Спасти карту банка при вишинге: рекомендации эксперта по кибербезопасности

Работник международной компании Group-IB, которая специализируется на предотвращении и расследовании киберпреступлений, сообщил, что можно успешно противостоять мошенникам, использующим так называемый «фишинг» и «вишинг», несмотря на то, что оба этих вида незаконных действий получили в последнее время весьма широкое распространение в РФ.

Заместитель руководителя CERT Group-IB Ярослав Каргалев в эксклюзивном интервью Федеральному агентству новостей рассказал все подробности новомодных ныне способов преступного отъема денег у граждан, а также дал ценные советы, как бороться с этими противоправными действиями.

Но для начала — немного предыстории. Не так давно друг корреспондента ФАН с разницей в месяц получил несколько СМС-сообщений — с разных номеров, но практически с одинаковым содержанием. В первых, якобы от службы «Сбербанк Онлайн», говорилось о том, что некто перевел некоторую сумму денег: в одном случае 800 рублей, в другом — 2000 рублей. А во вторых, уже от «пользователей», содержались прямое обращение по имени (имя и номер телефона были найдены на сайте «Авито». — Прим. ФАН) и просьба: «Умоляю, верните деньги, ошиблась (ошибся), на карту (такую-то)».

Друг перезвонил на эти номера (естественно, не со своего смартфона) и с удивлением обнаружил, что в первом случае он попал на колл-центр Сбербанка (как если бы он звонил, например, по номеру «900»), а во втором — на виртуального помощника мобильной компании «МегаФон» Елену (хотя СМС-сообщения приходили с номеров МГТС (МТС). Два остальных номера оказались заблокированными…

Каргалев сразу пояснил, что же это за вид мошенничества такой — вишинг, и почему он так называется.

— Вишинг (по-английски vishing, от voice phishing — «голосовой фишинг») — это любой сценарий, связанный с тем, что преступник пытается воздействовать на свою потенциальную жертву с помощью мобильного телефона. Это может быть и СМС-сообщение, и сообщение в мессенджерах, и звонок. Не путать с фишингом (в этом виде Интернет-мошенничества целью является получение доступа к конфиденциальным данным: логинам и паролям, в том числе путем рассылки электронных писем. — Прим. ФАН).

— Однако мой приятель позвонил на номера и попал на Сбербанк и «МегаФон». Причем это явно не были записанные тексты. Как такое вообще возможно?

— В данном случае вполне может быть переадресация. На самом деле, очень даже странно, что человек попал на Сбербанк. Как правило, мошенники любят указывать в этих сообщениях какие-то поддельные номера, которые ведут вас на поддельные колл-центры. Там есть какой-то человек, он представится сотрудником банка и будет рассказывать о некой вашей проблеме, пытаться ее решить и параллельно выуживать какую-либо информацию.

Да, мы видим в последнее время тенденцию, когда злоумышленники начинают практически повсеместно использовать роботы-автоответчики. С фирменным приветствием, как в случае звонка в настоящий банк, — робот красиво «встретит» клиента, поздоровается с ним. А после этого уже подключается оператор-мошенник. Он будет очень сильно воздействовать на человека, у которого может даже не возникнуть подозрений, что это преступник.

— То есть жертва будет уверена, что действительно общается с настоящим банком и ей нечего волноваться, правильно?

— Да. Есть, например, такой сценарий — это сейчас, как говорится, самый топ, наиболее популярный. Звонит якобы из вашего банка якобы сотрудник безопасности. Он говорит: «Мы увидели подозрительные действия с вашей картой, поэтому мы ее заблокировали». Очень оперативно, вот какие мы молодцы. И далее мошенник отмечает: «Давайте, мы сейчас ее вам восстановим, чтобы у вас все было в порядке». Человек, естественно, находится в состоянии шока…

— …и называет три заветные цифры с оборота банковской карты — код проверки подлинности карты CVV2?

— Не сразу. Параллельно потенциальную жертву начинают «нагружать» различной информацией. Рассказывают о проблеме, о том, что «сейчас куча мошенников», и тем самым не дают человеку времени обдумать всю эту ситуацию. Ну, а потом запрашивают те самые три цифры.

Но вот что еще интересно? Клиенту говорят, что не надо называть этот код вслух — «по соображениям безопасности», а нужно вводить их на экране своего телефона, прямо во время разговора. Вот так, собственно, мошенники и могут получить доступ к этой информации. Существуют же такие сервисы современной телефонии, которые позволяют взаимодействовать с клиентом интерактивно, через клавиши. Так, к примеру, работают банки.

— Недавно похожая тема была. Преступники звонят человеку и чуть ли не все ему называют: фамилию, имя, отчество, название банка, номер карты… Откуда у них взялась такая информация?

