В этой статье мы расскажем более подробно о способе применения наших украденных или случайно утекших данных, который, несмотря на множество предупреждений в СМИ и от банков, по-прежнему приносит легкие деньги мошенникам.
Речь пойдет о вишинге (англ. vishing, от Voice phishing) — методе мошенничества с применением социальной инженерии, суть которого заключается в телефонной коммуникации, введении в заблуждение, претворяясь сотрудником банка, покупателем и так далее, и выманивании под разными предлогами у держателя платежной карты конфиденциальной информации или стимулировании к совершению определенных действий со своим банковским счетом и/или платежной картой.
Данный тип мошенничества стал очень активно применяться в отношении граждан Республики Беларусь с 2019 года. Звонят чаще всего со скрытого, похожего на настоящий номер банка либо подмененного с помощью специального программного обеспечения (то есть отображается при звонке настоящий номер банковской службы). Причем стоит отметить очень важный момент, который значительно повышает доверие к мошеннику. Звоня, он уже знает часть или весь номер карточки, услугами какого банка пользуется человек, а также может обратиться по имени и отчеству.
Сразу возникает логичный и резонный вопрос: откуда у мошенника может быть столько информации о человеке? Ответ на него прост, вишинг всегда начинается с получения сведений о будущей жертве. Источники могут быть самые разнообразные:
- Утечки клиентских и/или пользовательских баз сайтов, форумов, чатов, сообществ в соцсетях, торговых площадок, онлайн игр, интернет-магазинов, банков и многих других, не обеспечивающих должный уровень защиты для предоставленной информации или торгующие/обменивающиеся ею. Халатное отношение владельцев указанных баз к доверенным данным позволяет злоумышленникам постоянно обновлять и пополнять свои списки жертв, так как сейчас во всем мире, начиная от индивидуального предпринимателя и заканчивая крупными организациями частного и государственного секторов, все собирают и хранят наши персональные данные, в том числе паспортные и банковские, но не все используют их в заявленных целях или защищают как следует.
- Получение сведений из открытых источников, например, открытых страниц соцсетей или объявлений торговых площадок. Распространены случаи вишинговых звонков после публикации объявлений якобы по поводу покупки товара.
- Фишинг.
- Облачные хранилища. Из-за ненастроенных функций приватности, где могут храниться фотографии документов и иные персональные данные.
- Социальные сети. На страницах пользователей социальных сетей в открытом доступе находится огромное количество личной информации, данную информацию, пользователи, не задумываясь о последствиях, предоставляют в открытом виде злоумышленникам.
- Различные сомнительные и непроверенные форумы, площадки, сайты, интернет-магазины, онлайн игры собирают ваши регистрационные данные о банковских картах и другие, не обеспечивая должный уровень защиты для предоставленной информации либо банально торгуя ею.
- Кража данных с пользовательских устройств (телефон, планшет, ПК и т.д.) после заражения вредоносными приложениями, распространяемыми киберпреступниками.
В качестве примера вишинга можно привести случай, когда клиенту одного из банков позвонил неизвестный мужчина и представился сотрудником службы безопасности. Он сообщил о том, что аккаунт интернет-банкинга взломан и сейчас происходит кража денег со счета. Для того, чтобы заблокировать банкинг, необходимо сообщить логин и пароль, а потом для подтверждения того, что именно клиент является владельцем аккаунта, назвать «секретный код», который придет ему на телефон. Испугавшись, клиент сделал все, как просил «сотрудник банка», и после этого ему пришло оповещение о списании со счета крупной суммы денег.
Таким образом, всегда нужно быть начеку и помнить, банкам нет необходимости так поступать, потому что, во-первых, абсолютно вся информация о своих клиентах (счета, номера карт, баланс, коды и т. д.) у них есть, во-вторых, они способны без вашего участия проводить операции по блокировке переводов, счетов, аккаунтов и не только.
В случае возникновения малейшего подозрения, что вы разговариваете не с сотрудником банка, просто завершите разговор и сами перезвоните по номеру телефона с официального сайта для уточнения всех вопросов либо сообщите о попытке украсть у вас данные или деньги. Также, если вам удалось пресечь такую попытку либо преступнику все же удалось получить от вас желаемое, можно обратиться в правоохранительные органы с заявлением о попытке/совершении в отношении вас преступления.
Рекомендации
В современном мире невозможно гарантированно уберечь себя от утечки персональных данных, а, следовательно, и попыток использовать их против нас (обмануть, украсть деньги или подставить), так как в тех или иных ситуациях их предоставление обязательно, а скомпрометирована может быть информационная система любой компании или организации. Но можно значительно снизить вероятность возникновения подобных ситуаций. Достичь этого можно лишь за счет ответственного и внимательного отношения к своим данным:
- Всегда соблюдать меры цифровой гигиены.
- Быть бдительным в отношении передачи и предоставления любых персональных данных.
- Не выкладывать в публичный доступ.
- Не передавать и не отправлять по почте или в мессенджерах сведения из документов, а также их сканы и фотографии сомнительным и непроверенным сервисам, магазинам, организациям, незнакомым людям.
- Постараться исключить случаи пересылки данных даже знакомому и надежному контакту, которому они необходимы, например, для оформления документов, поскольку вы не сможете проследить, будут ли ваши данные переправлены далее посторонним людям. Если альтернативного способа передать данные нет, то после использования отправителю и получателю необходимо удалить их с почтового сервера, а при пересылке сканов и фотографий документа рекомендуется ставить непосредственно на них пометку (например, водяной знак), с какой целью они пересылаются, чтобы сложнее было использовать в преступных целях.
Подведем итоги и выделим основное.
В любых ситуациях, проводя какие-либо действия с денежными средствами пользователям необходимо соблюдать повышенную осторожность. Банки не запрашивают CVV-коды (с обратной стороны карты) или коды из СМС, а также иную персональную информацию. Кроме того, пользователям нельзя переходить по сомнительным ссылкам из СМС или писем в интернет-ресурсах, социальных сетях и мессенджерах: они могут вести на мошеннические сайты.
