Security

Как работают телефонные мошенники и что с ними делать?

«Добрый день, это майор полиции, была совершена попытка кражи ваших финансовых средств…». Если вам недавно поступил такой звонок, то очень вероятно, что вам позвонили телефонные мошенники, которые хотят получить доступ к вашим финансовым средствам. По данным Банка России, во втором квартале 2021 года мошенники украли с банковских счетов россиян более 3 млрд руб. Компания Group-IB сообщает, что в 2020-2021 годах чуть больше половины онлайн-мошенничеств пришлось именно на скам — обман с добровольным платежом или раскрытием данных. Это значит, что чаще всего жертвы сами раскрывают нужную злоумышленнику информацию.

Кто вам скорее всего позвонит

Какие данные с банковской карты и кому нельзя называть, по итогам проведенного Visa опроса точно знают только 0,2% россиян. Проверить, есть ли вы среди этого процента и насколько вы готовы к встрече с мошенниками, можно, кстати, с помощью нашего теста. К сожалению, в России около 7% респондентов готовы назвать третьим лицам код доступа в мобильное приложение, 9% могут раскрыть трехзначный код с обратной стороны карты, еще порядка 10% — подтверждающий код из СМС.

Больше всего россияне готовы довериться звонящим им «сотрудникам банка», «сотрудникам Центрального банка» и «сотрудникам правоохранительных органов». Скорее всего этими людьми будут представляться мошенники, когда вам позвонят.

Как выглядит разговор «сотрудника правоохранительных органов», можно увидеть на примере звонка мошенника солистке группе Little Big Софье Таюрской.

Как мошенники готовятся к атаке

Сначала злоумышленнику нужно узнать что-то важное о своей жертве. Первым звеном в цепочке атаки становятся компании-операторы персональных данных. То есть злоумышленники стараются заполучить ваши номер телефона, имя-отчество, информацию о родственниках – то есть любую чувствительную информацию, на которую вы можете среагировать (например, имя супруги или супруга) и используют для этого стороннее ПО.

К сожалению, часто люди сами устанавливают подобный «софт», не подозревая об этом, например, переходя по ссылке из фишинговой, то есть «выуживающей данные», почтовой рассылки. Подобные программы работают совершенно незаметно для пользователя, собирают информацию из СМС и социальных сетей. Когда это возможно, программа делает скриншоты, копирует сообщения и отправляет их злоумышленнику.

Чем больше будет собрано чувствительной информации — тем выше шанс того, что вы поверите злоумышленнику и выполните определенные действия, чтобы «обезопасить данные вашего ребенка»: раскроете код для входа в приложение, когда он потребует его для того, CVV с обратной стороны карты или переведете деньги. Затем происходит последний этап в цепочке атаки и от него зависит успех всего мероприятия — звонок мошенника.

Как мошенники «разводят» своих жертв

Приемы и способы общения с потенциальными жертвами — это то, что развивается быстрее всего. Не нужно несколько месяцев разрабатывать «троян» под недавно появившуюся уязвимость или выкупать очередную базу персональных данных в «даркнете». Успешные скрипты, то есть сценарии общения с жертвой, моментально распространяются среди профессиональных мошенников.

Злоумышленники постоянно адаптируют легенды: «Когда пользователи перестали доверять звонкам якобы от службы безопасности финансовых организаций, мошенники начали представляться сотрудниками правоохранительных органов, что снизило бдительность жертв» — рассказывает главный эксперт «Лаборатории Касперского» Сергей Голованов.

Главная задача легенды — ввести вас в эмоциональное состояние, при котором становится сложно критически воспринимать информацию. Когда старая легенда станет «заезженной», вы легко узнаете скрипт и просто бросите трубку. Поэтому так важно знать, как и какие легенды используют мошенники.

«Ваш родственник попал в беду»

Одна из самых распространенных схем мошенничества — легенда о родственнике, который попал в беду. Наиболее распространенный вид такого мошенничества — использование «сотрудника правоохранительных органов», который с помощью чувствительной информации, такой как имя родственника, марка машины и автомобильный номер, рассказывает о «проблемах» и просит перевести деньги.

По данным компании BI.ZONE существуют и целевые атаки — когда подменяются контакты близких людей или конкретных организаций. «Любой номер телефона может использоваться злоумышленниками для обмана близких жертве людей. Например, они могут попросить перевести деньги в долг или узнать чувствительную информацию», — рассказал в разговоре с РБК директор по противодействию мошенничеству BI.ZONE Антон Окошкин.

По его словам, многие люди даже не задумывались о том, что их могут обмануть подобным образом, «когда на экране телефона высвечивается знакомый номер».

«Ваша карта заблокирована»

Другой распространенный способ социального инжиниринга использует страх потери денег. На эту уловку особенно часто попадаются те, кто больше других переживает по поводу своих накоплений. К сожалению, страх стать жертвой финансовых мошенников играет с такими людьми злую шутку.

На мобильный телефон приходит СМС о блокировке карты, зачислении или списании денег. С технической точки зрения в имя отправителя СМС легко подставляется название банка, поэтому вы можете легко поверить в то, что с вашим счетом действительно происходят какие-то действия, которых он вы не совершали.