— Здесь уже немножко сложнее, потому что все зависит от конкретных ситуаций, от конкретного кредитного учреждения. Естественно, могут происходить какие-то утечки. Либо в самом банке, либо через какого-то его партнера, где содержится определенная база клиентов. Допустим, за неделю до этого человек мог оформлять кредит на каком-либо сайте. Он ввел там имя, фамилию, отчество, указал, что является клиентом такого-то банка, и так далее. А потом произошла утечка, и вся эта информация тем или иным образом оказалась у злоумышленников. И потом они звонят, представляются, называют все ваши данные, чем вызывают доверие у человека.

— Получается, что у людей остается все меньше шансов на то, чтобы не попасться на удочку мошенников. А те ведь еще и как психологи работают?

— Да, конечно. На той стороне находится так называемый «подкрепленный» или как его там. Они действительно могут хорошо воздействовать на человека, реально его так «грузят», что он немного теряет голову и не способен контролировать свои действия. Клиент находится в шоке и не может действовать, как говорится, с холодной головой.

— А номера своих карт злоумышленники дают реальные?

— Да, они настоящие. Думаю, мошенникам не составляет труда зарегистрировать какую-нибудь виртуальную карту, то есть им не нужно идти в банк и давать свои настоящие данные. Достаточно просто зарегистрироваться на каком-нибудь популярном платежном сервисе. И этот самый сервис предоставит так называемый виртуальный номер. Он будет выглядеть как самый обычный, но на самом деле этого «пластика» не существует. Преступники снова и снова регистрируют такие однодневки.

— Значит тот же Сбербанк отследить это никак не сможет? К банкам это вообще не имеет отношения, получается?

— Именно. Сбербанк, если карта выпущена не им, не имеет информации о том, кто является ее владельцем.

— А мобильные компании как-то могут реагировать на такие вещи, или тут тоже следует говорить о «левых» номерах?

— Наши крупные российские провайдеры, естественно, если им предоставить информацию, что с такого-то номера происходила какая-то мошенническая активность, все эти жалобы рассматривают. Они проводят у себя проверку и могут отследить, что да, с этого номера, допустим, идет слишком много звонков. И что ситуация совсем не характерна для обычного человека. Потом компании блокируют такие номера. Мы тоже, собственно говоря, так работаем.

— А потом вся эта информация уходит в правоохранительные органы?

— С ними должны работать пострадавшие, а не телефонный провайдер, потому что полиция даже не возьмет на рассмотрение это дело — пострадавшего-то нет. А вот если человек обратится с заявлением, что он стал реальной жертвой, то, возможно, ему там и помогут.

— Это если он стал жертвой. А если не стал? Допустим, я хочу обезопасить других людей и позвоню в МТС… Это дойдет до полиции?

— Я, к сожалению, не знаю, как отреагируют там на такой случай. Как мне кажется, и это мое личное мнение, они не будут за это браться. Потому что загружены совсем другими делами. А тут просто какое-то подозрение на каких-то мошенников. Без ущерба, без пострадавшего, полицейские не будут ничего делать.

— Факта преступления нет.

— Да. Но телефонный оператор может, конечно, и рассмотреть. Ему, со своей стороны, нужно ведь репутацию поддерживать. Он не хочет, естественно, чтобы его услугами пользовались мошенники.

— Как вы считаете, за такие вещи у нас много возбуждается уголовных дел? Скольких привлекли, посадили?

—Такой информацией — по количеству — я не обладаю. Но не так давно у нас была совместная операция с полицией. Преступники как раз по аналогичной схеме работали: телефонные звонки, «развод» людей. Причем они занимались этим несколько лет.

— Как это случилось? Вы их вычислили и связались с силовиками?

— Мы работали с технической стороны данного инцидента и предоставляли в правоохранительные органы информацию технического же характера. Помогали им это дело расследовать.

— Какой вообще оборот может быть у этих мошенников? Можете хотя бы примерно сказать, сколько они зарабатывают на этих «разводах»?

— Точные цифры назвать очень сложно. Потому что не все люди обращаются затем в банки. Да и потом, вот кого-то обманули и списали, допустим, 5 тысяч рублей. Они звонят в банк, но там им говорят: «Вы же сами сообщили этим мошенникам свои данные». И в этом случае банки возвращать ничего не будут.

К нам такая информация тоже поступает, и, судя по масштабам, этих запросов очень много. Например, всего за неделю мы отправляем на блокировку порядка двух тысяч номеров. Но это лишь маленькая доля тех людей, которые к нам обратились. А вообще, это очень большая сумма, огромные обороты.

— Ведется ли какое-то сравнение с другими странами? Где больше всего такое происходит: в России, США, Китае, Германии…?