По рекомендациям банковских учреждений, клиенты, которым поступает звонок из банка, должны обращать внимание на манеру общения сотрудников. Мошенники постараются всеми способами убедить клиента продолжать разговор. А настоящая служба безопасности банка никогда не будет возражать, если клиент захочет перезвонить позже.
Если мошенники все же украли деньги со счета клиента, нужно в кратчайшие сроки сообщить банку о несанкционированном переводе и заблокировать карту. Если пользователь не нарушил правила безопасности, банки обязаны вернуть клиенту деньги. Однако сложно говорить о возврате, когда клиент нарушает правила пользования интернет-банком: сообщает свои данные для входа в онлайн-банк и коды подтверждения мошенникам. В таких случаях все зависит от типа транзакции и удалось ли ее остановить антифрод-системам, либо она ушла.
Пользователям, столкнувшимся с неудачной попыткой мошенничества, также рекомендуется обращаться в банк. Таким образом, банк узнает о новых способах мошенничества и их предотвращает. Также имеет смысл сообщать о злоумышленниках операторам связи: у них есть возможность отследить и заблокировать звонки с номеров мошенников.
Успех или неудача вишинговых мошенников практически полностью зависит от просвещённости и грамотности в сфере информационной безопасности граждан. Таком образом, если клиент будет бдителен и осторожен, то вероятность хищения с его карты денежных средств стремиться к нулю.
Вишинг (англ. vishing, от voice phishing) — один из методов мошенничества с использованием социальной инженерии, который заключается в том, что злоумышленники, используя телефонную коммуникацию и играя определённую роль (сотрудника банка, покупателя и т. д.), под разными предлогами выманивают у держателя платежной карты конфиденциальную информацию или стимулируют к совершению определённых действий со своим карточным счетом / платежной картой.
Исходя из статистических сведений, с начала 2020 года вишинг набирает все большую популярность и входит в топ самых распространенных способов телефонного мошенничества на территории нашей страны. Результаты многочисленных исследований показывают следующее:
- Во время эпидемии COVID-19 количество звонков от финансовых мошенников выросло более чем на 30%.
- Большинство звонящих в первую очередь пытаются вызвать доверие клиентов. Подавляющая часть мошенников знают, как минимум, имя человека, другие знают также фамилию и отчество, меньшинство обладают сведениями о персональных данных карты или могут назвать банк, в котором обслуживается клиент. Все эти сведения мошенники используют в беседе, и часто клиенты начинают верить в то, что общаются именно с сотрудником банковской организации.
- Персональную информацию о клиентах мошенники получают благодаря сливам баз данных банков или с помощью агрегаторов данных. Например, ФИО и номера телефонов могут быть у различных магазинов: они собирают информацию о своих покупателях для включения их в бонусные программы. Если мошенник получит доступ к этим данным, он будет знать имя и фамилию клиента, а также номер его телефона.
- Мошенники используют различные техники социальной инженерии, за основу можно выделить несколько сценариев, которыми чаще всего пользуются злоумышленники. Обычно звонящие пытаются сразу вызвать страх у клиентов: сообщают о подозрительном платеже с банковской карты или о том, что карта заблокирована. Реже мошенники звонят с «выгодным» предложением — открыть вклад или получить кредит.
- Целью мошеннических звонков в большинстве случаев являются коды из СМС, приходящие на телефон клиента. Например, если мошенники звонят и говорят, что с карты пользователя был совершен подозрительный перевод без его ведома, то позже они предложат остановить транзакцию. Чтобы ее остановить, злоумышленники попросят клиента назвать код из СМС, которая придет во время разговора. Однако на самом деле клиент не останавливает транзакцию, а подтверждает ее и деньги уходят на счет мошенников. Второй вариант — мошенники попросят клиента самостоятельно перевести деньги с карты на якобы безопасный счет. При этом злоумышленники называют реквизиты собственных карт. Некоторые мошенники заходят еще дальше и уговаривают под различными предлогами клиента установить специальное приложение на телефон, которое, по их словам, защитит деньги пользователей от краж. Но на самом деле с помощью подобных приложений злоумышленники могут узнать пароль от интернет-банкинга клиента и иные персональные данные, а также удаленно управлять мобильным устройством.
Что делать для защиты от мошенников.
В ситуации, когда самый излюбленный способ работы мошенников — звонок от имени якобы сотрудника банка, лучше вообще не вступать в такие разговоры. К сожалению, злоумышленники сейчас активно пользуются IP-телефонией. Это позволяет использовать номера, которые похожи на официальные номера банков. Иногда эти номера и вовсе могут совпадать.
Следующие советы помогут обезопасить себя при встрече с таким методом мошенничества, как вишинг:
- Ни в коем случае не перезванивайте на тот номер, с которого вам поступил звонок. Сами же при звонке в банк набирайте номер, который указан на сайте банка.
- Сотрудник банка и без звонка должен знать:
- вашу фамилию;
- паспортные данные;
- и то, какие карты у вас оформлены;
- сколько денег осталось у вас на карте.
Если кто-то по телефону начинает спрашивать у вас что-то подобное, смело завершайте разговор и сообщайте о подозрительном звонке в банк.
- Есть информация, которую должны знать только вы. Банки никогда не звонят сами и не спрашивают по телефону у клиентов:
- полный номер карточки;
- срок ее действия;
- CVC/CVV;
- логин и пароль к интернет-банкингу;
- кодовое слово, код из СМС-сообщения.
Подобные сведения банк может спросить только в том случае, если клиент позвонил сам и то, это будет только ограниченная информация, а не полные данные, которые у банка и так имеются. Если вам позвонили и просят сказать что-то из вышеперечисленного — перед вами, скорее всего, мошенник.
Если с вашей картой действительно какие-то проблемы, то банк может сам ее заблокировать (такие случаи были, например, когда резко менялась география совершения операций по карте). Но в любом случае все подобные вопросы нужно решать в отделении банка, а не по телефону.
