Разбираем популярные инструменты и легенды онлайн-преступников. Уточняем, что делать, чтобы вас не обманули.
Что такое кибермошенничество?
Кибермошенничеством называют ситуации, в которых злоумышленник обманул жертву и получил доступ к ее деньгам или другим ценностям с помощью цифровых технологий. Например, преступник выманил у незнакомца данные банковской карты с кодом подтверждения и списал деньги.
В официальных документах чаще говорят о киберпреступлениях, или преступлениях в сфере информационных технологий.
Сколько крадут киберпреступники в России
В 2021 году медианная зарплата в России составила около 35 тысяч рублей, а средняя – почти 54,7 тысячи рублей. Медианная зарплата более честно показывает, сколько получает обычный работник.
В 2021 году кибермошенники украли у россиян – то есть списали без согласия клиентов – 13,6 млрд рублей, сообщает Банк России. Это 388,6 тысяч медианных зарплат!
По данным российской полиции, ущерб выше: за 11 месяцев 2021 года только телефонные мошенники получили порядка 45 млрд рублей, пишет ТАСС. Жертвы теряли от 15 тысяч до 25 млн рублей. Подозрительные звонки получил каждый седьмой житель страны.
В реальности цифры могут быть еще значительнее: не все жертвы обращаются в полицию.
Сбер сообщил, что за прошедший год получил 3,7 млн сообщений о мошенничестве и спас порядка 100 млрд рублей. В основном это деньги, которые так и не ушли из банка на счета мошенников.
Удается ли обманутым получить компенсацию? В 2021 году вернули 6,8% (920,5 млн рублей) от всех переводов, совершенных без согласия клиентов. В 2020 году клиенты банков получили назад 11,3%, или 1,1 млрд рублей.
Как кибермошенники могут добраться до нас?
Часто мошенники пользуются методами социальной инженерии – то есть манипулируют людьми, чтобы те разгласили конфиденциальную информацию, например, короткий код для подтверждения банковской операции, или поступили так, как нужно преступнику. Для потенциальных жертв разыгрывают многочасовые спектакли на несколько ролей, подробности ниже.
Кстати, Кевин Митник (США) – один из самых известных на сегодняшний день социальных инженеров – заявлял, что получить информацию обманом гораздо проще, чем взломать систему безопасности.
Итак, где чаще всего нас пытаются поймать кибермошенники и как именно они это делают?
По телефону
Телефонное мошенничество – попытку выманить платежную информацию или заставить перевести деньги кому-либо – также называют вишингом (от англ. voice phishing – голосовой фишинг).
А фишинг (англ. phishing, от fishing — рыбная ловля – и password — пароль) — вид интернет-мошенничества, цель которого — получить пароли, данные банковских карт или другую конфиденциальную информацию.
С большой вероятностью вам уже звонили мошенники, который пытались получить доступ к деньгам, которые вы храните в банке. Такие злоумышленники охотятся за
- данными карты (номер карты, имя и фамилия владельца, CVC- или CVV-код),
- логином и паролем от личного кабинета или мобильного приложения банка,
- одноразовым паролем из смс или push-уведомления,
- данными о ваших счетах, остатках по картам, операциях и т. д.
Почему нельзя никому передавать данные банковских карт и смс-коды?
Благодаря массовым утечкам данных или (гораздо реже) банковскому пробиву – преступлению, при котором сотрудник банка передает конфиденциальные данные о клиенте третьим лицам, – мошенники могут знать о вас многое: от вашего ФИО, номера телефона и названия банков, которыми вы пользуетесь, до остатков по картам и полных банковских выписок. Пробив – сравнительно дорогая услуга, данные массовых утечек гораздо дешевле в пересчете на одного клиента.
Так как часть ваших данных у злоумышленников, возможно, уже есть, им остается собрать недостающие сведения.
- Зная данные карты и CVC-код, они могут оплатить некоторые товары и услуги вашей картой. Мы привыкли, что для подтверждения покупки нужно ввести код из смс (так работает технология защиты платежей 3D-Secure), но так происходит не всегда. 3D-Secure не является обязательной по всему миру. Например, платеж на AliExpress не требует подтверждения.
