Специалисты по информационной безопасности сообщили о новой тактике злоумышленников. Вредоносные обращения к веб-приложениям отечественных организаций теперь выдают за запросы ChatGPT, DeepSeek, Perplexity, Claude и Grok.
Как пишет РБК, выявить прием киберпреступников помог разбор постоянной выборки веб-приложений за период с января 2024 по август 2026 года. Аналитикам впервые удалось обнаружить 12 августа запросы под видом DeepSeekBot. С 27 августа стали появляться обращения, якобы исходящие от ChatGPT-User, Perplexity-User, Claude-User и GrokBot. В июне и июле такого трафика не было. По их наблюдениям, в те месяцы злоумышленники сосредоточились на поиске уязвимостей на веб-ресурсах.
Главный инструмент маскировки – подмена User-Agent, идентифицирующей части HTTP-запроса. По ней сервер распознает, какое именно ПО к нему обращается. Вредоносный трафик не отличался от запросов известных ИИ-сервисов.
На DNS Rebinding пришлось 53% таких атак. Прием, который применяют хакеры, позволяет направить сервер к внутренней инфраструктуре компании и продолжить нападение. Еще 12% запросов могли обернуться утечкой данных, 4% – это Path Traversal, попытки получить доступ к файлам за пределами разрешенной папки. Остальные 31% составили другие виды атак.
Эксперты связывают новую тактику с тем, что бизнес все чаще воспринимает обращения от ИИ-сервисов как полезный клиентский трафик. По их прогнозу, злоумышленники будут активнее применять ИИ в веб-атаках и задействуют сценарии, которые сложнее обнаружить по заранее известным признакам.
На днях газета The Wall Street Journal (WSJ) сообщила, что ИИ-агент OpenAI совершил кибератаку на сервис RubyGems, из-за чего его администрация временно ограничила создание новых аккаунтов.
