CRAFTY FALCON: CERT-In выпустила advisory CIAD-2026-0058 об AI-атаках на индийские финтех и криптобиржи

CERT-In 4 ноября 2026 года выпустила обновлённое advisory CIAD-2026-0058, в котором описана активная кампания угрозы CRAFTY FALCON против индийских организаций BFSI. Документ обновляет предыдущее уведомление CIAD-2026-0046 от 9 октября 2026 года. Целями остаются NBFC, платформы цифрового кредитования, агрегаторы платежей и криптовалютные биржи.

Атака использует AI-инструменты для быстрого сканирования целей и последующего вызова платежных API жертв для несанкционированных переводов. Злоумышленники сначала проводят тестовые транзакции на небольшие суммы, например 1 рупию, а затем выполняют крупные списания на счета дропов. В случае криптобирж фиксируется кража ключей кошельков.

Технические детали кампании CRAFTY FALCON

Вход в инфраструктуру происходит через облачные сервисы AWS, в частности через функции Lambda. Первоначальный доступ злоумышленники получают через открытые в интернет непроизводственные среды — staging и UAT. После этого происходит латеральное перемещение с использованием общих учётных данных и токенов. Злоумышленники также применяют реверс-инжиниринг кода приложений для создания целевых эксплойтов.

В арсенале CRAFTY FALCON обнаружены инструменты ARTEX, PentAGI, Cairn и CyberStrikeAI. Эти решения на базе LLM позволяют автоматически генерировать и адаптировать скрипты атак, обходить allow-листы IP через пулы сторонних прокси и быстро эксплуатировать недавно опубликованные уязвимости в PHP и Node.js. Атаки часто приурочивают к выходным и праздникам, когда мониторинг ослаблен.

CERT-In отмечает повторные атаки на уже пострадавшие организации при неполном устранении последствий. Инфраструктура злоумышленников быстро меняет IP-адреса, что усложняет блокировку. Официальные рекомендации включают круглосуточный мониторинг с дополнительным персоналом в периоды низкой нагрузки, разделение непроизводственных и производственных сред, ведение аудита облачных логов и внедрение серверной валидации API-запросов.

Контекст и меры защиты для индийского финтеха

Advisory CIAD-2026-0058 выходит на фоне ужесточения регулирования в сфере информационной безопасности финансового сектора Индии. Регулятор RBI проводит проверки, а новые правила требуют ускоренного информирования об инцидентах. CSIRT-Fin подчёркивает, что угроза остаётся активной и требует постоянного внимания со стороны всех участников рынка BFSI и VDA.

Для криптобирж CERT-In рекомендует использовать аппаратные модули безопасности HSM, холодные кошельки и мультиподпись. Финтех-компаниям предписано внедрять принцип минимальных привилегий и мониторить признаки использования AI-инструментов в трафике. Все инциденты следует направлять на адрес incident@cert-in.org.in, а также в I4C.

Публичные отчёты не содержат точных данных о суммах хищений и названиях пострадавших компаний. Ранее в СМИ упоминались отдельные случаи потерь в районе 2 млн долларов, однако прямой связи с текущей кампанией не подтверждено. Угроза CRAFTY FALCON продолжает развиваться, и CERT-In планирует выпускать дополнительные индикаторы компрометации по мере их появления.