Кибермошенники все чаще используют так называемую социальную инженерию (манипулирование поведением человека с использованием социальных и психологических навыков), чтобы завладеть средствами граждан. «Задача любого мошенника — «социального инженера» заключается в том, чтобы на доверии заставить человека предпринять какие-то действия, которые в нормальной жизни он не стал бы делать», — поясняет заместитель начальника главного управления безопасности и защиты информации Банка России Артем Сычев.
«Социальная инженерия, увы, находит все большее и большее применение именно среди мошенников. В последние пару лет рынок отмечает существенный рост числа инцидентов, связанных с использованием данного метода».
«На сегодняшний момент это одна из самых больших проблем информационной безопасности в финансовой сфере»
Постепенно меняется и портрет пострадавших, и популярность разных видов мошенничества. Если раньше популярным видом социальной инженерии была рассылка тривиальных СМС-сообщений, а жертвами злоумышленников оказывались в основном пожилые люди, то теперь используются методы более изощренные.
По словам экспертов, самыми популярными способами использования социальной инженерии являются выманивание у клиентов данных по банковскому счету/карте или заражение компьютера вредоносными программами с целью завладеть данными о счетах и картах. РБК разбирался, как можно избежать опасности.
Выманивание данных и денег
Мошенники быстро адаптируются к появлению новых сервисов на банковском рынке, отмечает Владимир Бакулин. Например, СМС типа: «Мама, я попал в аварию. Положи на счет номер... денег, потом расскажу», с помощью которых раньше очень часто пытались выманить деньги, теряют популярность у мошенников. Сейчас в основном они нацелены на получение доступа к счетам и картам.
Как отмечает начальник отдела оперативного анализа банка «Хоум Кредит» Юрий Присмотров, часто мошенники благодаря использованию социальной инженерии узнают нужные им данные, представляясь сотрудниками банка либо просто пользуясь низкой финансовой грамотностью и доверчивостью клиентов. Например, они могут рассылать СМС с уведомлением о якобы произведенной блокировке карты и необходимостью позвонить по указанному номеру: «Ваша карта заблокирована, подробности по телефону xxxxxx».
«Вы звоните по этому номеру, и дальше оператор на том конце провода старается или вынудить вас сообщить информацию о ваших паспортных данных и платежных реквизитах, или вынудить вас пойти с вашей картой к банкомату и совершить действия, которыми вы сами отправляете злоумышленникам деньги».
Похожим проявлением социальной инженерии является звонок клиенту под видом сотрудников безопасности банков якобы с целью отмены подозрительных списаний, которые ошибочно совершаются сейчас по счету клиента, добавляет Владимир Бакулин. В этом случае злоумышленники также выманивают у клиентов одноразовые пароли из СМС и данные по счету/карте клиента.
Также мошенники могут искать клиентов, оставивших объявления о продаже на Avito и других открытых досках объявлений. Далее они представляются покупателями и выманивают данные по банковскому счету/карте и одноразовые коды подтверждения операций из поступающих клиенту СМС якобы для того, чтобы перевести оплату за продаваемый товар.
Либо, наоборот, мошенники представляются продавцами неких товаров или услуг, привлекая жертву низкой ценой. Они просят перевести им деньги с карты и затем, естественно, больше не появляются.
Вредоносные рассылки
Другой разновидностью мошенничеств с использованием социальной инженерии является рассылка электронных писем с вредоносным содержимым. Пользователи из любопытства открывают такие письма, давая кибермошенникам возможность получить доступ к информации о счетах и картах.
«Мошенники — очень изобретательные ребята, они делают рассылки разными способами. Например, вам приходит электронное письмо якобы от вашего контрагента с просьбой срочно посмотреть новую тарифную сетку. Мы наблюдаем такие письма, которые рассылаются от имени совершенно разных организаций: якобы от имени телеком-операторов, якобы от имени банков, других компаний, с которыми вы могли бы работать. Но цель письма одна — заставить вас открыть либо документ, который вложен в письмо, либо ссылку, и это приведет в любом случае к загрузке вредоносного программного обеспечения».