- Зная данные карты, CVC-код и одноразовый пароль из смс, мошенники сделают покупку или перевод.
- Зная логин и пароль от онлайн-банка, а также одноразовый пароль из смс, преступники могут захватить ваш личный кабинет, особенно если вы назовете им несколько одноразовых кодов. Если это произойдет, они могут не только опустошить ваши счета, но и взять кредиты на ваше имя.
Могут быть и другие риски. Не передавайте никому никаких данных о счетах. Никаких паролей. Никаких кодов.
Реже преступники пытаются получить в телефонном разговоре доступ к аккаунту госуслуг. Если вы назовете им короткие коды из смс, они привяжут к аккаунту свой номер телефона вместо вашего и попытаются оформить на вас кредиты в микрофинансовых организациях и банках. Обычно ущерб составляет миллионы рублей.
При этом короткий код госуслуги требуют только в лучшем случае: если вы настроили двухфакторную аутентификацию – дополнительную защиту аккаунта. Если такая защита есть, при каждом входе у вас будут запрашивать данные разных типов. Например, сначала предложат ввести логин и пароль, а затем код из смс. Если защита по смс не настроена, получить доступ к вашим госуслугам будет сравнительно просто. Злоумышленники могут подобрать пароль методом брутфорса (от англ. brute force — грубая сила) — систематическим перебором комбинаций символов.
Ваш аккаунт госуслуг (и, возможно, приложения банков) окажутся в опасности также если вы потеряете телефон. Немедленно свяжитесь с банками и заблокируйте карты. Чтобы не потерять доступ к госуслугам, вы можете позвонить своему оператору мобильной связи и заблокировать сим-карту, а затем обратиться в офис оператора и перевыпустить ее.
Деньги из банков и аккаунты на госуслугах – массовые цели, ваша личность мошеннику не важна. Но злоумышленники могут также охотиться на вас лично или на компанию, в которой вы работаете. Этого стоит опасаться, если вы «крупная рыба» и имеете доступ к большим ресурсам и секретам. Такой метод «охоты» называется уэйлинг (от англ. whaling – китобойный промысел). Например, преступник может позвонить под видом главного бухгалтера, генерального директора и т. д., потребовать перевести куда-либо деньги компании или сообщить важные сведения.
▫▫▫
Какие легенды используют телефонные мошенники?
«Вам звонит следователь, ваш сын стал виновником ДТП, решить вопрос можно за XXX тысяч рублей»
Такие сценарии, нацеленные на старшее поколение, – далекая классика. Иногда с пожилыми людьми разговаривали не только «следователи», но и «сыновья». В стрессовой ситуации люди не обращали внимания на то, что не узнают голоса родных. В последнее время подобные уловки не популярны: уже многие знают, что это обман.
«Беспокоит служба безопасности банка, с вашего счета совершена операция на X тысяч рублей, подтверждаете операцию?»
Это распространенный предлог для начала разговора – соцсети и мессенджеры завалены шутками на этот счет, – но, к сожалению, он все еще актуален.
Вы, конечно, не совершали операцию. Тогда собеседник сообщит, что кто-то получил доступ к вашему счету, и его нужно срочно «защитить».
? «Переведите деньги на безопасный счет»
Сотрудник службы безопасности банка блокирует подозрительную операцию. Теперь все средства нужно перевести на «специальный счет», или «счет Центробанка». Конечно, мошенники отправят вам реквизиты своего счета, и вы потеряете деньги.
Ваш собеседник может представиться кем угодно: старшим специалистом банка, сотрудником Центробанка, следователем полиции или прокуратуры, сотрудником следственного комитета, генералом и т.д.
Некоторые жертвы рассказывают, что порой им приходилось специально покупать смартфон на Android, чтобы выполнить требования злоумышленников!
Возможны другие, достаточно сложные варианты сценария «безопасный счет». Сразу после «сотрудника банка» вам может позвонить «следователь». Он будет часами держать жертву на телефоне, чтобы не дать ей опомниться.
Собеседник может убеждать вас, что вы должны снять все деньги (наличными!) и положить на защищенный счет. Для этого нужно подойти к конкретному банкомату и отправить средства – иногда на QIWI-кошелек, иногда через MirPay и т. д. Вы теряете деньги.
