Barracuda: одно фишинговое письмо теперь нацелено и на получателя, и на ИИ его почтового ящика

7 октября 2026 года Barracuda Research опубликовала анализ фишинговой кампании, рассчитанной на двух читателей одного и того же сообщения: человека, который его получает, и ИИ-ассистента, который суммирует его входящие. Обращённая к человеку половина ничем не примечательна — защищённое паролем вложение, пароль к которому написан в теле письма; по словам Barracuda, такое сочетание «создаёт слепую зону для традиционных средств защиты электронной почты». Вторая половина — новая. Спрятанные в том же письме — в HTML-комментариях, тексте, скрытом с помощью CSS, блоках в кодировке Base64 и символах нулевой ширины — инструкции адресованы той модели, которая будет разбирать письмо, и призваны заставить ассистента «представить фишинговое письмо как легитимное или срочное» либо побудить его действовать самостоятельно.

Barracuda утверждает, что изученный ею образец был замаскирован под обычную внутреннюю переписку и имел надежный спам-балл, а также происходил из домена государственного сектора. В архиве не зафиксировано ни подтвержденных жертв, ни сообщений о вреде: это результат исследования, посвященного схеме атаки, а не раскрытие информации о скомпрометированной организации. Barracuda не раскрыла масштаб кампании, и ни Infosecurity Magazine, ни The Hacker News — оба они освещали это исследование — не смогли назвать цифру.

Что Barracuda на самом деле опубликовала

Эта публикация — пост в блоге вендора, посвящённый исследованию угроз, под названием «Threat Spotlight: атаки по электронной почте нацелены и на людей, и на ИИ в одном сообщении», с указанием авторства Guruprasad Kenja, которого описывают как аналитика угроз Barracuda. В URL-пути указана дата 7 октября 2026 года, а на самой странице стоит пометка «Обновлено: 6 октября 2026 г.»; новостная заметка Infosecurity Magazine авторства Alessandro Mascellino датирована 7 октября, а дайджест ThreatsDay в The Hacker News, опубликованный 8 октября, ссылается на тот же пост Barracuda. Расхождение в один день между датой в URL и пометкой на странице принадлежит самой Barracuda и не объясняется ни одним из этих трёх источников.

Barracuda формулирует это так: ассистент стал второй поверхностью атаки. По словам Barracuda, организации «должны защищать не только пользователей и почтовые ящики, но и системы ИИ, которые потребляют данные электронной почты и действуют на их основе». В исследовании описывается одно сообщение с двумя полезными нагрузками, а не новый эксплойт: обычная приманка социальной инженерии — это то, для перехвата чего и создан фильтр, а промпт-инъекция размещена там, куда фильтр исторически не заглядывал.

Образец: создан для прохождения проверок репутации

Barracuda перечисляет три свойства сообщения, которые, по её версии, помогли ему обойти фильтрацию на основе репутации:

• Адреса From и To указывали на один и тот же почтовый ящик, поэтому сообщение читалось как заметка самому себе, а не как внешняя почта.

• Он содержал доверенную оценку вероятности спама.

• Это произошло из домена государственного сектора.

Barracuda не называет домен государственного сектора, не говорит, был ли этот домен подлинным источником сообщения или поддельным, и не указывает дату, когда сообщение было замечено. Эти пробелы важны для любого, кто пытается оценить, насколько близко кампания подошла к успеху, и это пробелы в первоисточнике, а не то, что заполнило другое издание.

Скрытая половина: четыре способа, которыми протаскивают инструкции

Barracuda называет четыре метода, которые встречает чаще всего. Все четыре основаны на одной и той же асимметрии: почтовый клиент отображает сообщение определённым образом, тогда как модель, читающая необработанный исходный код, видит всё, что скрыл клиент.

Каждый пункт в этом списке описывает носитель, а не эффект, и Barracuda прямо утверждает, что эти инъекции рассчитаны на воздействие на ассистента, а не на человека. Тег типа записи — IPI, то есть indirect prompt injection (косвенная инъекция в промпт), — это стандартный термин для инструкций, которые поступают внутри содержимого, которое модель должна обработать, а не вводятся её пользователем.

Что должны были делать эти инъекции

Описание Barracuda целей пейлоада идёт по двум направлениям. Более мягкое направление пытается исказить сводку: если человек игнорирует вложение, скрытый текст призван заставить ассистента описать сообщение как легитимное или срочное, подталкивая получателя открыть его и кликнуть. Barracuda утверждает, что ни одна из этих инструкций не видна пользователю. Более жёсткое направление пытается превратить ассистента в действующее лицо — веля ему «игнорировать свои предыдущие указания» и вместо этого отправить срочный запрос на перевод средств, утечку данных или показать фиктивное срочное действие.

