Мошенники рассылают трояны под видом перерасчёта НДФЛ
Коротко: «Лаборатория Касперского» зафиксировала новую волну фишинговых писем, маскирующихся под уведомление ФНС о перерасчёте НДФЛ в связи с переходом на прогрессивную шкалу налогообложения за 2025 год. Письма ссылаются на найденное «несовпадение» между доходом и начисленным налогом, предлагают скачать вложенный архив и ввести ИНН, СНИЛС и код из SMS. Внутри архива — вредоносная программа. О схеме написали РИА Новости, «Российская газета» и iXBT.
Что произошло
14–19 октября 2026 года несколько крупных изданий — РИА Новости, «Российская газета» и iXBT — сообщили о новой волне рассылок, которые «Лаборатория Касперского» выявила в сентябре-октябре 2026 года: только за три дня в сентябре было отправлено более 400 писем. Это не первая атака через тему налогов в этом году — в сентябре уже фиксировалась похожая схема с бумажными письмами (см. наш материал о фишинге от имени ФНС), но новая волна устроена иначе и бьёт по другому каналу — электронной почте с вредоносным вложением.
Как работает схема
Письмо оформлено как официальное уведомление от налогового органа. В тексте утверждается, что в связи с введением прогрессивной шкалы налогообложения автоматический перерасчёт выявил несовпадение между полученным доходом получателя и начисленным НДФЛ за 2025 год. Получателю предлагают как можно скорее разобраться с «задолженностью» — классический приём срочности, который должен вызвать панику и отключить критическое мышление.
Далее жертве предлагают два пути: перейти по ссылке в письме либо скачать и открыть приложенный архив с «подтверждающими документами». В обоих случаях конечная цель мошенников одна — получить персональные данные и закрепиться на устройстве. На фейковой странице жертву просят ввести ИНН и СНИЛС, а затем подтвердить «операцию» кодом из SMS — именно так злоумышленники обходят одноразовую защиту и получают доступ к аккаунтам на государственных порталах. Если жертва вместо этого открывает вложенный архив, внутри запускается троянская программа, которая закрепляется на устройстве и может использоваться для кражи дальнейших данных или удалённого доступа.
Почему атака работает именно сейчас
Авторы рассылки точно подгадали момент: переход на прогрессивную шкалу НДФЛ — реальное и обсуждаемое изменение в законодательстве, о котором писали крупные СМИ в течение всего 2026 года. Когда тема у всех на слуху, письмо о «техническом перерасчёте» выглядит правдоподобно даже для внимательных пользователей — мошенники паразитируют на реальной новости, а не придумывают её с нуля. Это тот же приём, что и в сентябрьской волне с бумажными письмами от ФНС: привязка к актуальному законодательному изменению резко повышает конверсию атаки.
Запрос кода из SMS вместо одного пароля — тоже не случайность. Двухфакторная аутентификация обычно считается надёжной защитой, но она бесполезна, если жертва сама вводит одноразовый код на фишинговой странице в реальном времени. Поэтому для злоумышленников тема «подтверждения» через SMS — не препятствие, а дополнительный элемент легенды, повышающий доверие к схеме.
Что делать, если письмо уже пришло
Не открывайте вложенные архивы и документы. Налоговая служба не присылает перерасчёты в виде .zip- или .rar-архивов по обычной почте — это немедленный признак фишинга.
Не переходите по ссылкам из письма. Если нужно проверить начисления, откройте личный кабинет вручную: lkfl.nalog.ru для ФНС или gosuslugi.ru для «Госуслуг». Не копируйте адрес из письма.
Никогда не вводите код из SMS на сторонней странице. Этот код предназначен для подтверждения вашего собственного действия в официальном сервисе, а не для «подтверждения» чужого запроса.
Если файл уже открыт — отключите устройство от сети, проведите полную проверку антивирусом и смените пароли на ключевых аккаунтах с другого, незаражённого устройства. Подробный порядок действий после возможной утечки данных разобран в нашем материале о проверке утечки персональных данных.
Используйте менеджер паролей и уникальные пароли для каждого сервиса, чтобы кража одного аккаунта не открывала доступ ко всем остальным — см. наш гайд по выбору и использованию менеджера паролей.
Защитите соединение в публичных сетях. Открывая почту из кафе, аэропорта или гостиницы, вы рискуете тем, что ваш трафик перехватят в той же Wi-Fi-сети. LiMP VPN шифрует соединение на Android, Windows и в Chrome и работает по политике no-logs — сам сервис не ведёт журнал ваших посещений. Посмотрите тарифы.
Источники
Частые вопросы
Как отличить настоящее письмо от ФНС о перерасчёте от фишинга?
Настоящая ФНС не присылает архивы с документами на email и не просит код из SMS для 'подтверждения' перерасчёта по ссылке из письма. Проверяйте начисления только через lkfl.nalog.ru, введённый вручную в адресной строке, либо звоните на бесплатный номер 8-800-222-22-22.
Я открыл вложенный архив — что делать?
Немедленно отключите устройство от интернета, запустите полную проверку антивирусом, с другого устройства смените пароли от ключевых аккаунтов и включите двухфакторную аутентификацию там, где её нет. При подозрении на кражу данных проверьте, не оформлены ли на ваше имя кредиты.
Защитит ли VPN от такого фишингового письма?
VPN не остановит фишинговое письмо и не заблокирует вредоносный архив, если вы сами его откроете, — это защита от перехвата трафика, а не антивирус. Но в публичных Wi-Fi-сетях VPN шифрует соединение, не давая посторонним в той же сети перехватить ваши данные, пока вы проверяете почту или входите в личный кабинет.