Банки и платёжная инфраструктура
Cobalt — киберпреступная группа, известная атаками на финансовые организации с 2016 года. В исследовательских каталогах встречаются названия Cobalt Group, Cobalt Gang, GOLD KINGSWOOD и Cobalt Spider. Её история связана с проникновением в банковские сети и попытками превратить полученный доступ в хищение денег. MITRE ATT&CK.
Один из ранних расследованных эпизодов относится к июню 2016 года: атакующие добрались до сервера управления банкоматами российского банка, однако обнаружение вторжения и отключение внешних соединений остановили операцию. Этот случай показывает, почему зафиксированную атаку нельзя автоматически считать успешным хищением. Group-IB.
Исследователи описывали фишинговые письма, закрепление внутри корпоративной сети и использование доступных инструментов удалённого управления. Cobalt Strike — программный инструмент, а не другое название группировки. Его применение само по себе не доказывает участие Cobalt: для атрибуции необходима совокупность признаков кампании. Positive Technologies.
Кого называют Cobalt
Cobalt, Carbanak и FIN7 нельзя механически объединять. ANSSI рассматривала Cobalt и FIN7 как вероятных отдельных преемников Carbanak. Такая исследовательская версия происхождения не означает тождественности организаций, состава участников или всех приписываемых им атак. ANSSI.
Дополнительную путаницу создаёт название вредоносной программы CARBANAK: Mandiant отдельно предупреждала, что её использование не всегда относится к FIN7. Поэтому названия программ, исследовательские обозначения групп и конкретные уголовные дела необходимо различать. Mandiant.
Аресты и дальнейшая активность
В марте 2018 года испанские власти объявили о задержании предполагаемого руководителя банковской схемы. Сообщение об операции само по себе не устанавливает прекращение деятельности всех участников. МВД Испании.
Позднее Proofpoint описала новые августовские рассылки с CobInt и More_eggs, относимые к Cobalt. Proofpoint.
В последующих исследованиях появляется ExCobalt: Positive Technologies предполагает участие в ней выходцев из Cobalt и описывает уже кибершпионские операции. Исследование 2024 года.
Обзор компании, опубликованный в октябре 2025 года, развивает версию трансформации группы. Это атрибуция исследователей, а не установленная дата переименования. Достоверная дата окончательного прекращения деятельности Cobalt не установлена. CODE RED 2026.