Сопровождающие примеры из реальной жизни, на которые ссылается Barracuda, демонстрируют тот же механизм, применяемый к другим рабочим процессам с участием ИИ:

• Электронное письмо со счётом, содержащее скрытый текстовый блок, который велит модели-суммаризатору добавить поддельное приоритетное действие, изменяющее платёжные реквизиты поставщика и подталкивающее сотрудника к переводу денег злоумышленнику.

• Резюме, скрытый текст которого предписывает инструменту ИИ-скрининга оценить соискателя на 10 из 10 и рекомендовать немедленное собеседование, независимо от квалификации.

• Запрос, замаскированный под авторизованный «режим обслуживания или администратора», который просит бота поддержки раскрыть собственную конфигурацию.

• Отравленная документация на странице, которую читает помощник по программированию, предписывающая ему вставлять строку для эксфильтрации учётных данных каждый раз, когда он генерирует код аутентификации.

Они описаны как примеры этой техники, а не как подтверждённые нарушения. Ничто в публикации Barracuda не говорит о том, что модель суммаризации, инструмент скрининга, бот поддержки или помощник по программированию действительно подчинились в реальном развёртывании, а архив фиксирует real_harm как false.

Что установлено, а что — нет

Здесь это различие важнее, чем в большинстве описаний инцидентов, поскольку запись описывает замысел, а не результат.

• Установлено: Barracuda Research изучила фишинговую кампанию, в которой в одном сообщении сочетались защищённое паролем вложение и скрытая prompt-инъекция, и опубликовала свой анализ 7 октября 2026 года. Четыре метода сокрытия и четыре примера использования изложены в этом посте. Два независимых издания — Infosecurity Magazine и The Hacker News — сообщили о тех же выводах, не противореча им, поэтому степень достоверности этой записи оценивается как A.

• Не установлено: был ли какой-либо ассистент действительно перехвачен, сколько сообщений было отправлено, кто их получил и были ли переведены деньги или утекли данные. Barracuda отказалась раскрыть масштаб кампании. Ни один регулятор, ни организация-жертва, ни поставщик решений безопасности не подтвердили конкретный случай компрометации, и с образцом не связана ни одна названная сторона.

• Не оспаривается: ничто в освещении не противоречит версии Barracuda. Открытые вопросы — это пробелы, а не разногласия, — и в архиве не зафиксировано, что этот вывод оспаривался.

Запись классифицируется как результат исследования средней степени серьёзности, с подтверждённым участием ИИ — ИИ-ассистент является целью, вокруг которой выстроена кампания, и именно из-за него сообщение необычно. Она не классифицируется как знаковое событие, и диапазон дат отсутствует: анализ описывает один момент времени — 7 октября 2026 года, а не окно кампании.

Меры по смягчению, которые рекомендует Barracuda

Позиция Barracuda заключается в том, что «ни один отдельный контроль не остановит все вариации», поэтому её рекомендации представляют собой набор, а не единое решение. Она советует удалять скрытые элементы, комментарии и невидимые символы из контента, прежде чем этот контент попадёт в систему ИИ; обнаруживать формулировки, переопределяющие инструкции, как признак промпт-инъекции; изолировать помощников, чтобы их возможности были ограничены; проверять выходные данные перед тем, как ответ помощника инициирует действие; и требовать утверждения человеком платежей, изменений поставщиков и других чувствительных решений. Она также рекомендует отслеживать повторные попытки инъекций и формулирует основной принцип как обращение с внешним контентом «всегда только как с данными, отдельно от инструкций».

В посте также есть ссылка на собственные продукты Barracuda — Email Gateway Defense, Behavioral AI и Automated Threat Response — как на средства контроля, которые компания продаёт для фильтрации и устранения последствий. Это вендор, рекомендующий свой собственный каталог, и это стоит читать именно так: технические рекомендации не зависят от продуктов, но пост не проверяет ни то, ни другое на кампании, которую он описывает.

Почему эту запись стоит сохранить

Особая ценность этой записи заключается в том, что она документирует момент, когда две ранее раздельные защиты перестают охватывать одно и то же сообщение. Защищённое паролем вложение обходит сканирование содержимого, потому что сканер не может открыть файл; скрытая инъекция промпта обходит оценку репутации, потому что оценка репутации смотрит на отправителей, а не на то, что языковая модель сделает с телом письма. Объедините их в одном письме, и режимы отказа накладываются друг на друга: фильтр, который пропускает сообщение на основании доверенной оценки, также пропускает полезную нагрузку, нацеленную на то, что будет читать почтовый ящик дальше. Образец Barracuda — это демонстрация того, что такая комбинация не является гипотетической.

Эта запись — находка Barracuda о фишинге с двумя целями — представляет собой одну из записей в архиве инцидентов с ИИ OrcaRouter, где отслеживаются инциденты с ИИ, результаты исследований и оценки по тем же полям, что использованы выше: серьёзность, уверенность, статус оспаривания и реальный ущерб.