Если вы сами отправили деньги мошенникам или сообщили им секретную информацию о карте, банк ничего вам не возместит. Вы можете обратиться в полицию. Если злоумышленников вычислят, задержат и осудят (это случается не так часто), вы встанете в длинную очередь потерпевших, которые претендуют на возмещение ущерба. Имущества, как правило, у таких осужденных нет, поэтому выплаты могут идти с небольших заработков в колонии и с официальной зарплаты после освобождения.
? «На вас пытаются оформить кредит!»
Звонит якобы сотрудник бюро кредитных историй. Сообщает, что мошенники оформляют на вас кредит.
Через короткое время вам поступает звонок от сотрудника службы безопасности банка / полиции / Центробанка и т. д. Вы должны срочно оформить «встречный» кредит на ту же сумму, чтобы помешать злоумышленникам. Якобы ваша заявка на кредит «выбьет» заявки мошенников.
«Следователь» может настаивать, что ваш разговор должен остаться в секрете, иначе вам грозит уголовная ответственность за разглашение тайны следствия. Иногда преступники и вовсе заявляют, что в интересах следствия ваш телефон прослушивается. Мошенники боятся, что жертва свяжется с близкими, и они заподозрят обман. Звонить в банк запрещают под другим предлогом. Вы якобы должны помочь вычислить оборотня среди сотрудников банка.
Вы получаете доступ к кредитным деньгам, но это не конец. Вам нужно снять деньги и внести их на «специальный счет», чтобы сотрудник Центробанка аннулировал ваши займы. Оставить в наличные у себя нельзя якобы потому, что вы утратите доверие банка и больше никогда не сможете воспользоваться его услугами (предлог может быть и другим). Если вы внесете деньги на «счет», они уйдут мошенникам. Вам же отправят поддельные документы о закрытии счетов в WhatsApp.
«Отправил вам деньги по ошибке»
Злоумышленники могут отправить сообщение – якобы от банка – о том, что вам поступили деньги. Затем они пишут или звонят с просьбой перевести средства обратно.
Преступники могут отправлять смс с номеров, похожих на настоящие номера банков. Например, абонент будет записан как Tiknoff (вместо Tinkoff). Если с такого номера поступило странное смс, это не доказывает того, что деньги действительно пришли или были списаны. Звоните или пишите в банк.
Продолжение следует
Само по себе отключение от SWIFT не угрожает деньгам на счетах россиян в российских банках. При этом никакие «специальные счета» не помогут решить проблему – это, конечно, выдумки мошенников.
Телефонные мошенники регулярно обновляют репертуар и пристально следят за новостями. В ковидные времена предлагали, например, «привязать / сгенерировать / проверить QR-код о вакцинации» и стремились получить доступ к аккаунту госуслуг. В кризис весной 2022 года сообщали о «дефиците наличных / валюты» и «отключении банков от SWIFT». Под таким предлогом деньги россиян пытались направить на «безопасный счет», который, напомним, принадлежит мошенникам.
▫▫▫
Через интернет
В интернете распространен фишинг – мошенничество с целью украсть платежную информацию, пароли или другие сведения.
Чтобы попасться на удочку фишеров, достаточно ввести данные карты на ненадежном ресурсе (преступники делают все, чтобы он, наоборот, казался очень надежным). Ссылку вам могут прислать по электронной почте, в соцсетях и мессенджерах и даже через Google Фото, пригласив вас к просмотру альбома с заманчивым предложением. Отправители писем и сообщений могут маскироваться под большие бренды и крупные банки – под кого угодно. Напомним, уже только данные карты – без смс-кода – позволят совершить некоторые операции.
Что делать, если вы стали жертвой мошенников?
- Как можно быстрее заблокируйте карту – в мобильном приложении или в личном кабинете, в контакт-центре или в отделении банка. Это нужно, чтобы предотвратить новые списания.
- В течение суток обратитесь в банк с заявлением о том, что вы не согласны с операцией. Заявите о хищении средств в полицию.
Если вы сами перевели деньги преступникам или раскрыли свои данные, банк не должен возмещать ущерб.
