитирует 11 индийских банков и 2 государственные программы.
По данным Group-IB, кластер атакует финансовый сектор Индии с июля 2025 года. Злоумышленник представляется сотрудником банка и предлагает жертве отменить якобы подключённый без её запроса «план защиты кредитной карты». Жертву перенаправляют на поддельный сайт банка, где она оставляет номер карты, CVV, пароль от интернет-банка и личные данные. Часть вредоносных файлов приложений размещалась на GitHub; 16 аккаунтов, о которых сообщила Group-IB, заблокированы.
Согласно сводке GBHackers от 29 октября, 2364 из захваченных устройств выявлены по уведомлениям об установке, а 15 596 — по открытым базам данных Firebase. Трояны перехватывают одноразовые пароли (OTP — коды, которые банк присылает по SMS для подтверждения операций), переадресуют звонки и удалённо управляют телефоном. Дополнительный компонент майнит криптовалюту Monero, пока устройство заблокировано. Командный трафик идёт через Telegram-боты и Firebase.
Общие потери жертв, о которых сообщила Group-IB, лишь немногим превышают 30 500 долларов; заявленные мошенниками «платы» составляли от 5 до 150 долларов. В отчёте не названы имитируемые банки и не упоминаются ни Резервный банк Индии (RBI), ни реакция банков. Group-IB описывает CyberDakait не как одного оператора, а как аналитический кластер; личности виновных установить не удалось.
Оценка Talay
Вывод
Проблема не в сумме потерь, а в глубине доступа. 7,6 млн SMS показывают, что банковская безопасность в Индии по-прежнему держится на одноразовом пароле по SMS и что этот канал можно читать в массовом масштабе. Заявленные потери в 30 500 долларов могут быть лишь малой частью реального ущерба. Наиболее вероятный путь — давление регуляторов ускорит переход к проверке без SMS.
Возможные последствия
- Безопасность индийских банковНегативно1–6 месяцев
Доказанный на 17 960 устройствах перехват паролей из SMS вынуждает банки переходить к подтверждению внутри приложения и с привязкой к устройству.
- Страхуемость киберрисковНегативно1–6 месяцев
Мошенничество, начинающееся с устройства клиента, может поставить под вопрос исключения для социальной инженерии в банковских полисах. Количественный эффект подтвердить не удалось.
- Платформы хостинга кодаНеопределённоНедели
Доверенный домен GitHub использовался для распространения вредоносных файлов. Блокировка 16 аккаунтов показывает и то, насколько легко этот канал восстанавливается.
Вероятные сценарии
- 1Кампания продолжится под новым именем60 %
На месте заблокированных аккаунтов GitHub появляются новые, а те же семейства продолжают распространяться под видом других банков.
Что отслеживать: Публикация Group-IB или другой компанией новых индикаторов по тем же семействам
- 2Ужесточение регулирования30 %
Индийская группа реагирования на компьютерные инциденты CERT-In или RBI выпускает новые рекомендации по проверке без SMS.
Что отслеживать: Новое предупреждение CERT-In о банковских троянах для Android
- 3Установление виновных10 %
Правоохранители по следам в Telegram и Firebase выходят на операторов и объявляют о задержаниях.
Что отслеживать: Сообщение индийской полиции о задержаниях, связанных с CyberDakait
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Захваченные устройства▼ 17 960+
- Прочитанные SMS▼ 7,6 млн