Еще одна уловка мошенников — рассылать СМС или сообщения в соцсетях со ссылками, перейдя по которым, вы сами установите на смартфон или ноутбук вредоносное ПО для воровства персональной информации. Внешне такие лжесообщения очень похожи на реальные сообщения от банков, госорганов, операторов связи или известных магазинов. Сложность еще и в том, что злоумышленники обычно используют сервисы по сокращению интернет-ссылок и выявить подвох гораздо сложнее.
Если вы получили сообщение о выигрыше, прежде чем переходить по ссылке, узнайте, действительно ли был такой розыгрыш и, если ли информация о розыгрыше на официальном сайте. Например, были случаи, когда клиентам обещали подарки к юбилею банка, которое будет только через несколько лет, либо вообще уже давно было.
Подведем итоги и выделим основное.
В любых ситуациях, проводя какие-либо действия с денежными средствами пользователям необходимо соблюдать повышенную осторожность. Банки не запрашивают CVV-коды (с обратной стороны карты) или коды из СМС, а также иную персональную информацию. Кроме того, пользователям нельзя переходить по сомнительным ссылкам из СМС или писем в интернет-ресурсах, социальных сетях и мессенджерах: они могут вести на мошеннические сайты.
По рекомендациям банковских учреждений, клиенты, которым поступает звонок из банка, должны обращать внимание на манеру общения сотрудников. Мошенники постараются всеми способами убедить клиента продолжать разговор. А настоящая служба безопасности банка никогда не будет возражать, если клиент захочет перезвонить позже.
Если мошенники все же украли деньги со счета клиента, нужно в кратчайшие сроки сообщить банку о несанкционированном переводе и заблокировать карту. Если пользователь не нарушил правила безопасности, банки обязаны вернуть клиенту деньги. Однако сложно говорить о возврате, когда клиент нарушает правила пользования интернет-банком: сообщает свои данные для входа в онлайн-банк и коды подтверждения мошенникам. В таких случаях все зависит от типа транзакции и удалось ли ее остановить антифрод-системам, либо она ушла.
Пользователям, столкнувшимся с неудачной попыткой мошенничества, также рекомендуется обращаться в банк. Таким образом, банк узнает о новых способах мошенничества и их предотвращает. Также имеет смысл сообщать о злоумышленниках операторам связи: у них есть возможность отследить и заблокировать звонки с номеров мошенников.
Успех или неудача вишинговых мошенников практически полностью зависит от просвещённости и грамотности в сфере информационной безопасности граждан. Таком образом, если клиент будет бдителен и осторожен, то вероятность хищения с его карты денежных средств стремиться к нулю.
Все чаще мошенники для получения доступа к персональным данным, реквизитам банковских платежных карточек, паролям и другой конфиденциальной информации используют методы «социальной инженерии»: не взламывают устройства, а выманивают нужную информацию, используя ваши эмоции.
С клиентом банка посредством телефонного звонка или в социальных сетях связывается мошенник под видом представителя банка или с аккаунта друга, родственника. В ходе звонка или переписки собеседник описывает свою сложную жизненную ситуацию и просит ему материально помочь или «запугивает» ложной информацией о сомнительных операциях с банковской карточкой (наличии заявки на кредит, блокировке счета, мошеннических атаках и др.), представляясь работником банка, и предлагает для сохранения оставшихся денежных средств перевести их на новый счет. Собеседник говорит очень убедительно и, как правило, торопит развивающиеся события.
Сценарии могут быть разными, а итог один: клиент самостоятельно предоставляет все секретные данные, коды из смс-сообщений банка, логин и пароли. Поэтому такие случаи не относятся к принципу «нулевой ответственности» банка, так как конфиденциальные данные злоумышленнику сообщили вы сами.
Обезопасить себя от данного типа мошенничества можно, соблюдая простые меры безопасности и проявляя разумную бдительность. Если ваш собеседник представился сотрудником банка и пытается получить персональные данные, рекомендуем незамедлительно завершить диалог и самостоятельно обратиться в банк по номеру, указанному на Вашей банковской карте, официальном сайте либо прийти в офис лично.
Не будьте излишне доверчивыми, не совершайте действий, которые способствуют передаче конфиденциальных данных третьим лицам!
Вот несколько простых советов, соблюдение которых, позволит не стать жертвой злоумышленников:
- Перед тем, как откликнуться на просьбу друга в социальной сети, созвонитесь с ним или найдите способ убедиться в том, что его аккаунт не взломан (задайте другу вопрос, ответ на который знаете только вы оба);
- У банков нет совместных контактных центров и служб безопасности, следовательно, переключение между ними невозможно. Если звонящий говорит о таком «переключении», прервите разговор и перезвоните в Банк по номерам, указанным на вашей банковской карте либо официальном сайте финансового учреждения;
- Если смс-сообщение о подозрительной операции по карточке приходит в новую ветку переписки, в которой ранее не было сообщений от Банка – это повод уточнить ее достоверность и перезвонить в Банк по официальным номерам;
- Работники банка никогда не просят озвучить смс-код, который необходим для подтверждения совершения банковской операции, а также никогда не спрашивают логин или пароль для входа в систему Интернет-банкинга. В такой ситуации немедленно прервите разговор и свяжитесь с Банком по официальным номерам.
- Никому не сообщайте данные своей карточки и всегда держите её в поле зрения при совершении платежей;
- Обязательно подключите 3D-secure и смс-оповещение;
- Используйте только официальный сайт для входа в систему Интернет-банкинга или официальное мобильное приложение соответствующего банковского учреждения;
- Регулярно обновляйте пароли, используемые для входа в систему Интернет-банкинга, а также для подтверждения платежей;
- В случае выявления действий по карточке, которые не совершались ее держателем, необходимо оперативно обратится в Банк по официальным номерам или заблокировать карточку самостоятельно в Интернет/М-банкинге (при наличии такой возможности).