Кроме того, злоумышленники научились подделывать страницы подтверждения платежей по технологии 3D-Secure – напомним, она требует ввести код, который банк отправил вам в смс или push.
Например, если вы попали на страницу поддельного интернет-магазина, выбрали товар и указали данные карты, для вас откроется фальшивая страница подтверждения платежа. Когда вы введете код из смс, злоумышленники обратятся с вашими данными уже на другую, настоящую страницу подтверждения платежа. Для банка все будет выглядеть так, будто вы сами перевели деньги мошенникам.
По данным Group-IB, во второй половине 2020 года – первой половине 2021 года ущерб от фейковых платежных страниц составил около 3,15 млрд рублей. Ежедневно россияне делали 11,7 тысяч платежей на 8,6 млн рублей, пишет «Коммерсант».
▫▫▫
Какие легенды используют для фишинга?
«Большие скидки! Акция! Уникальное предложение!»
Вам приходит письмо или сообщение, вы натыкаетесь на ссылку в соцсетях. Предлагают купить товар или услугу по привлекательной цене. Это может быть как ноунейм-продавец, так и какой-нибудь ozone вместо ozon. Вводите данные для оплаты – теряете деньги. Товара не существует.
«Пройдите опрос / участвуйте в розыгрыше»
Предлагают пройти опрос, часто от имени известного бренда, иногда от органа власти. В подарок за участие обещают дорогую технику (это может быть iPhone, MacBook, Sony Playstation) или деньги. Чтобы получить приз или компенсацию, нужно заплатить комиссию / пошлину / налог в несколько сотен рублей.
Пользователи по всему миру теряют на опросах около 80$ млн долларов в год. В 2021 году эксперты сообщили, что мошенники начали делать страницы персональные страницы с опросами. Учитывают язык, часовой пояс потенциальной жертвы и т. д. Ссылка открывается только у одного пользователя и только один раз, поэтому специалистам по кибербезопасности сложнее находить и блокировать такие ресурсы, сообщает Lenta.ru со ссылкой на Group-IB.
По такой же схеме могут проводить розыгрыши в соцсетях. Платите «комиссию», иногда даже в 1 рубль – и у вас списывают деньги с карты. Гораздо больше, чем обещали.
«Получите компенсацию за похищенные средства»
Тех, кто уже потерял деньги из-за фальшивых страниц оплат, иногда пытаются обмануть во второй раз. Возможно, они остались в базах мошенников, или уже другие группировки нашли их жалобы в соцсетях. Им отправляют письмо от некоего центра финансовой защиты (организация может называться как угодно). Жертвы рассчитывают сумму компенсации – с помощью калькулятора на сайте центра или через консультанта. Им «положены» десятки тысяч рублей, но нужно оплатить услуги юриста – всего несколько сотен. Мошенники снова получают доступ к данным карты.
«Проверьте, не утекли ли ваши данные в сеть»
Иногда те, кто занимается фишингом, маскируются под анти-фишинг. Предлагают проверить, не попала ли информация о ваших банковских картах к злоумышленникам. Жертва переходит на сайт, на котором якобы можно проверить утечку, и вводит полные платежные данные. В этот момент они действительно попадают в плохие руки.
«Пополните счет AppStore / разблокируйте Apple Pay / найдите украденный iPhone»
Весной 2022 года стало невозможно пополнить счет AppStore и iTunes с помощью российской банковской карты. Мошенники начали предлагать специальные виртуальные карты для этих площадок. При оплате указываете данные банковской карты – и их крадут.
Когда стало невозможно использовать Apple Pay, преступники предложили «восстановить доступ» к нему. Пользователям отправляют фишинговые ссылки на «сервис iCloud». Если жертва введет там данные Apple ID, злоумышленники получат доступ к его iCloud, App Store, Apple Music, iMessage и FaceTime.
По-прежнему актуальна схема с обнаружением украденного или потерянного устройства. От имени поддержки Apple или iCloud бывшему владельцу отправляют ссылку на сервис, который якобы поможет определить местоположение смартфона. Сообщение выглядит правдоподобно, но адрес / имя отправителя будут немного отличаться от оригинала. Сервис запросит у пользователя данные Apple ID. Если он не заподозрит обман, мошенники получат доступ к его файлам, фото и переписке, предупреждает Group-IB.
