За первый квартал 2026 года объём QR-фишинга (quishing) вырос на 146% — с 7,6 млн попыток в январе до 18,7 млн в марте. Такие данные приводит Microsoft в отчёте Email threat landscape: Q1 2026 trends and insights, основанном на анализе 8,3 млрд фишинговых писем. Для SOC это сигнал: атакующие системно смещаются туда, где текстовые фильтры бессильны, — в изображение.
Что произошло
По данным Microsoft, январь начался со спада — минус 35% к декабрю. Но уже в феврале объём QR-фишинга подскочил на 59%, а в марте ещё на 55%, достигнув максимума как минимум за год. Параллельно почти удвоился (+125% в марте) другой вектор — фишинг с CAPTCHA-заглушкой: 11,9 млн попыток, тоже годовой максимум. Оба всплеска пришлись на один и тот же месяц, что указывает на скоординированную смену тактик у операторов phishing-as-a-service.
Показательна судьба Tycoon2FA — крупнейшей PhaaS-платформы для обхода MFA через AiTM-прокси. В конце 2025 года на её инфраструктуре работало три четверти всех CAPTCHA-фишинговых сайтов. После действий Microsoft Digital Crime Unit в начале марта доля Tycoon2FA упала до 41%, а объём атак с её участием просел на 15%. Но это не победа над quishing как классом — операторы просто мигрировали на другие PhaaS-платформы и сменили домены с .DIGITAL/.BUSINESS обратно на .RU, а инфраструктуру — с Cloudflare на альтернативный хостинг.
Как это работает
Механика QR-фишинга обходит саму логику текстового сканирования почты. Вредоносная ссылка кодируется не текстом, а изображением — QR-кодом, вшитым в тело письма или во вложение. Большинство сканеров, включая многие антифишинговые фильтры, анализируют URL в тексте и заголовках, но не распознают ссылку, спрятанную в пикселях картинки.
По телеметрии Microsoft, доминирующий носитель QR-кода — PDF-вложение: с 65% в январе до 70% в марте. Доля DOC/DOCX за тот же период снизилась с 31% до 24% — атакующие явно предпочитают PDF как более нейтральный для получателя формат. Отдельно вырос вариант прямой вставки QR-кода в тело письма — на 336% в марте, хотя в абсолютных цифрах это пока 5% от общего объёма.
Ключевая уязвимость сценария — не техническая, а организационная: жертва сканирует код телефоном, а переход происходит на неуправляемом мобильном устройстве, вне периметра корпоративного EDR и вне защиты Safe Links на десктопе. Дальше — типичная AiTM-схема: прокси-сайт перехватывает не только пароль, но и сессионный токен, обходя обычную MFA. В блоге Microsoft это фиксируется алертом Defender for Endpoint «Suspicious activity likely indicative of a connection to an adversary-in-the-middle (AiTM) phishing site». CAPTCHA-заглушка перед такой страницей — не защита, а маскировка: она создаёт видимость легитимной проверки безопасности, пока в фоне готовится переход на вредоносный контент.
Похожий принцип — использование невидимых для человека, но значимых для парсера элементов — уже разбирался у нас на примере ASCII-smuggling в фишинговых письмах: и там, и здесь атака построена на разрыве между тем, что видит фильтр, и тем, что видит человек.
Для корпоративного SOC этот разрыв означает конкретную дыру в модели угроз. Политики условного доступа, DLP и большая часть детектирующей логики выстроены вокруг управляемого корпоративного эндпоинта — ноутбука с установленным EDR-агентом. Сканирование QR-кода телефоном выводит весь дальнейший путь атаки — переход по ссылке, ввод логина и пароля, прохождение AiTM-прокси — за пределы этой видимости. Даже если у компании есть MDM, мобильный браузер обычно не проходит через тот же слой инспекции трафика, что корпоративная сеть, а значит, алерт может появиться только постфактум — когда похищенный сессионный токен уже используется для входа с нового устройства или IP.
Что внедрить у себя
- Включите сценарии с QR-кодами в программу phishing-симуляций — большинство штатных awareness-тренингов пока учат распознавать только текстовые ссылки и вложения.
- Убедитесь, что Safe Links и Safe Attachments в Defender for Office 365 включены и покрывают вложения PDF/DOC, а не только тело письма — именно PDF сейчас основной носитель QR-кода.
- Включите Zero-hour Auto Purge (ZAP), чтобы ретроактивно удалять уже доставленные письма при появлении новых индикаторов по QR-кампаниям.
- Распространите политики MDM/мобильного EDR на сценарий «скан QR — переход в браузере телефона»: именно здесь чаще всего теряется видимость SOC.
- Перейдите на фишинг-устойчивую MFA (FIDO2-ключи, passkeys, Windows Hello for Business) — это обесценивает кражу пароля и сессионного токена через AiTM-прокси даже при успешном клике.
- Настройте в Threat Explorer ретроспективный поиск по индикаторам QR- и CAPTCHA-фишинга для писем, доставленных до обновления фильтров.
Рост quishing в Q1 2026 — частный случай общей логики атакующих: как только один канал детектируется надёжно, нагрузка переносится в формат, который классические фильтры разбирают хуже. У нас на сайте разбор того, как агентный триаж помогает SOC справляться с растущим потоком подобных алертов, — в кейсах St. Luke’s и Security Copilot agents.
По данным Microsoft Security Blog, Email threat landscape: Q1 2026 trends and insights (30.04.2026).