Что бы обезопасить себя и повысить уровень цифровой грамотности, рассмотрим самые распространенные на текущий момент схемы мошенничества:
- 1.«Звонок из Банка»
Вам звонит незнакомец. Номер входящего звонка очень похож на номер банка, а звонящий представляется работником контакт-центра или службы безопасности банка.
Для реализации мошеннической схемы также используются мессенджеры, прежде всего Viber, WhatsApp и Telegram. Входящий звонок максимально закамуфлирован под звонок сотрудника банка: на аватарке может использоваться логотип банка (полностью или частично), а отображаемый телефонный номер звонящего может быть очень похож на телефон службы поддержки банка. У мошенников есть возможность звонить с номеров, похожих (реже – полностью совпадающих) на официальные номера банка. Злоумышленники меняют цифры в номере, которые вы можете не заметить.
Мошенник сообщает, что «банк выявил подозрительную операцию по Вашей карте» или «поступил запрос на онлайн-оформление кредита на Ваше имя».
Он просит у вас логин и пароль от Интернет-банкинга, код из SMS от Банка (зачастую сопровождаемый фразой «Никому не сообщайте!»), реквизиты карты (полный номер карты и срок ее действия, CVV- или CVС-код). Это нужно якобы «для сохранности ваших денег».
Как мошенник пытается вас убедить:
- «Мы звоним с официального номера, проверьте на сайте».
- «В целях конфиденциальности я включаю робота, который защитит ваши данные».
- Для убедительности он называет ваши персональные данные (имя, отчество, последние 4 цифры карты и др.) и просит перевести деньги «на защищённый счет, который закреплён за персональным менеджером: это нужно для безопасности, а потом вы сможете вернуть деньги».
- Или просит назвать ваши персональные данные или секретные коды из SMS роботу, при этом в трубке вы слышите музыку.
- Вам предлагают услуги страховки от мошеннических действий. Для ее оформления необходимо предоставить данные о карте, на которой находятся значительные денежные средства и SMS-код для подтверждения операции.
Важно! Никому не сообщайте свои личные данные, данные карт, защитные коды, коды из SMS! Если с картой, действительно, происходят мошеннические операции, Банк сам может ее заблокировать!
Еще один из способов получить доступ к Вашим денежным средствам, используя методы социальной инженерии, побудить клиентов банковских учреждений установить сторонние мобильные приложения для удаленного доступа в мобильное устройство потенциальной жертвы. Для примера, одним из таких приложений является “AnyDesk - удаленное управление” из сервисов Google Play/App Store.
Звонки осуществляются, как правило, на мобильные телефоны из указанных выше мессенджеров. При этом мошенники представляются сотрудниками банка, сообщают о якобы зафиксированных попытках совершения подозрительных операций на внушительные суммы, предлагают подтвердить их легитимность. В ходе разговора, с целью скорейшего вхождения в доверие, опрашивают клиента, задавая вопросы общего характера: «Передавалась ли БПК третьим лицам», «Доставляются ли СМС-оповещения» и т.п. Сообщают о блокировке сомнительных операций и счета клиента. Для повышения степени защищенности Интернет-банкинга и восстановления доступа к счету клиенту настоятельно рекомендуют установить приложение «AnyDesk - удаленное управление» из сервисов Google Play/App Store. В случае согласия пострадавшего, конечно же, оказывают помощь и консультацию в установке. Установленное приложение позволяет злоумышленникам получить удалённый доступ к вашему устройству.
- 2.«Потенциальный покупатель»
Мошенник представляется потенциальным покупателем товара, объявление о продаже которого было размещено вами в сети Интернет. По каким-то причинам «покупатель» не может сегодня привезти или перечислить деньги, но хочет прислать вам залог из другого города по системе дистанционного банковского обслуживания.
Для проверки поступления перевода мошенник направляет вам ссылку на фишинговый сайт, который очень близок по дизайну на используемый вами интернет-банк или страницу для ввода реквизитов карточки для получения уже отправленного перевода денежных средств. После введения вами в поля фишингового сайта пароля и логина или реквизитов вашей карточки, данные становятся доступны мошеннику.
Вместо ссылки мошенник может направить вам QR-код, который также хранит в себе ссылку на фишинговый сайт. После введения вами в поля фишингового сайта пароля и логина или реквизитов вашей карточки, данные становятся доступны мошеннику.
Важно! Не переходите по подозрительным ссылкам. Для веб-версии Интернет-банкинга используйте только официальный сайт Банка, а для мобильной версии – только мобильное приложение, загруженное из официальных магазинов. Внимательно изучите сайт, на котором вводите личные данные. Обязательно проверьте наличие такого сайта в Интернете путем обычного поиска.
Запомните! Для получения перевода денежных средств нет необходимости вводить срок действия карты и CVV-код.
- 3.«Сообщения в социальных сетях»
Мошенник незаконным путем получает доступ к страничке в социальной сети и отправляет сообщения с просьбой финансовой помощи от имени ее владельца друзьям.
Просьба может быть самая разная: от «Скинь мне денег на карту, по дружбе» до нехватки денег на большую покупку. В редких случаях мошенник даже просит произвести оплату самостоятельно, обещая возместить затраты при личной встрече.
При получении сомнительного сообщения или малейшей неуверенности в том, что вы действительно общаетесь с владельцем странички, позвоните ему.
- 4.«Розыгрыши/раздачи/опросы от Банка или иных организаций»
Мошенники оставляют выдуманную рекламу в популярных социальных сетях об опросе от имени Банка и «Раздаче призов первой 1000 прошедших опрос!» либо для зачисления денежных средств в честь юбилейной даты со дня образования того или иного финансового учреждения. Цель опроса — изучить мнение клиентов. После прохождения опроса организатор обещает денежное вознаграждение. Однако, по окончанию опроса необходимо заплатить небольшую комиссию, связанную с перечислением вознаграждения или ввести персональные данные Вашей карты для зачисления на нее денежных средств.