— Схема данного мошенничества популярна везде. Абоненты любой страны сталкиваются с этой проблемой. То есть она есть повсюду — в той же самой Америке, в Европе… Это одна из самых распространенных мошеннических схем в мире. И одна из самых старых.

— Насколько старая?

— В свое время появился фишинг как способ обмана людей через подделку, например, сайтов. Как появились сайты, так появился и фишинг. И когда возникли какие-то сервисы, благодаря которым можно решать проблемы по телефону, так возникли и соответствующие мошенники.

— Выходит, еще в прошлом веке?

— Да, конечно. В 1980—1990-е годы в Европе или Америке это было уже распространено. Воровали, естественно, не банковские данные, а выуживали другую информацию. Производились различные мошеннические операции.

— И самый главный вопрос: какие дадите советы, чтобы не стать жертвой вишинга? Конечно, специалисты по кибербезопасности, сотрудники банков и всевозможных Интернет-сервисов постоянно об этом говорят, но тем не менее…

— В первую очередь, нужно знать, что современная цифровая телефония позволяет любому желающему совершить звонок со своего смартфона под видом любого другого номера — федерального (8-800…) или короткого. Это может сделать даже школьник. Также необходимо понимать, что реальный сотрудник банка, кем бы он ни представлялся: сотрудником службы безопасности либо поддержки, — никогда не будет запрашивать у вас все эти защитные коды или любые другие коды в СМС-сообщениях. Если человек услышал такую просьбу, перед ним — на сто процентов мошенник.

И главное — не нужно его оскорблять, а надо спокойно прервать разговор и перезвонить в банк, сообщить об этом случае. Потому что все эти мошенники — люди злопамятные. Если их просто послать, они могут потом названивать каждый день и оскорблять вас. Поэтому лучше так — спокойно отреагировать на звонок и просто прервать разговор.

— «Я понял, хорошо, сейчас все сделаю»?

— Да. Или: «Сейчас не могу разговаривать», или что-то в таком духе. Главное — сразу же после этого сообщить в свой банк.

Федеральное агентство новостей сделало несколько официальных запросов в различные компании, чьи интересы и реноме тем или иным образом могут страдать в результате действий мошенников. В нашу редакцию поступило два ответа: от компании «Авито» и от Сбербанка.

«Учитывая, что «Авито» — самый популярный сайт объявлений в России, нам, к сожалению, иногда приходится сталкиваться с недобросовестными пользователями, — говорится в сообщении пресс-службы Интернет-компании. — Мы, разумеется, с этим боремся. Что делаем? Запускаем сервисы, которые дают возможность совершить сделку без риска или минимизировав его. И информируем пользователей в различных точках контакта на сайте о правилах безопасности».

Служба модерации всегда следит за качеством контента, чтобы изначально на сайт не попадало ничего плохого, отметили в «Авито».

«Чтобы безопасно совершать сделки, достаточно либо пользоваться нашими сервисами («Доставка» с безопасной сделкой и так далее), либо соблюдать три простых правила, — пояснили в пресс-службе. — 1. Бережем личные данные: не нужно называть CVV-код. 2. Опасайтесь предоплаты. 3. Встречайтесь в публичных местах. И да, для нас действительно важны доверие и безопасность пользователей!»

В пресс-службе Сбербанка заявили, что кредитное учреждение всегда «информирует клиентов о схемах мошенничества и способах защиты в социальных сетях и мобильном приложении «Сбербанк Онлайн», а также «регулярно напоминает о сведениях, которые нельзя сообщать, в СМС и в отделениях банка».

«Важно помнить, что Сбербанк отправляет СМС только с номеров 900 или 9000, никогда не спрашивает ПИН- или CVV2/CVC2-код, логин, пароль от «Сбербанк Онлайн» или код из СМС, — говорится в сообщении. — К сожалению, выявление и блокировка таких рассылок находится в зоне ответственности операторов связи. Мы регулярно получаем от наших клиентов информацию о таких рассылках и номерах телефонов мошенников, которые отправляем на блокировку нашим партнерам».

Кроме того, в ведущем банке страны создана система фрод-мониторинга, основанная на искусственном интеллекте, которая выявляет подавляющее большинство попыток мошенничества.

«Система не только отслеживает в автоматическом режиме подозрительные операции и оповещает клиентов, но и предостерегает их от действий, совершаемых под влиянием мошенников», — заключили в Сбербанке.

На момент публикации данного материала в редакцию ФАН не поступило комментариев от МТС и «МегаФона», а в МГТС посоветовали дождаться ответа от крупнейшего акционера компании: «Так как мы работаем на сетях МТС» («Мобильным ТелеСистемам» принадлежит контрольный пакет акций ОАО «МГТС». — Прим. ФАН).

Ранее ФАН назвало четыре наиболее популярных у злоумышленников вида мошенничества с банковскими картами.