Фарминг (pharming) — перенаправление пользователя, который открывает настоящий сайт или сервис, к ресурсу нарушителя, например подменой DNS-ответа. В проекте ГОСТ Р 70262.3-2026 угроза обозначена кодом ИА-2 «Фарминг» и описана как «Перенаправление участвующей стороны». От фишинга ИА-1 сценарий отличается технической подменой маршрута: адрес в браузере может оставаться правильным. Риск для банков, МФО и финтех-сервисов возникает, когда клиент вводит на ложной странице пароль или одноразовый код.
Кратко:
- ИА-2 «Фарминг» в проекте ГОСТ Р 70262.3-2026 описан как перенаправление участвующей стороны к ресурсу нарушителя при попытке обратиться к подлинному сервису.
- Подмена возникает на устройстве пользователя, роутере, DNS-резолвере, у регистратора домена или в сетевом маршруте; опечатка в адресе не нужна.
- Под угрозой аутентификационная информация для простой и усиленной аутентификации; нарушаемое свойство: конфиденциальность.
- DNSSEC с проверкой на резолвере, HTTPS с HSTS и WebAuthn снижают риск на разных этапах атаки; ГОСТ эти меры не предписывает.
- Стандарт утверждён приказом Росстандарта № 1136-ст от 14 сентября 2026 года и вводится в действие с 1 декабря 2026 года.
Что такое фарминг по ГОСТу?
В таблице Б.2 первой редакции проекта код ИА-2 имеет наименование «Фарминг». Дословное описание угрозы: «Перенаправление участвующей стороны». Возможный способ реализации сформулирован так: «Доказывающую сторону, которая пытается установить сеанс с подлинной проверяющей (доверяющей) стороной, перенаправляют на ресурс нарушителя путем манипуляций с параметрами канала взаимодействия участников аутентификации». В описании подчёркивается: человек пытается установить сеанс с подлинной стороной, а перенаправление происходит в канале взаимодействия.
Доказывающая сторона здесь клиент, который подтверждает право войти. Проверяющая сторона проверяет аутентификационные сведения; доверяющая использует результат. Например, клиент открывает сохранённый адрес банка, а изменённый DNS-ответ направляет браузер к серверу злоумышленника. На ложной странице клиент может ввести пароль, полагая, что находится в своём кабинете.
Росстандарт уведомил об утверждении ГОСТ Р 70262.3-2026 приказом № 1136-ст от 14 сентября 2026 года, введение в действие назначено на 1 декабря 2026 года. Проект стандарта описывает перечни для модели угроз конкретной системы и не устанавливает набор мер защиты от фарминга.
Карточка угрозы ИА-2
|
Поле |
Содержание по проекту |
|---|---|
|
Код и название |
ИА-2 «Фарминг» |
|
Описание, дословно |
«Перенаправление участвующей стороны» |
|
Объект воздействия |
Доказывающая, проверяющая и/или доверяющая сторона |
|
Используемая уязвимость |
Прочерк «–» в таблице Б.2 проекта |
|
Способ реализации |
Перенаправление доказывающей стороны на ресурс нарушителя манипуляциями с параметрами канала взаимодействия; дословная формулировка приведена в абзаце о таблице Б.2. |
|
Подверженная информация |
Аутентификационная информация, используемая при простой и усиленной аутентификации |
|
Нарушаемое свойство |
Конфиденциальность |
|
Последствие, изложено редакцией |
Несанкционированный доступ при использовании нарушителем полученных идентификационных и аутентификационных сведений законного пользователя. |
Текст приложений уведомление не приводит, поэтому формулировки таблицы Б.2 в статье даны по первой редакции проекта.
Почему верный адрес не защищает от фарминга?
Перенаправление возможно после ввода правильного адреса. Браузер запрашивает сетевой адрес по доменному имени, а клиентское устройство или используемый резолвер получает изменённый ответ. Если адрес в результате указывает на ресурс нарушителя, привычный маршрут нарушается без опечатки в строке браузера. Само изменение DNS ещё не доказывает, что клиент передал секрет или что злоумышленник вошёл в его аккаунт.