Данный кейс очень разнообразен и ограничивается только воображением мошенников. Вместо опроса может предлагаться возмещение налоговых выплат, компенсация за наличие ваших данных в базе «утечки» и иные махинации.
Важно! Посетите официальную страницу организации, а не ресурс, ссылку на который прислал мошенник или позвоните в контакт-центр для проверки наличия акции, розыгрыша или опроса.
- 5.«Фишинг и новшества в различных платежах»
Дополнительно хотим рассказать о новой мошеннической схеме, которая в текущее время широко распространена на территории Российской Федерации и, к сожалению, может быть актуальна для граждан Республики Беларусь.
Злоумышленниками по электронной почте рассылаются фальшивые уведомления об оплате долгов за жилищно-коммунальные услуги, которые возникли за время самоизоляции. В письмах сообщается о задолженности и просьбой оплатить поддельные квитанции онлайн, либо предоставить сведения об уже совершенной оплате. В случае, если клиент начинал производить оплату и вводить реквизиты карточки на сайте, куда его привели ссылки из письма, мошенники получали доступ к его счету. В случае игнорирования клиентом подобных сообщений, ему звонили от лица управляющей компании и убеждали в наличии «долга по квартплате». При этом мошенники пытались выяснить способы оплаты и реквизиты карточки, по которой проводился платёж, и предлагали совершить «тестовую транзакцию для проверки», а также сообщить им код из SMS.
Стоит помнить, что мошенники идут в ногу со временем, а общество постоянно повышает уровень своих цифровых знаний, всё больше узнает о социальной инженерии и иных методах злоумышленников, поэтому используемые сейчас последними способы и средства для хищения денежных средств в скором времени могут стать неактуальными, поэтому в любой ситуации нужно оставаться предельно внимательными и досконально разобраться в случившемся, прежде чем сообщить кому-то свои персональные данные. Ведь Ваша безопасность в первую очередь в Ваших руках!
Все чаще мошенники для получения доступа к персональным данным, реквизитам банковских платежных карточек, паролям и другой конфиденциальной информации используют методы «социальной инженерии»: не взламывают устройства, а выманивают нужную информацию, используя Ваши эмоции.
Например, злоумышленник связывается с держателем карточки посредством телефонного звонка или со взломанного аккаунта друга, родственника или знакомого в социальных сетях. В ходе звонка или переписки мошенник:
- Описывает свою сложную жизненную ситуацию и просит помочь ему материально;
- Представляется работником банка, «запугивает» ложной информацией о сомнительных операциях с банковской платежной карточкой (наличии заявки на кредит, блокировке счета или мошеннических атаках), и предлагает для сохранения оставшихся денежных средств перевести их на новый счет;
- Представляется потенциальным покупателем товара, объявление о продаже которого было размещено держателем карточки в сети интернет (наиболее популярны платформы по продаже б/у вещей).
Сценарии могут быть разными, а итог один: держатель карточки самостоятельно предоставляет все секретные данные, коды из смс-сообщений банка, логин и пароли.
Помните! Такие случаи не относятся к принципу «нулевой ответственности» держателя карточки, так как конфиденциальные данные злоумышленнику сообщил он сам.
Обращаем Ваше внимание, что телефонный номер мошенника может быть похож на телефонный номер Банка и отличаться одной или несколькими цифрами.
Иногда, действительно, требуется получение комментариев от держателя карточки по факту совершения операции, которая является сомнительной для Банка. В таком случае Банк направляет на телефонный номер клиента SMS-сообщение с просьбой перезвонить в Центр клиентской поддержки Банка.
Обезопасить себя от данного типа мошенничества можно, соблюдая простые меры безопасности и проявляя разумную бдительность. Если ваш собеседник представился сотрудником банка и пытается получить персональные данные, рекомендуем незамедлительно завершить диалог и самостоятельно обратиться в Банк по номеру, указанному на Вашей банковской карте.
Не будьте излишне доверчивыми, не совершайте действий, которые способствуют передаче конфиденциальных данных третьим лицам!
Вот несколько простых советов, соблюдение которых, позволит не стать жертвой злоумышленников:
- Перед тем, как откликнуться на просьбу друга в социальной сети, созвонитесь с ним или найдите способ убедиться в том, что его аккаунт не взломан (задайте другу вопрос, ответ на который знаете только вы оба);
- У банков нет совместных контактных центров и служб безопасности, следовательно, переключение между ними невозможно. Если звонящий говорит о таком «переключении», прервите разговор и перезвоните в Банк по указанному на банковской карте или официальном сайте номерам;
- Если смс-сообщение о подозрительной операции по карточке приходит в новую ветку переписки, в которой ранее не было сообщений от Банка — это повод уточнить ее достоверность и перезвонить в Банк;
- Работники Банка никогда не просят озвучить смс-код, который необходим для подтверждения совершения банковской операции, а также никогда не спрашивают логин или пароль для входа в систему дистанционного банковского обслуживания (Интернет-банкинг, М-банкинг и другие). В такой ситуации немедленно прервите разговор и свяжитесь с Банком;
- Никому и никогда не сообщайте данные своей карточки и всегда держите ее в поле зрения при совершении платежей;
- Обязательно подключите 3D-secure и смс-оповещение;
- Используйте только официальный сайт Банка для входа в систему Интернет-банкинга или официальное мобильное приложение;
- Регулярно обновляйте пароли, используемые для входа в систему дистанционного банковского обслуживания, а также для подтверждения платежей;
- В случае выявления действий по карточке, которые вами не совершались, необходимо оперативно обратится в Банк или самостоятельно заблокировать карточку в системе дистанционного банковского обслуживания.
Рассмотрим самые распространенные схемы мошенничества сейчас:
- «Звонок из Банка»
Вам звонит незнакомец. Номер входящего звонка очень похож на номер банка, а звонящий представляется работником контакт-центра или службы безопасности банка.
Для реализации мошеннической схемы также используются мессенджеры, прежде всего Viber. Входящий звонок максимально закамуфлирован под звонок сотрудника банка: на аватарке может использоваться логотип банка (полностью или частично), а отображаемый телефонный номер звонящего может быть очень похож на телефон службы поддержки банка.