В таких СМС также указывается номер телефона, по которому нужно срочно позвонить, если клиент не проводил никаких операций со счетом. На другом конце провода вас будет ждать злоумышленник, представляющийся сотрудником службы безопасности. Он начинает пугать вас и попросит срочно перевести деньги на другой счет или раскрыть данные карты, чтобы «защитить накопления», а затем попросит продиктовать подтверждающий код из СМС.

В такой схеме мошенники могут представляться сотрудниками вашего банка, Центробанка, платежной системы, сотрудниками правоохранительных органов.

«Вы выиграли в лотерею!»

Этот метод, как и другие методы социальной инженерии, воздействует на эмоции человека, только в данном случае работает не страх или тревога, а радость из-за «невероятной удачи».

Злоумышленники сообщают о выигрыше в конкурсе или лотерее. Иногда встречается адаптация «вы выиграли iPhone»: в соцсетях часто проводятся конкурсы с розыгрышем материальных призов, поэтому в такое жертвы верят охотнее.

Затем вас просят перевести небольшую сумму на указанный в СМС номер телефона для «подтверждения личности победителя», обычно это 250-300 рублей. Потерять 250 рублей неприятно, но назвать катастрофой это сложно. Другое дело, когда под предлогом «подтверждения личности победителя» просят указать более чувствительные данные: CVV-код с обратной стороны банковской карты. А затем уже и код подтверждения операции из СМС — последний шаг для «получения приза!»

В предвкушении получения выигрыша жертвы готовы раскрывать чувствительную информацию или производить операции со счетом точно так же, как под страхом потери накоплений или в процессе переживаний за жизнь родственника.

«Вам надо поменять счетчик!»

Недавно автор Telegram-канала Moneyhack столкнулась с мошенниками, представлявшимися сотрудниками службы ЖКХ. Причем они настолько тщательно маскируются под официальные коммунальные службы, что начинают диалог с жертвой не со звонка, а с обычного письма в почтовом ящике с призывом проверить счетчик воды и позвонить по указанному номеру телефону. Если позвонить по номеру, то оператор-мошенник назначает выезд команды на ненастоящую «проверку». Несмотря на то, что в такой схеме у вас не выведывают финансовую информацию, однако деньги вы потерять можете, потому что доверитесь мошенникам, выдающим себя за официальные организации.

Как защитить себя

По мнению главы департамента управления рисками Visa в России Эвелины Нечипоренко, наиболее эффективный способ противодействия злоумышленникам — научить людей распознавать приемы социальной инженерии. «Как показывают результаты исследования, которые подтверждаются фактами из практики, многие пользователи все еще не готовы к встрече с мошенниками, рискуя потерять собственные средства», — считает Эвелина Нечипоренко.

Чем раньше вы прервете цепочку атаки, тем ниже вероятность того, что вы в принципе столкнетесь с мошенником. Разумеется, нельзя самостоятельно исключить возможность попадания своих персональных данных в сеть. Тем не менее, если вы сами не будете давать доступ к своим данным, то и чувствительной информации у мошенников будет меньше — а значит и вероятность манипуляции в процессе разговора значительно снизится. Что для этого нужно делать:

-        Не переходите по подозрительным ссылкам и тем более не скачивайте никакие программы из неофициальных источников.

-        Не вводите никакую чувствительную информацию, такую как трехзначный код с обратной стороны банковской карты, пока не убедитесь в надёжности ресурса: соединение должно проходить по https-протоколу, а в браузере у адреса сайта должен быть символ замка, который подтверждает наличие SSL-сертификата.

-        Если вам кажется, что дизайн сайта отличается от привычного, немедленно покиньте ресурс и зайдите на него самостоятельно, а не по предоставленной ссылке.

-        Используйте спам-фильтры для телефонных звонков — они блокируют большую часть попыток мошенников завязать разговор с потенциальной жертвой.

Не говорите «да» и перезвоните сами

Однако даже эти методы не гарантируют стопроцентной защиты от утечки чувствительной информации. А в случае целевой атаки вы рано или поздно столкнетесь с попыткой манипуляции со стороны телефонного мошенника, поэтому нужно знать, какие реплики они используют в своих скриптах.

Мошенники активно втягивают собеседника в разговор и направляют к нужным им выводам: «Согласитесь, что…», «Вам нужно…», «Вы ведь хотите…». Если замечаете, что поддерживаете диалог с незнакомым человеком и машинально соглашаетесь, а повесить трубку неудобно — скорее всего, это мошенники.

Главное для мошенников, не дать жертве времени подумать: «Проводится обязательная проверка…», «С вашего счета прямо сейчас переводят средства». Следующей фразой становится требование моментальной реакции: «Назовите…», «Перечислите прямо сейчас…». Если вы ощутили потребность срочно решить проблему, о которой и не подозревали, от слов звонящего у вас путаются мысли и учащается сердцебиение  — повесьте трубку без смущения и объяснений.

Чтобы не попасть на уловки злоумышленников, сделайте обратный звонок на входящий номер — так удастся прервать мошенничество. Если вам внезапно звонят или пишут с телефона близкого человека с необычными просьбами, не паникуйте и не следуйте инструкциям, а для начала просто перезвоните этому человеку.

Больше узнать о том, как правильно защищаться от мошенников, вы сможете в нашем проекте «Бросьте трубку».

Tag: Payment Security Tag: Cybersecurity Tag: Fraud