Социальная инженерия может позволить кибермошенникам совершать такие противоправные действия не только в отношении частных лиц, но и финансовых организаций. Например, с помощью вредоносных рассылок преступники пытаются захватить контроль над компьютерами банков, через которые возможно совершать несанкционированные операции на крупные суммы.
Как указано в прошлогоднем отчете Центра мониторинга и реагирования на компьютерные атаки Банка России (FinCERT), в качестве отправителей таких писем банковским служащим могут быть указаны органы исполнительной власти, профильные интернет-форумы, организации — партнеры и клиенты и т.д., а в качестве содержания указываются требования со стороны органов исполнительной власти, оповещения об изменениях в нормативных актах, взыскание/погашение задолженности/штрафа, оплата услуг и другие темы.
Была зафиксирована даже рассылка таких писем от имени Банка России, отличительной чертой которых являлось наличие вложения с заголовком со словом «вакансия», при открытии которых происходило скачивание вредоносного программного обеспечения. «Многие пользователи открывали письма исключительно из любопытства, при этом осознанно включая макросы в Microsoft Word, которые «по умолчанию» обычно заблокированы, — отмечалось в обзоре.
В последнее время меняется и «целевая аудитория» кибермошенников.
Как с этим бороться
Чтобы не попасться на удочку мошенников, использующих социальную инженерию, необходимо проявлять разумную бдительность и придерживаться довольно простых правил, отмечают эксперты.
Никогда и никому нельзя сообщать полученные пароли и кодовые слова, даже если те, кто с вами говорит, представляется сотрудником банка, говорит Владимир Бакулин. Никогда не сообщайте незнакомцам данные карты, имея которые можно осуществить списание средств, — номер банковской карты и CVC-код (есть на обратной стороне каждой карты) и другую аналогичную информацию.
«На платежной карте есть телефон контактного центра. Если у вас есть сомнения, что что-то не так с вашей картой, позвоните туда. Но ни в коем случае не звоните по тем телефонам, которые присылаются в таких сообщениях».
На просьбу дать взаймы, пополнить телефон, помочь на лечение и другие обращения в социальных сетях следует всегда, прежде чем переводить деньги, убедиться, что к вам действительно обращается тот человек, от имени которого поступает просьба.
При покупке товаров и услуг у незнакомых людей или на незнакомых интернет-ресурсах необходимо обращать внимание на форму оплаты. Если с вас требуют предоплату (частичную или полную), есть основания предполагать, что вы имеете дело с мошенниками.
Не следуйте просьбам перевести оплату за предоставляемые по привлекательной цене товар или услугу на банковскую карту продавца или его электронный кошелек, продолжает Бакулин. Если вы это сделаете, то вы никогда не докажете, что произвели оплату за несуществующий товар или сервис, или не сможете сдать товар, даже если его получите.
Также не следует доверять письмам с вложениями и ссылками, с уведомлением «о задолженности по налогам, кредитам» даже от «банков» и «госорганов». «Не открывайте вложения, не нажимайте на ссылки. Они могут быть заражены вирусами или предназначены для хищения ваших конфиденциальных данных», — предупреждает специалист. При получении такого письма следует позвонить по официальным телефонам учреждения и уточнить, действительно ли есть проблема.
Что касается вредоносных рассылок, гражданам необходимо придерживаться элементарных правил кибергигиены — использовать антивирусы, проявлять внимание к почтовым и СМС-сообщениям, не заходить на непонятные сайты, внимательно относиться к загружаемому программному обеспечению и т.д., отмечает Сычев. «Когда мы научимся соблюдать правила, мы можем говорить об абсолютно безопасном использовании любых финансовых технологий», — подчеркивает он.
Если злоумышленники все-таки украли деньги с карты, пострадавший может постараться вернуть потерянные средства, подав соответствующее заявление в банк. Ст. 9 закона «О национальной платежной системе» достаточно подробно описывает механизм возврата средств физических лиц, напоминает Сычев. Банк будет обязан либо вернуть деньги, либо представить доказательства, что он не может этого сделать, с объяснением причин.
«К сожалению, когда возникают споры с возвратом денег на карту, у банков и правоохранительных органов не всегда есть уверенность, что это не было специальное мошенничество со стороны владельца карты, направленное против банка. К счастью, таких случаев немного. Но в любом случае банк будет проверять, почему произошел тот или иной инцидент. Как правило, в рамках закона банк деньги будет возвращать».