У мошенников есть возможность звонить с номеров, похожих на официальные номера банка. Злоумышленники меняют цифры в номере, которые вы можете не заметить.
У вас просят конфиденциальные данные
Мошенник сообщает, что «банк выявил подозрительную операцию по Вашей карте» или «поступил запрос на онлайн-оформление кредита на Ваше имя».
Он просит у вас логин и пароль от Интернет-банкинга, код из SMS от Банка (в большинстве случаев сопровождаемый фразой «Никому не сообщайте!»), реквизиты карты (полный номер карты и срок ее действия, CVV- или CVС-код). Это нужно якобы «для сохранности ваших денег».
Как мошенник пытается вас убедить
- «Мы звоним с официального номера, проверьте на сайте».
- «В целях конфиденциальности я включаю робота, который защитит ваши данные» (вы слышите в трубке лёгкий шелест).
- Для убедительности он называет ваши персональные данные (имя, отчество, последние 4 цифры карты и др.) и просит перевести деньги «на защищённый счет, который закреплён за персональным менеджером: это нужно для безопасности, а потом вы сможете вернуть деньги».
- Или просит назвать ваши персональные данные или секретные коды из SMS роботу, при этом в трубке вы слышите музыку.
- Вам предлагают услуги страховки от мошеннических действий. Для ее оформления необходимо предоставить данные о карте, на которой находятся значительные денежные средства и SMS-код для подтверждения операции.
Важно! Никому не сообщайте свои личные данные, данные карт, защитные коды, коды из SMS! Если с картой, действительно, происходят мошеннические операции, Банк сам может ее заблокировать!
- 2.«Потенциальный покупатель»
Мошенник представляется потенциальным покупателем товара, объявление о продаже которого было размещено вами в сети интернет. По каким-то причинам «покупатель» не может сегодня привезти деньги, но хочет прислать вам залог из другого города по системе дистанционного банковского обслуживания.
Ссылка
Для проверки поступления перевода мошенник направляет вам ссылку на фишинговый сайт, который очень близок по дизайну на используемый вами интернет-банк или страницу для ввода реквизитов карточки для получения уже отправленного перевода денежных средств. После введения вами в поля фишингового сайта пароля и логина или реквизитов вашей карточки, данные становятся доступны мошеннику.
QR-код
Вместо ссылки мошенник может направить вам QR-код, который также хранит в себе ссылку на фишинговый сайт. После введения вами в поля фишингового сайта пароля и логина или реквизитов вашей карточки, данные становятся доступны мошеннику.
Важно! Не переходите по подозрительным ссылкам. Для веб-версии Интернет-банкинга используйте только официальный сайт Банка, а для мобильной версии – только мобильное приложение, загруженное из официальных магазинов. Внимательно изучите сайт, на котором вводите личные данные. Обязательно проверьте наличие такого сайта в интернете.
Запомните! Для получения перевода денежных средств нет необходимости вводить срок действия карты и CVV-код.
- 3.«Сообщения в социальных сетях»
Мошенник незаконным путем получает доступ к страничке в социальной сети и отправляет сообщения с просьбой финансовой помощи от имени ее владельца друзьям.
Просьба может быть самая разная: от «Скинь мне денег на карту, по дружбе» до нехватки денег на большую покупку. В редких случаях мошенник даже просит произвести оплату самостоятельно, обещая возместить затраты при личной встрече.
Важно! При получении сомнительного сообщения или малейшей неуверенности в том, что вы действительно общаетесь с владельцем странички, позвоните ему.
- 4.«Розыгрыши/раздачи/опросы от Банка или иных организаций»
Мошенники оставляют выдуманную рекламу в популярных социальных сетях об опросе от имени Банка и «Раздаче призов первой 1000 прошедших опрос!» или о том, что в связи я годовщиной Банка либо иным значимым мероприятием, последний раздает своим клиентам денежные призы. Цель опроса — якобы изучить мнение клиентов. После прохождения опроса организатор обещает денежное вознаграждение.
Однако, после прохождения опроса необходимо заплатить небольшую комиссию, связанную с перечислением вознаграждения либо с целью получения последнего – ввести данные Вашей банковской карты.
Данный кейс очень разнообразен и ограничивается только воображением мошенников. Вместо опроса может предлагаться возмещение налоговых выплат, компенсация за наличие ваших данных в базе «утечки» и иные махинации.
Важно! Посетите официальную страницу организации или позвоните в контакт-центр для проверки наличия акции, розыгрыша или опроса.
- ПАМЯТКА «Как не стать жертвой при осуществлении финансовых операций в сети Интернет»
Дата публикации: .
Что сегодня может быть проще, чем купить в интернете понравившийся товар? Совершить такую покупку может даже ребенок или пользователь, не вполне уверенно владеющий навыками работы с персональным компьютером. Этот процесс обусловлен тем, что большинство людей сегодня все чаще испытывает дефицит свободного времени и тратить его на походы по магазинам, особенно в поисках обычных товаров, стало для многих недоступной роскошью. Кроме этого, купить или продать товар в сети Интернет стало очень просто благодаря огромному числу торговых площадок, которые делают этот процесс максимально быстрым и удобным, предоставляя возможность оплаты с использованием банковских платежных карт и доставки товара в любой уголок мира.
Наиболее распространены способы совершения преступлений
- 1. «Предоплата» (обман продавца)
Суть данного способа заключается в том, что злоумышленник выступает в роли покупателя. На одной из интернет-площадок с объявлениями он находит продавца и копирует его контактные данные. После чего ищет его в мессенджерах (социальных сетях), представляясь покупателем. В ходе переписки, злоумышленник сообщает, что товар ему понравился и он хочет его приобрести в связи с чем уже якобы совершил предоплату (зачастую высылается скриншот электронного карт-чека о перечислении средств). Для того, чтобы получить данные средства продавцу высылают ссылку на поддельную страницу (она выглядит как один из разделов официального сайта интернет-площадки или банковского учреждения), где продавцу нужно ввести номер своей карты, имя держателя, срок действия, CVV-код указанный на оборотной стороне карты (информацию, содержащуюся в СМС-сообщении, поступившем из банка, для подтверждения получения предоплаты). После получения конфиденциальных сведений, злоумышленник совершает хищение средств.