Сервер нарушителя без сертификата подлинного домена вызывает в браузере ошибку сертификата. При такой ошибке пользователь прекращает ввод данных и не пропускает предупреждение ради «срочной проверки». Если злоумышленник контролирует сам домен или учётную запись регистратора, сценарий сложнее: значок замка уже не удостоверяет добросовестность страницы.
ICANN описывает DNSSEC как подпись и проверку DNS-ответов: валидирующий резолвер проверяет подлинность и полноту полученного ответа, поэтому ICANN советует провайдерам включать проверку на своих резолверах. В том же материале ICANN приводит пример: подменённый ответ может направить человека, который открывает банковский кабинет, на сайт для кражи логина и пароля. Шифрование DNS-трафика и проверка содержания веб-страницы в задачи DNSSEC не входят.
Где происходит подмена при фарминге?
Проект ГОСТа говорит о манипуляциях с параметрами канала взаимодействия и не перечисляет в строке ИА-2 конкретные технические способы. Примеры в таблице взяты из практики безопасности и показывают участки сети, на которых может измениться маршрут к ресурсу.
|
Участок |
Что меняется и что проверить |
|---|---|
|
Устройство пользователя |
Изменяются настройки DNS или файл hosts. При расследовании сравнивают конфигурацию с ожидаемой и проверяют устройство на постороннее ПО. |
|
Домашний или корпоративный маршрутизатор |
Параметры DNS на роутере ведут клиентов к неожиданному резолверу. Проверяют конфигурацию и доступ к панели управления. |
|
DNS-резолвер |
Кеш содержит ложный ответ. Проверяют полученные ответы, журналы и наличие валидации DNSSEC. |
|
Управление доменом сервиса |
Неуполномоченное изменение записей или делегирования меняет назначение трафика. Владелец домена изучает журнал изменений и права администратора. |
|
Сетевой маршрут |
Изменённый путь трафика может привести к чужому узлу; требуются сетевые журналы и анализ конкретного случая. |
Подмена ответа DNS и отравление кеша описывают технику. Фарминг обозначает результат: доказывающую сторону направили к ресурсу нарушителя при попытке обратиться к подлинной проверяющей стороне. Ошибки в настройках сети встречаются и без злого умысла; квалификация эпизода требует следов вмешательства и анализа ресурса назначения.
Как фарминг угрожает онлайн-банку и KYC?
Ложная форма входа передаёт нарушителю пароль и одноразовый код. Если они ещё действуют, нарушитель пытается войти в кабинет банка или МФО. При онбординге и KYC-проверке опасность шире: поддельная страница может запросить фотографию документа или сведения заявки. В таблице ИА-2 подверженной названа именно аутентификационная информация; прочие данные в этом примере относятся к сопутствующему сбору.
Представим клиента МФО, который вводит корректный адрес в браузере телефона. Роутер использует посторонний DNS-резолвер и возвращает адрес ложной страницы. Клиент вводит пароль, получает сообщение об ошибке и закрывает страницу. Позже МФО регистрирует попытку входа с другого устройства. Для вывода о захвате аккаунта ещё нужны журналы успешной аутентификации и дальнейших действий.
Команда сервиса проверяет собственный домен, сертификаты и входы в кабинеты, пользователь проверяет своё устройство и домашнюю сеть. Организации полезно разделять факт перехода к ложному ресурсу, раскрытие секрета и успешную попытку входа: эти события требуют разных подтверждений.
Как снизить риск фарминга?
Перечень составлен по материалам ICANN, MDN и NIST; ГОСТ Р 70262.3-2026 эти меры не предписывает.
- Владелец домена ограничивает доступ к регистратору и DNS-панели, включает MFA для администраторов и фиксирует изменение записей и делегирования.
- Администратор сети применяет DNSSEC с проверкой подписей там, где цепочка доверия поддерживается; следит за настройками резолвера и роутера.
- Разработчик сервиса использует HTTPS, корректные сертификаты и HSTS; для подходящих доменов оценивает предварительную загрузку HSTS в браузер.
