С начала пандемии Group-IB, специализирующаяся на предотвращении кибератак, фиксирует бурный рост мошенничества с использованием переводов card-to-card: с апреля по июнь их количество увеличилось в 6 раз. Мошенники заманивают незадачливых покупателей на фишинговые сайты, где те добровольно расстаются с деньгами, вводя свои платежные данные на фейковых страницах оплаты и пребывая в полной уверенности, что они просто оплачивают покупку.
Средний чек одного такого «липового» перевода (хотя для покупателя-то он реален) составляет 7 тысяч рублей. Пользуясь полученными данными клиентов, мошенники обращаются к публичным P2P-сервисам банков для переводов средств на свои счета. По информации Group-IB, жалобы на такой вид мошенничеств, уже получают и крупные российские банки из топ-100, и представительства международных банков и платежных сервисов. В среднем один банк фиксирует 400-600 подобных атак ежемесячно.
При этом злоумышленники уже научились обходить существующие меры защиты онлайн-платежей: привычную многим аутентификацию с помощью SMS-кода, приходящего на телефон клиента для подтверждения покупки. Как оказалось, повсеместно используемая технология 3DS версии 1.0, хоть и защищает платежи пользователей от «внешних мошенников» и не дает воспользоваться данными украденных карт, никак не спасает от фейковых «онлайн-магазинов». От этого может защитить уже 3DS версии 2.0, где эта уязвимость устранена.
«Мошенничество с использованием P2P-платежей получило новое развитие в период глобальной пандемии. Повсеместное использование протокола 3DS версии 1.0 говорит о том, что этот вид фрода вероятнее всего получит дальнейшее распространение. Для защиты своих клиентов банкам, невольно втянутым в схему, нужно использовать системы, задействующие технологии сессионного и поведенческого анализа», — комментирует ситуацию руководитель по развитию продуктов направления Secure Bank и Secure Portal Group-IB Павел Крылов.
«Конечно, такой всплеск мошеннических схем означает брешь в защите интересов клиентов при проведении платежей — это повод для серьезной работы службы безопасности банка и ИТ-специалистов», — добавляет директор по рыночной аналитике портала podelu.ru Лилия Федулина, — «Обычно банк оценивает как динамику переводов, так и технические параметры платежа для определения его легитимности». По словам эксперта, необходимо использовать новые решения защиты страницы проведения платежей, а также применять поведенческий анализ при проведении платежа клиента, чтобы иметь возможность оперативной блокировки.
В поисках дефицита
Но это рекомендация для банков. А что делать клиентам, чтобы не отправить свои деньги в карман мошенников? Во-первых, стоит разобраться, каким образом они попадают в опасные ситуации.
В Group-IB отмечают, что особой любовью у мошенников пользуются самые востребованные в условиях пандемии товары — маски, перчатки и санитайзеры. В период дефицита (который, к счастью, постепенно сходит на нет), «жертвы» в поисках нужного товара сами шли в руки мошенников.
Впрочем, как отмечает Лилия Федулина, дело еще и в смене моделей совершения покупок в целом. Ограничительные меры внесли свою лепту.
«В первую очередь, стоит отметить, что рост мошеннических схем в период самоизоляции связан с тем, что значительно увеличились обороты самих интернет-магазинов. Люди на карантине гораздо чаще стали что-то приобретать на онлайн-площадках, т.к. привычная розница была закрыта. Самые крупные интернет-магазины (и российские, и зарубежные) увеличили в этот период обороты в 5-10 раз — соответственно, выросло и число мошеннических схем и случаев кражи средств с карт клиентов», — поясняет Федулина, советуя банкам в таких ситуациях обращаться в полицию, ведь кредитные организации не виноваты в том, что у клиентов обманом выманили деньги.
Банкам же эксперт рекомендует также усилить информирование клиентов о росте количества случаев мошенничества, объяснить, как можно избежать кражи. А клиентам лучше эти информационные рассылки не игнорировать, а внимательно изучать.
Не гоняться за дешевизной
Так ПСБ, в котором, правда, роста мошенничества при операциях в интернете с использованием банковских карт не зафиксировали, регулярно оповещает клиентов о возникающих рисках. «Вероятно, благодаря этому всплеска подобного вида мошенничества в отношении наших клиентов мы не фиксируем», — поясняет директор службы информационной безопасности банка Дмитрий Миклухо.
В первую очередь, специалисты ПСБ советуют клиентам «не гоняться за дешевизной», а делать покупки в известных интернет-магазинах (на сайтах сетевых ретейлеров). Еще один важный момент: не надо переходить в интернет-магазины по всплывающим рекламным ссылкам. Лучше набирать адрес непосредственно в адресной строке браузера. Кроме того, при оплате важно обращать внимание, что соединение должно быть защищенным (изображение замка перед адресом в браузере).
А если вдруг?
По словам Лилии Федулиной, вернуть деньги, потерянные клиентом из-за покупки, совершенной в фейковом интернет-магазине, не получится. «Как только перевод совершен, деньги клиента оказываются у мошенников», — поясняет эксперт.
Однако по словам директора компании «Интеллектуальный резерв» Павла Мясоедова, в случае, если действовать «быстро, очень быстро», шансы спасти свои кровные все-таки есть.
«Большинство банков позволяют сделать отмену перевода через онлайн-банк (финансовые организации не сразу проводят операции, есть несколько секунд для отмены). Провести такую операцию с мобильного приложения сложнее, ее поддерживает не каждое ПО», — поясняет Мясоедов.
В таком случае нужно срочно писать или звонить в службу техподдержки. Причем второй вариант предпочтительнее, поясняет директор «Интеллектуального резерва»: письмо будут рассматривать очень долго, и время будет упущено (а ведь мы рассчитываем на то, что деньги пока не попали в руки мошенников).
«Желательно параллельно звонку отправиться в любой офис и написать заявление на возврат средств, рассказав о мошенниках», — добавляет Павел Мясоедов.
Ведь чем больше информации получат службы безопасности, тем быстрее они смогут закрыть очередную уязвимость и защитить деньги своих клиентов. Тем не менее, не стоит забывать, что спасение денег покупающих — дело рук самих покупающих. И быть внимательнее и осторожнее, несмотря на всю заманчивость интернет-рекламы.