«Социальная инженерия, увы, находит все большее и большее применение именно среди мошенников. В последние пару лет рынок отмечает существенный рост числа инцидентов, связанных с использованием данного метода».
«На сегодняшний момент это одна из самых больших проблем информационной безопасности в финансовой сфере»
Постепенно меняется и портрет пострадавших, и популярность разных видов мошенничества. Если раньше популярным видом социальной инженерии была рассылка тривиальных СМС-сообщений, а жертвами злоумышленников оказывались в основном пожилые люди, то теперь используются методы более изощренные.
По словам экспертов, самыми популярными способами использования социальной инженерии являются выманивание у клиентов данных по банковскому счету/карте или заражение компьютера вредоносными программами с целью завладеть данными о счетах и картах. РБК разбирался, как можно избежать опасности.
Выманивание данных и денег
Мошенники быстро адаптируются к появлению новых сервисов на банковском рынке, отмечает Владимир Бакулин. Например, СМС типа: «Мама, я попал в аварию. Положи на счет номер... денег, потом расскажу», с помощью которых раньше очень часто пытались выманить деньги, теряют популярность у мошенников. Сейчас в основном они нацелены на получение доступа к счетам и картам.
Как отмечает начальник отдела оперативного анализа банка «Хоум Кредит» Юрий Присмотров, часто мошенники благодаря использованию социальной инженерии узнают нужные им данные, представляясь сотрудниками банка либо просто пользуясь низкой финансовой грамотностью и доверчивостью клиентов. Например, они могут рассылать СМС с уведомлением о якобы произведенной блокировке карты и необходимостью позвонить по указанному номеру: «Ваша карта заблокирована, подробности по телефону xxxxxx».
«Вы звоните по этому номеру, и дальше оператор на том конце провода старается или вынудить вас сообщить информацию о ваших паспортных данных и платежных реквизитах, или вынудить вас пойти с вашей картой к банкомату и совершить действия, которыми вы сами отправляете злоумышленникам деньги».
Похожим проявлением социальной инженерии является звонок клиенту под видом сотрудников безопасности банков якобы с целью отмены подозрительных списаний, которые ошибочно совершаются сейчас по счету клиента, добавляет Владимир Бакулин. В этом случае злоумышленники также выманивают у клиентов одноразовые пароли из СМС и данные по счету/карте клиента.
Также мошенники могут искать клиентов, оставивших объявления о продаже на Avito и других открытых досках объявлений. Далее они представляются покупателями и выманивают данные по банковскому счету/карте и одноразовые коды подтверждения операций из поступающих клиенту СМС якобы для того, чтобы перевести оплату за продаваемый товар.
Либо, наоборот, мошенники представляются продавцами неких товаров или услуг, привлекая жертву низкой ценой. Они просят перевести им деньги с карты и затем, естественно, больше не появляются.
Вредоносные рассылки
Другой разновидностью мошенничеств с использованием социальной инженерии является рассылка электронных писем с вредоносным содержимым. Пользователи из любопытства открывают такие письма, давая кибермошенникам возможность получить доступ к информации о счетах и картах.
«Мошенники — очень изобретательные ребята, они делают рассылки разными способами. Например, вам приходит электронное письмо якобы от вашего контрагента с просьбой срочно посмотреть новую тарифную сетку. Мы наблюдаем такие письма, которые рассылаются от имени совершенно разных организаций: якобы от имени телеком-операторов, якобы от имени банков, других компаний, с которыми вы могли бы работать. Но цель письма одна — заставить вас открыть либо документ, который вложен в письмо, либо ссылку, и это приведет в любом случае к загрузке вредоносного программного обеспечения».
Социальная инженерия может позволить кибермошенникам совершать такие противоправные действия не только в отношении частных лиц, но и финансовых организаций. Например, с помощью вредоносных рассылок преступники пытаются захватить контроль над компьютерами банков, через которые возможно совершать несанкционированные операции на крупные суммы.
