Технология обмана: как сегодня воруют деньги с банковских карт

Недавний случай клиента банка "Тинькофф" раскрыл новую схему обмана, в которой важную роль играет подмена настоящего номера звонящего мошенника на "банковский", при этом злоумышленник представляется сотрудником службы безопасности. В подробностях схема выглядит так. 

Сперва мошенники выискивают тех, кто пытается продать что-то дорогое на сайтах бесплатных объявлений, при этом товар долго не "уходит". Жертве звонят под видом потенциального покупателя, который готов купить товар с пересылкой или же заехать завтра, а прямо сейчас он готов перевести предоплату в размере полной стоимости товара или, если это, скажем, автомобиль, задаток. Для этого нужны лишь данные вашей карты. Часть из них, например, банк-эмитент, номер и ваше ФИО, мошенник наверняка от вас получит, т. к. этой информации недостаточно для кражи денег. Для того чтобы собрать недостающие данные о жертве, в ход идёт более замысловатый приём.

На мобильный номер продавца поступает звонок якобы от службы безопасности банка и, умело сыпля терминами и ссылками на законы, подельник "покупателя" требует от вас авторизации, то есть ответов на вопросы о прописке, дате рождения, кодовом слове и т.п. Именно такие вопросы обычно задают в банке, когда туда звоните вы. Роль технологий тут в том, что на телефоне действительно может определиться номер банка! Бдительность теряется, а на самом деле вам звонят мошенники, которые очень легко (например, через VoIP-шлюз) подставляют именно номер банка.

Дело в том, что в цифровых сетях связи вовсе не ваш телефон определяет номер абонента, как это было на АОНах 25 лет назад, а коммутатор звонящего абонента передаёт его вашему оператору, и он отображается на экране. Вспомните: даже Skype может подставлять при звонке ваш мобильный номер, хотя телефон при этом может лежать выключенным. Соответственно, имея ваши персональные данные, мошенник звонит в банк от вашего имени и, скажем, инициирует перевод или получает новый пароль от интернет-банка и т.п. — в общем, крадёт деньги.

Но есть и более примитивная разновидность такого обмана: мошенник выманивает у вас все данные, достаточные для совершения интернет-покупок, хотя для того, чтобы перевести деньги именно вам, их нужно куда меньше. 

Если же у вас подключена технология 3-D Secure, которая требует ввести одноразовый пароль из СМС, злоумышленник просто перезвонит и спросит его: мол, он нужен для зачисления денег. Сумма в СМС будет такая же, сколько стоит продаваемый вами товар, чтобы усыпить бдительность.

Как защититься: помнить, что для зачисления денег зачастую достаточно просто номера карты, а из банка звонить и выведывать паспортные данные не будут — это происходит, когда вы звоните в банк, а не наоборот.

Пока этот способ не стал массовым, в ходу у преступников гораздо более примитивные схемы. Рассмотрим механизм их действия и способы защиты.

СМС-развод

Один из самых старых способов, который, однако, до сих пор работает. Жертве присылают текстовое сообщение с текстом "Ваша банковская карта заблокирована. Телефон техподдержки +79871234567". В качестве отправителя может быть даже написано "Сбербанк" или название другого крупного банка: СМС рассылаются веерно сотням тысяч людей, и среди них с большой долей вероятности окажутся и клиенты одного из крупных банков.

Если позвонить по номеру из СМС, то вам ответит "сотрудник службы безопасности", а на самом деле актёр, который, ловко задавая вопросы, выманит у вас ваш номер карты, срок действия и код CVC, после чего эти данные можно будет использовать для оплаты товаров и услуг в Интернете. Естественно, за ваш счёт. Спасти вас сможет разве что двухфакторная авторизация 3-D Secure (когда для совершения покупки вам по СМС приходит одноразовый пароль): правда, существует множество платёжных шлюзов, не поддерживающих эту технологию. Деньги, впрочем, банк в большинстве случаев вам вернёт, но не сразу и после траты времени и нервов.

Как защититься: не звонить ни по каким номерам из СМС. Правильный номер указан на вашей карте, он же есть на сайте банка.

Подход к банкомату

Схема похожа на предыдущую, только вместо сообщения о блокировке карты всё чаще в СМС сообщают о просрочке платежа по кредиту. Возмущённая жертва звонит, чтобы сказать, что никаких кредитов не брала, а затем "сотрудник службы безопасности" говорит, что мошенники как-то взяли кредит, указав данные жертвы, и, чтобы избавиться от задолженности, нужно провести процедуру идентификации с использованием банковской карты своего банка, мол, тогда автоматически обновится информация в бюро кредитных историй и будет ясно, что кредит взяли не вы.