- Владелец клиентского сценария предлагает устойчивый к подмене проверяющей стороны способ аутентификации, например WebAuthn/FIDO2, когда он доступен аудитории.
- Пользователь не игнорирует ошибку сертификата и прекращает вход на неожиданной странице; при сомнении открывает официальное приложение и связывается с организацией по знакомому каналу.
Документация MDN поясняет HSTS: браузер, который уже сохранил политику HSTS сайта, подключается к нему только по HTTPS и не даёт пользователю обойти ошибку недействительного сертификата. Защита начинает действовать после первого защищённого соединения с сайтом; для первого захода MDN называет решением предварительную загрузку политики (preload). HSTS определяет сайт только по доменному имени, поэтому похожий чужой домен политика подлинного сайта не охватывает.
NIST SP 800-63B в § 3.2.5 приводит WebAuthn как пример защиты от фишинга привязкой к имени проверяющей стороны: ответ аутентификатора криптографически связан с доменом сервиса. NIST отмечает уязвимость такого способа к неправомерному выпуску или присвоению сертификата проверяющей стороны. Механизм снижает вероятность раскрытия пригодного для входа секрета ложной стороне, но не исправляет подменённый DNS-ответ и не заменяет контроль регистратора. Документ NIST технический и обязательных требований для российских организаций не устанавливает.
Что показывает оценка устройства IDX после фарминга?
IDX оценивает риск входа по устройству. Сервис собирает параметры устройства, с которого открыт сайт или приложение, и передаёт скоринговый балл вероятности мошеннических действий. После фарминга пароль и одноразовый код клиента могут оказаться у нарушителя, и войти в кабинет он обычно пытается со своего устройства.
Например, в кабинет входят с верным паролем и кодом, но с устройства, которого раньше у этого владельца не было, и сразу пытаются сменить номер телефона и перевести деньги. Высокий балл IDX по такой сессии вместе с историей входов даёт основание приостановить операцию и связаться с владельцем аккаунта по известному каналу. Само по себе новое устройство мошенничества не доказывает: человек мог купить смартфон или подключиться к другой сети.
Балл IDX описывает риск конкретной сессии и не показывает, был ли фарминг. Какой DNS-ответ получил роутер пользователя, устанавливают по журналам сети и анализу самого устройства. Как реагировать на балл, решает компания, которая подключила проверки IDX.
Чем фарминг отличается от фишинга?
Фишинг и фарминг различаются тем, как человек попадает на ложную страницу. При фишинге ИА-1 его туда заманивают письмом, сообщением или поддельной ссылкой. При фарминге человек сам открывает правильный адрес банка или сервиса, но подмена в сети, например изменённый DNS-ответ, уводит его на ресурс нарушителя.
|
Код и термин |
Событие по проекту стандарта |
|---|---|
|
ИА-1 «Фишинг» |
Взаимодействие с ложной проверяющей стороной, получение аутентификационных сведений; уязвимость АФЗ-1. |
|
ИА-2 «Фарминг» |
Перенаправление при попытке обратиться к подлинной стороне; в графе уязвимости прочерк. |
В одном инциденте фишинг и фарминг могут сочетаться. Сначала поддельное письмо или сообщение побуждает человека срочно войти в кабинет. Он открывает правильный адрес, но подменённый DNS-ответ уводит его на ложную страницу, где он вводит данные для входа в сервис. Затем нарушитель входит в кабинет с этими данными. В модели угроз каждое из трёх событий необходимо фиксировать отдельно, так как у них разные признаки и каждое требует разных мер защиты.
Данные об устройстве и скоринговый балл вероятности мошеннических действий для антифрод-правил вашего сервиса.
Источники
- Росстандарт: уведомление о ГОСТ Р 70262.3-2026
- ICANN: валидация DNSSEC
- MDN: заголовок Strict-Transport-Security
- NIST SP 800-63B: требования к аутентификаторам, § 3.2.5
- Статья 9 закона № 161-ФЗ, действующая редакция
- Статья 26 закона № 162-ФЗ «О стандартизации в Российской Федерации»