- 2. «Доставка» (обман покупателя)
Злоумышленник размещает объявление на интернет-площадке о продаже товара по крайне выгодной цене. После того, как потенциальный покупатель начинает вести переписку во внутреннем чате площадки, злоумышленник под различными предлогами убеждает его продолжить общение в мессенджере или социальной сети. Во время общения мошенник уговаривает покупателя внести предоплату или оформить доставку, и чтобы развеять сомнения покупателя, сообщает о якобы новой услуге удержания (холдирования) средств, которая появилась на торговой площадке, т.е., если доставка не произойдет, то торговая площадка автоматически вернет средства на карту. При этом покупателю высылается ссылка на поддельную страницу, которая имитирует официальную страницу торговой площадки или интернет-банкинга, где нужно ввести данные карты (далее осуществляются действия по схеме обмана продавца).
3. Использование социальных сетей
Осуществив несанкционированный доступ к персональным аккаунтам пользователя сети Интернет, злоумышленник рассылает всем виртуальным «друзьям» потерпевшего просьбу под различными предлогами сообщить реквизиты банковской платежной карты. Это может быть ее фото или просто номер, срок действия и иные реквизиты, при этом, хоть в большинстве своем школьники банковских карт не имеют, но желая помочь «другу» очень часто используют карты своих родственников и друзей. Порой преступники просят просто номер мобильного телефона и либо пытаются похитить со счета телефона деньги или наоборот используют его как промежуточное звено, направляя на этот счет чужие деньги, переводя их затем дальше, чтобы запутать свои следы (практически во всех случаях хищения денежных средств со счетов мобильных телефонов потерпевшие еще сообщали преступнику персональные коды, приходящие в виде смс-сообщений на телефон).
- 4. Звонок от «представителя» банка с просьбой срочно предоставить необходимую информацию
Преступники от имени сотрудников банка сообщают, что необходимо осуществить какие-либо действия с банковской платежной картой, так как кто-то либо пытается похитить с нее денежные средства, либо оформляет кредит или производит подозрительную оплату. Для маскировки преступники используют функцию «подмены номера», как следствие у потерпевшего на экране мобильного телефона может отображаться совершенно любой абонентский номер телефона, заданный злоумышленником. Это могут быть номера банковских учреждений или иных абонентов, которые на самом деле никому звонки не осуществляют, а сам звонок по своим внешним признакам ничем не будет подозрительным. Получив необходимую информацию о реквизитах карты, преступники осуществляют хищение.
Для того, чтобы не стать жертвой киберпреступников, совершая сделки в сети Интернет следует:
- вести общение с покупателями (продавцами) только во внутреннем чате торговой площадки (зачастую торговые площадки блокируют возможность перехода на поддельные ресурсы);
- ведя общение с пользователем стоит перейти к его профилю и обратить внимание на дату создания (если он создан несколько дней назад, то это должно вызвать дополнительную настороженность);
- очень внимательно относится к любому случаю, когда необходимо ввести данные карты или информацию, предоставленную банком (смс-код, логин или пароль от интернет-банкинга). Самый надежный способ уберечь свои средства – это никому не сообщать реквизиты своей карты;
- уточнить у собеседника номер телефона если он не указан в объявлении, а потом позвоните на этот номер, чтобы убедиться, что он реален и принадлежит именно пользователю, с которым вы совершаете сделку (очень часто злоумышленники используют номера телефонов, взятые в аренду на непродолжительное время и физического доступа к нему, не имеют);
- использовать отдельную банковскую карту для осуществления покупок в сети Интернет, на которой не хранятся денежные средства и на которую не поступает регулярный доход в виде заработной платы, стипендии или пенсии;
- избегать перехода по неизвестным интернет-ссылкам, которые предоставляются в ходе переписки якобы для получения предоплаты или оформления доставки.
- если Вы все же перешли по подобной ссылке и видите уведомление о том, что в системе имеется денежный перевод и для его получения необходимо ввести данные банковской платежной карты, ни при каких обстоятельствах не вводите запрашиваемые сведения, так как это прямой путь к утрате собственных средств.
- если Вы все же ввели данные своей банковской карты на поддельном ресурсе или сообщили их постороннему лицу, необходимо в срочном порядке произвести блокировку карты, позвонив в банк либо самостоятельно в интернет-банкинге.
- если Вам поступил звонок из «банка» ни при каких обстоятельствах, никому и никогда не сообщайте информацию о себе или своей банковской платежной карте. Если Вам будет звонить настоящий сотрудник банка, то он точно будет знать, как минимум номер Вашей банковской платежной карты и никогда не спросит конфиденциальную информацию в телефонном режиме.
- уточните с кем именно Вы общаетесь, после чего положите трубку и перезвоните на номер телефона, который отображался у Вас на экране (в этом случае Вы свяжитесь именно с тем абонентом, которому принадлежит указанный номер, а не со злоумышленниками, которые его использовали с целью скрыть свой настоящий номер) и уточните суть возникшей проблемы.
- если же на Вас оказывается психологическое давление угрозами, что через несколько секунд Вы понесете финансовые потери, кто-то оформит на Вас кредит или что если Вы не сообщите требуемую информацию, то карту вообще заблокируют, не волнуйтесь, это обычная уловка преступников, главная цель которых ввести Вас в состояние неуверенности и страха потерять сбережения.