Жертву отправляют в банкомат определённого банка, откуда требуется перезвонить в "службу безопасности". Далее по командам мошенника жертва последовательно нажимает клавиши таким образом, чтобы перевести большую сумму со счёта на счёт мобильного телефона преступников или же в анонимный электронный кошелёк (откуда их можно легко и быстро обналичить с небольшой комиссией). Казалось бы, на экране видно, что совершается перевод, но актёр на другом конце провода убеждает жертву в том, что всё так и задумано. Невероятно, но пенсионеров по такой схеме обманывают каждый день.

Как защититься: просто помнить, что никакой сотрудник банка никогда не отправит вас к банкомату — в самом крайнем случае потребуется прийти в отделение с паспортом и обратиться к сотрудникам, а не звонить кому-то от банкомата.

Фишинг

Фишинг ("рыбная ловля", англ.) существует в большом количестве разновидностей. Где-то вам под видом интернет-банка подсовывают точно такую же страницу, где вы вводите свои данные и отдаёте их мошенникам — в банальном случае адрес отличается одной-двумя буквами, в более сложном на вашем компьютере при помощи вируса или "троянского коня" вносятся изменения в файл hosts, чтобы страница банка открывалась с другого, чужого IP-адреса. Проверьте прямо сейчас: в этом файле не должно быть ничего лишнего (file://%SystemRoot%\system32\drivers\etc\hosts).

Кроме того, распространены фейковые интернет-магазины, где что-то ценное можно купить очень дешёво, оплатив банковской картой. Соответственно, вы вводите данные карты, затем получаете сообщение об ошибке, а уже позднее мошенники используют эти данные для кражи денег.

Как защититься: не вводите данные карты где попало, а лучше вообще не "светить" основную карту в Интернете, а пользоваться промежуточным сервисом вроде Paypal или "Яндекс.Деньги", а ещё установить минимально допустимые лимиты на списание средств с карты в вашем банке. Если понадобится что-то оплатить — увеличиваем лимит, а потом снова уменьшаем. Пользуйтесь антивирусами, наиболее продвинутые из них умеют распознавать фишинг.

"Трояны" для смартфонов

Любители скачивать на свои смартфоны всё подряд, лишь бы бесплатно, становятся излюбленной жертвой авторов "троянских коней". Такие приложения под видом дополнительных уровней к популярной игре или какой-нибудь интересной функции вроде возможности видеть людей сквозь одежду голыми на самом деле воруют ваши деньги.

Принцип работы очень прост: вирус сначала, например, просит повторно ввести данные банковской карты для авторизации в Google Play (отображая своё окно поверх другого приложения), а потом перехватывает СМС от банка и отправляет их злоумышленнику, при этом тут же удаляет их на смартфоне, чтобы вы ничего не заподозрили, а тем временем воры опустошают ваш счёт. Более примитивные "трояны" просто отправляют от вашего имени СМС на короткие номера, пока не кончатся средства на балансе телефона. Есть также трояны-вымогатели, блокирующие работу смартфона и требующие выкуп.

Как защититься: проверить, что в настройках Android запрещена установка приложений из неизвестных источников. Пользоваться мобильными антивирусами. Или купить iPhone.

"Приз" с доплатой по телефону

Старый как мир способ, получивший второе дыхание благодаря распространению карт и интернет-коммерции. Вам звонят или присылают СМС с сообщением о том, что вы выиграли ценный приз. От радиостанции, от автосалона, от банка — фантазия безгранична. Главное, что от вас в конечном итоге требуется, — это, оказывается, оплатить какой-то пустяк — пошлину, комиссию, доставку или даже подоходный налог (а по закону, кстати, вы должны оплачивать подоходный налог с выигранных призов).

Раньше преступники просили пополнить счёт какого-то номера телефона или электронного кошелька. Но на такое сейчас никто не клюёт, поэтому… теперь оплатить можно прямо сейчас, банковской картой прямо с телефона. Подождите, мы вас переключаем на платёжную систему… Введите на клавиатуре в тоновом режиме сумму (сто рублей), номер карты, срок действия и три цифры на обратной стороне. Ваше имя преступники уже узнали в разговоре, а теперь… теперь вам даже пришлют СМС якобы от банка, что списано сто рублей, а тем временем данные вашей карты оказались в руках у злоумышленников, и скоро с неё спишут деньги по-настоящему.

Как защититься: помнить, что никто просто так не раздаёт кому попало айфоны и "мерседесы". А если раздаёт, то не требует ни за что платить, чтобы получить приз. Ну и данные карты, конечно, передавать по телефону не следует ни голосом, ни в тоновом режиме, кроме случаев, когда вы сами куда-то звоните и что-то покупаете (например, билеты "Аэрофлота" через call-центр).