«Оплатил ваш товар, получите деньги по ссылке»
Авито и другие площадки по продаже подержанных вещей притягивают множество мошенников. Обманывают и продавцов, и покупателей. Одна из стратегий – выманить жертву в мессенджер и отправить ей ссылку – или на получение денег, или на оплату товара, или на оформление доставки. Пользователь попадает на сайт-клон, вводит реквизиты, теряет деньги.
Иногда используют более простые с технической точки зрения уловки: покупатель якобы оплачивает покупку, отправляет продавцу поддельный чек, а затем отказывается от товара и требует вернуть деньги. Продавец, сам того не зная, переводит лжепокупателю свои средства, ведь в действительности ему ничего не поступало.
Или, например, продавец отправляет доставкой приставку (но вместо нее кладет старый кроссовок). Когда коробка поступает в пункт выдачи, он пытается восстановить доступ в аккаунт покупателя и просит сообщить код из смс – якобы подтвердить, что посылка дошла. Если покупатель выполнит просьбу продавца, то лишится аккаунта.
Среди других уловок – поддельные сайты государственных лотерей, сайты казино, фейковые штрафы от налоговой, имитация приложений банков, приложения для удаленного доступа к устройству и т. д.
▫▫▫
Фишинг — далеко не единственный метод, которым пользуются интернет-мошенники. Набирают популярность фейковые инвестиционные проекты: только за 9 месяцев 2021 года под них было зарегистрировано на 163% больше доменов, чем за все предыдущие годы (с 2016-го). Всего эксперты обнаружили 8 тысяч доменов и около 50 преступных схем, говорилось в отчете Group-IB.
Основные легенды таковы:
- появилась новая финансовая платформа – альтернатива банкам, – которая позволит инвесторам получать огромные доходы; приманкой могут быть, например, криптовалюты или трейдеры-роботы,
- власти начали делиться с народом сверхдоходами от торговли нефтью и газом,
- рядовым инвесторам дают доступ к инструментам, которыми раньше могли воспользоваться только избранные.
Вариантов развития событий несколько:
- инвестор оставляет заявку, ему звонит личный консультант и предлагает внести депозит (около 250$), чтобы зарегистрироваться в системе получения прибыли; он выманивает данные карты под предлогом «одобрения транзакции»; мошенники крадут деньги с карты (фишинг);
- если участник не может сразу внести депозит, консультант предлагает ему забронировать место в проекте, отправив меньшую сумму на криптокошелек; участник теряет доступ к деньгам; возможно, консультант напишет снова;
- консультант отправляет участнику ссылку на фейковый личный кабинет, инвестор пополняет счет, его накопления растут, но вывести деньги не получится: возникают ошибки, требуется подтвердить личность, заплатить комиссию / налог и т. д.; консультант может и не участвовать – инвестор просто пополняет счет в веб-версии проекта или скачивает приложение.
Впрочем, мошенники могут маскироваться и под реально существующих брокеров. Новичкам даже начисляют неплохие бонусы за участие, но некоторое время спустя их деньги навсегда застревают на площадке.
Относительно новая волна мошенничества с криптовалютами и NFT – фейковые вебинары от культовых персон вроде создателя Ethereum Виталика Бутерина, основательницы фонда ARK Invest Кэти Вуд или предпринимателя и лидера мнений Гэри Ви.
Злоумышленники монтируют вебинар из старых выступлений знаменитостей и буквально их устами призывают зрителей – иногда сотни тысяч человек! – вкладываться в новый проект и удвоить инвестиции. Конечно, участники теряют вложенные средства. Некоторые из них расстаются еще и с деньгами, которые оставались в кошельке. Обещая бонусы, преступники выманивают у них seed-фразу – пароль к криптокошельку, состоящий из последовательности слов.
Но не все методы хоть немного свежи: мошенники все еще прибегают ко взлому аккаунтов в соцсетях и просьбам о помощи. Злоумышленники пишут друзьям и знакомым от имени хозяина страницы. Просят одолжить или пожертвовать им деньги, сочиняют трагичные легенды – о тяжелых ДТП, болезнях и смертях. Чтобы защитить свой аккаунт и кошельки друзей достаточно включить подтверждение входа по смс или через генератор кодов.