Фишинг (англ. phishing от fishing «рыбная ловля, выуживание») — вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей — логинам, паролям и иной персональной информации. Это достигается путём проведения массовых рассылок электронных писем от имени различных организация, а также личных сообщений внутри сервисов, например, от имени банков или посредством социальных сетей и мессенджеров. В письме зачастую содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо на сайт с редиректом (перенаправлением). После того как пользователь попадает на поддельную страницу, мошенники пытаются различными психологическими приёмами побудить пользователя ввести на поддельной странице свои логин и пароль, которые он использует для доступа к определённому сайту, реквизиты банковских платежных карт или иные персональные данные, что позволяет мошенникам получить доступ к аккаунтам и банковским счетам.
Таким образом, фишинг — одна из разновидностей социальной инженерии, основанная на незнании пользователями основ сетевой безопасности. В частности, многие не знают простого факта: сервисы не рассылают писем с просьбами сообщить свои учётные данные, пароль и иную информацию, а в мессенджерах нельзя получить денежный перевод путем перехода по ссылке.
Большинство методов фишинга сводится к тому, чтобы замаскировать поддельные ссылки на фишинговые сайты под ссылки настоящих организаций. Адреса с опечатками или субдомены часто используются мошенниками. Например «www.kufar.be», «www.bel-post.by» или «www.belarusbank-erip.cc» визуально похожи на адреса реальных организаций, однако на самом деле они ссылается на фишинговые составляющие сайтов «www.kufar.by», «www.belpost.by» и «www.belarusbank.by», соответственно.
Другая распространённая уловка заключается в использовании на иных неофициальных ресурсах внешне правильных ссылок, в реальности ведущих на фишинговый сайт из-за измененного атрибута html-ссылки (использование в HTML-теге <a> значения href, отличного от текста ссылки).
Ещё одна проблема была обнаружена при обработке браузерами интернациональных доменных имён (содержащие символы национальных алфавитов, например: «115.бел», «президент.рф» и т.п.): адреса, визуально идентичные официальным, могли вести на сайты мошенников.
Обман не заканчивается на посещении жертвой фишингового сайта. Некоторые фишеры используют JavaScript для изменения адресной строки. Это достигается либо путём размещения картинки с поддельным URL поверх адресной строки либо закрытием настоящей адресной строки и открытием новой с поддельным URL.
Злоумышленник может использовать уязвимости в скриптах подлинного сайта. Этот вид мошенничества (известный как межсайтовый скриптинг) наиболее опасен, так как пользователь авторизуется на настоящей странице официального сайта, где всё (от веб-адреса до сертификатов) выглядит подлинным. Подобный фишинг очень сложно обнаружить без специальных навыков. Данный метод применялся в отношении такой крупной компании, как PayPal еще в 2006 году.
Сегодня фишинг выходит за пределы интернет-мошенничества, а поддельные веб-сайты стали лишь одним из множества его направлений. Письма, которые якобы отправленные из банка, могут сообщать пользователям о необходимости позвонить по определённому номеру для решения проблем с их банковскими счетами. Эта техника называется вишинг (голосовой фишинг). Позвонив на указанный номер, пользователь заслушивает инструкции автоответчика, которые указывают на необходимость ввести или сказать номер своего счёта, банковской карты, PIN-код или иную информацию. К тому же вишеры могут сами звонить жертвам, убеждая их, что они общаются с представителями официальных организаций, используя фальшивые номера. В конечном счёте, человека также попросят сообщить его учётные данные.
Набирает свои обороты и SMS-фишинг, также известный как смишинг (англ. SMiShing — от «SMS» и «фишинг»). Мошенники рассылают сообщения, содержащие ссылку на фишинговый сайт, — входя на него и вводя свои личные данные, жертва аналогичным образом передаёт их злоумышленникам. В сообщении также может говориться о необходимости позвонить мошенникам по определённому номеру для решения «возникших проблем». Иногда смишинг может предшествовать вишингу, например злоумышленники отправляют sms-сообщение на телефон жертвы от имени банка о попытке транзакции с карты, а потом звонят, представляясь уже сотрудником того же банка и предлагают отменить указанный, якобы мошеннический перевод, для чего просят предоставить реквизиты банковской карты или иную персональную информацию клиента, которая настоящему сотруднику банка и так должна быть известна.
Как не попасться на уловки фишеров?
Один из методов борьбы с фишингом заключается в том, чтобы научить людей различать фишинг и бороться с ним. Люди могут снизить угрозу фишинга, немного изменив своё поведение. Так, в ответ на письмо с просьбой «подтверждения» учётной записи (или любой другой обычной просьбой фишеров) необходимо связаться с компанией, от имени которой отправлено сообщение, для проверки его подлинности. Кроме того, рекомендуется самостоятельно вводить веб-адрес организации в адресную строку браузера вместо использования любых гиперссылок в подозрительном сообщении.
Практически все подлинные сообщения организаций содержат в себе упоминание некой информации, недоступной для фишеров. Некоторые, например, всегда обращаются к своим адресатам по именам, а письмо с общим обращением «Уважаемый клиент» может расцениваться как попытка фишинга, однако, даже к электронным письмам, содержащим более подробные данные о себе необходимо относиться с опаской, т.к. эта информация также может стать известна мошенникам иными путями. Письма от банков и кредитных учреждений часто содержат в себе часть номера счёта. Однако, люди не различают появление первых или последних цифр счёта, в то время как первые цифры могут быть одинаковы для всех клиентов финансового учреждения. Людям можно объяснить, что подозрительны любые письма, не содержащие какой-либо конкретной личной информации, но фишинговые атаки могут содержать подробную персональную информацию, следовательно, наличие такого рода сведений не гарантирует безопасность сообщения. Кроме того, статистические показатели гласят, что присутствие личной информации существенно не изменяет процент успеха фишинговых атак, что свидетельствует о том, что большинство людей вообще не обращает внимания на подобные детали.
Стоит помнить, что мошенники идут в ногу со временем, поэтому обычные методы фишинга в скором времени могут стать не актуальными, поскольку люди всё больше узнают о социальной инженерии, используемой фишерами, поэтому в любой ситуации нужно оставаться предельно внимательными и досконально разобраться в случившемся, прежде чем сообщить кому-то свои персональные данные.