Как указано в прошлогоднем отчете Центра мониторинга и реагирования на компьютерные атаки Банка России (FinCERT), в качестве отправителей таких писем банковским служащим могут быть указаны органы исполнительной власти, профильные интернет-форумы, организации — партнеры и клиенты и т.д., а в качестве содержания указываются требования со стороны органов исполнительной власти, оповещения об изменениях в нормативных актах, взыскание/погашение задолженности/штрафа, оплата услуг и другие темы.
Была зафиксирована даже рассылка таких писем от имени Банка России, отличительной чертой которых являлось наличие вложения с заголовком со словом «вакансия», при открытии которых происходило скачивание вредоносного программного обеспечения. «Многие пользователи открывали письма исключительно из любопытства, при этом осознанно включая макросы в Microsoft Word, которые «по умолчанию» обычно заблокированы, — отмечалось в обзоре.
В последнее время меняется и «целевая аудитория» кибермошенников.
Ранее на протяжении долгого периода самым привлекательным контингентом для злоумышленников были пожилые граждане, отметил специалист.
Как с этим бороться
Чтобы не попасться на удочку мошенников, использующих социальную инженерию, необходимо проявлять разумную бдительность и придерживаться довольно простых правил, отмечают эксперты.
Никогда и никому нельзя сообщать полученные пароли и кодовые слова, даже если те, кто с вами говорит, представляется сотрудником банка, говорит Владимир Бакулин. Никогда не сообщайте незнакомцам данные карты, имея которые можно осуществить списание средств, — номер банковской карты и CVC-код (есть на обратной стороне каждой карты) и другую аналогичную информацию.
«На платежной карте есть телефон контактного центра. Если у вас есть сомнения, что что-то не так с вашей картой, позвоните туда. Но ни в коем случае не звоните по тем телефонам, которые присылаются в таких сообщениях».
На просьбу дать взаймы, пополнить телефон, помочь на лечение и другие обращения в социальных сетях следует всегда, прежде чем переводить деньги, убедиться, что к вам действительно обращается тот человек, от имени которого поступает просьба.
При покупке товаров и услуг у незнакомых людей или на незнакомых интернет-ресурсах необходимо обращать внимание на форму оплаты. Если с вас требуют предоплату (частичную или полную), есть основания предполагать, что вы имеете дело с мошенниками.
Не следуйте просьбам перевести оплату за предоставляемые по привлекательной цене товар или услугу на банковскую карту продавца или его электронный кошелек, продолжает Бакулин. Если вы это сделаете, то вы никогда не докажете, что произвели оплату за несуществующий товар или сервис, или не сможете сдать товар, даже если его получите.
Также не следует доверять письмам с вложениями и ссылками, с уведомлением «о задолженности по налогам, кредитам» даже от «банков» и «госорганов». «Не открывайте вложения, не нажимайте на ссылки. Они могут быть заражены вирусами или предназначены для хищения ваших конфиденциальных данных», — предупреждает специалист. При получении такого письма следует позвонить по официальным телефонам учреждения и уточнить, действительно ли есть проблема.
Что касается вредоносных рассылок, гражданам необходимо придерживаться элементарных правил кибергигиены — использовать антивирусы, проявлять внимание к почтовым и СМС-сообщениям, не заходить на непонятные сайты, внимательно относиться к загружаемому программному обеспечению и т.д., отмечает Сычев. «Когда мы научимся соблюдать правила, мы можем говорить об абсолютно безопасном использовании любых финансовых технологий», — подчеркивает он.
Если злоумышленники все-таки украли деньги с карты, пострадавший может постараться вернуть потерянные средства, подав соответствующее заявление в банк. Ст. 9 закона «О национальной платежной системе» достаточно подробно описывает механизм возврата средств физических лиц, напоминает Сычев. Банк будет обязан либо вернуть деньги, либо представить доказательства, что он не может этого сделать, с объяснением причин.
«К сожалению, когда возникают споры с возвратом денег на карту, у банков и правоохранительных органов не всегда есть уверенность, что это не было специальное мошенничество со стороны владельца карты, направленное против банка. К счастью, таких случаев немного. Но в любом случае банк будет проверять, почему произошел тот или иной инцидент. Как правило, в рамках закона банк деньги будет возвращать».