И напоследок – несколько слов о важном инструменте кибермошенников – вредоносных программах. У рядовых пользователей они могут красть платежную информацию. А компании – от небольших ООО до транснациональных корпораций – часто страдают, например, от вирусов-шифровальщиков – программ, которые шифруют данные на компьютерах и серверах. Это парализует работу компаний. Средняя сумма выкупа за расшифровку данных в 2021 году составила 249 тысяч долларов. Впрочем, плата не гарантирует, что данные приведут в порядок. Вредоносное ПО могут прислать по электронной почте, в мессенджере, подбросить на флешке с интригующим названием или внедрить с помощью сотрудника-взяточника.
Как обезопасить себя от кибермошенников?
От критически важного – к рекомендациям.
- Никому не сообщайте (и нигде не публикуйте)
- код подтверждения из смс, push или генератора кодов,
- CVC/CVV-код, напечатанный на оборотной стороне карты,
- данные банковских карт: номер, имя владельца, срок действия,
- логины и пароли от приложений банков, госуслуг, соцсетей и мессенджеров, почты и всего остального, что важно для вас,
- данные паспорта.
- Установите антивирус на все устройства, регулярно обновляйте его.
- Настройте двухфакторную аутентификацию – дополнительное подтверждение для входа в аккаунты. Обязательно сделайте это на госуслугах, в почте и соцсетях.
- Сразу кладите трубку, если вам позвонили насчет денег / банка / кредита, а вы не ждали этого звонка. Общаясь со злоумышленником, вы можете выдать важную информацию, даже если не собирались этого делать.
- Кладите трубку, если на вас давят, вам угрожают или вас запугивают.
- Заранее запишите телефон банка. В крайнем случае, самостоятельно найдите его в интернете или на карте. Не доверяйте номерам, которые вам прислали.
- Звоните или пишите в банк и близким, несмотря на угрозы. Расскажите о том, что происходит.
- Установите надежные пароли:
- длинные – от 10-12 знаков,
- состоят из заглавных и строчных букв, цифр, специальных символов,
- их нельзя угадать (qwerty123 не подойдет),
- их нет в словаре (программы для подбора паролей легко справляются с тем, что в словаре есть),
- они не повторяются в разных аккаунтах и сервисах, один аккаунт – один пароль.
- Храните пароли в менеджере паролей. Лучше, если это будет сервис на компьютере или смартфоне, а не онлайн-хранилище. И уж точно не мессенджер, не переписка в соцсетях и не заметки в телефоне ?
- Проверяйте страницу, на которой вводите данные карты или пароль:
- в адресной строке должен быть нарисован замок; это значит, что данные передаются по https – зашифрованному протоколу.
- каждая буква адреса должна быть на своем месте: icloud и icioud – разные вещи; сомневаетесь – найдите ресурс через браузер или другой надежный источник и сравните; переписка с посторонними – источник ненадежный.
- Заведите отдельную карту для онлайн-платежей. Многие банки разрешают моментально создавать виртуальные карты в личном кабинете. Храните на ней небольшую сумму.
- Установите лимиты по картам и счетам. Даже если мошенники будут списывать деньги с вашей карты, вы потеряете только часть сбережений.
- Подумайте о том, чтобы подключить оповещения об операциях по карте или оформить страховку карты. Если вы считаете, что можете пострадать от мошенников, возможно, эти услуги будут полезны для вас.
- Если есть возможность, храните основные накопления на счету без дистанционного обслуживания. В некоторых банках от него можно отказаться.
- Обратитесь к мобильному оператору и запретите перевыпускать вашу сим-карту по доверенности.
- Установите приложение, которое подсвечивает красным звонки от подозрительных абонентов. Например, от тех, на кого массово жаловались другие пользователи. Такой сервис есть, например, в приложениях Яндекса и Сбера.
- Старайтесь читать о новых способах мошенничества.
Оставайтесь бдительными. Оставайтесь сытыми,
Ваш MoneyKeeper.