Хотел посмотреть матч — «взломал» Евросоюз. Спамеры захватили главные домены Европы

Неожиданная попытка посмотреть трансляцию матча Индия — Пакистан обернулась для исследователя сети обнаружением взломанного поддомена europa[.]eu, который злоумышленники использовали для SEO-поискового спама и перенаправления на мошеннические стриминговые сайты. Вместо легального сервиса по трансляции Google предложил ему ссылку на домен ЕС, обещающую подсказать, где смотреть игру. Но переход вёл на подозрительные ресурсы — так выяснилось, что компрометирован был dev-сервер openapi-dev[.]ema[.]europa[.]eu.

Попав на аномальный результат поиска, автор исследования открыл ссылку в изолированной среде и сразу заметил классическую схему SEO-poisoning: страницы на официальном домене выдавали заголовки вроде «Here's Way To Watch», а затем перенаправляли на случайные мошеннические стримы. Поведение изменялось со временем — то ошибка, то редирект, — что характерно для массовых SEO-кампаний, подстраивающихся под тренды.

Разобрав URL, исследователь понял, что речь идёт об открытом дев-сервере, который, судя по всему, попал в руки злоумышленников и использовался для генерации «мусорного» контента. Попытка найти правильный контакт привела его в Twitter, где коллеги по индустрии подсказали нужный адрес CERT-EU. В письме он передал подозрительные ссылки и описал поведение ресурса. Сотрудники CERT-EU поначалу не смогли воспроизвести проблему — к тому моменту часть вредоносного контента уже поменялась или исчезла, — но после дополнительных скриншотов и деталей приступили к разбору. 6 ноября 2025 года CERT-EU подтвердил: уязвимый dev-хост очищен, проблема устранена.

Параллельно исследователь выяснил, что это была не локальная история: схожие SEO-вставки и редиректы обнаружились и на других крупных сайтах, включая правительственные и корпоративные домены в Новой Зеландии, США и даже на michelin.com. Всё это указывало на широкую кампанию, похожую по технике на описанные ранее массовые SEO-атаки через уязвимые веб-платформы.

Автор подчёркивает: это не тот случай, который попадёт в «зал славы» за найденную уязвимость — речь не про критическую дыру или RCE. Но такие тихие компрометации важны: они подрывают доверие к крупным доменам, эксплуатируют их репутацию и заставляют пользователей кликать на опасные ссылки, маскирующиеся под надёжные источники. А для защитников это важный сигнал, что даже dev-поддомены могут индексироваться поисковиками, становиться целью атак и влиять на безопасность всей инфраструктуры.

По предположению исследователя, злоумышленники нашли способ подменять SEO-контент на публично доступном dev-сервере, затем регулярно меняли ключевые слова под трендовые темы вроде матчей высокого интереса, а трафик перенаправляли на партнёрские или мошеннические стриминговые сайты. Масштабного проникновения, по его мнению, не было — иначе столь доверенный домен использовали бы для куда более сложных атак.

В своём разборе он выделяет несколько уроков: тестовые серверы нужно защищать так же тщательно, как продакшн; SEO-спам — не «безобидный мусор», а индикатор слабых мест; наличие корректного security.txt экономит время и ускоряет реагирование; а любые подозрительные результаты поиска стоит проверять и сообщать о них — иногда это приводит к реальному устранению компрометации.

История, начавшаяся с обычного желания посмотреть матч, закончилась тем, что dev-сервер ЕС привели в порядок. Автор шутит, что «не спас ЕС», но повод для улыбки есть: один внимательный запрос в Google помог очистить инфраструктуру от незаметной, но вредоносной SEO-атаки.