Мошенничество с картами: ловушки для доверчивых

Они далеко не всегда думают о защите своих финансовых данных и часто готовы доверять конфиденциальную информацию «первым встречным».

Ущерб, который нанесли кибермошенники в 2018 году, превышает 25 миллионов гривен. Из них удалось вернуть только 16 миллионов. Злоумышленники очень изобретательны: когда старые методы теряют эффективность, в ход идут новые уловки. 

Свежую статистику киберпреступлений за 2018 год и ключевые тенденции интернет-мошенничества обнародовала Украинская межбанковская ассоциация членов платежных систем ЕМА. «Минфин»  выбрал для читателей самую актуальную информацию.

Старое недоброе банкоматное мошенничество

Еще пару лет назад мошенники массово использовали технологию кеш-треппинг (Cash Trapping). На отверстие для выдачи денег устанавливали накладку со скотчем, которая внешне неотличима от «шторки» банкомата. Такая ловушка не позволяла купюрам выйти наружу — они прилипали изнутри к двустороннему скотчу. Владелец карты думал, что банкомат неисправен и уходил ни с чем. А его наличные доставались мошенникам. В 2015-16 гг. было множество подобных случаев, но уже к 2017-му ситуация изменилась. Масштабная информационная кампания дала свои плоды. В 2018 году было зафиксировано всего 90 случаев кеш-треппинга.

Количество случаев кеш-треппинга

Еще один популярный вид банкоматного мошенничества — скимминг (skimming). Преступники устанавливают в картридер банкомата специальное устройство, которое копирует данные магнитной полосы банковской карты. С помощью этой информации преступники изготавливали дубликат карты и затем без труда опустошали счет. Узнать пин-код — тоже не проблема. Для этого злоумышленники устанавливают веб-камеры неподалеку от кеш-машин.

Некоторые устройства обнаружить визуально практически нереально, поэтому совет — прикрывайте клавиатуру рукой, когда вводите пин-код. 

Поскольку банки стали выпускать больше чиповых карт, частота данного вида мошенничества немного снизилась, но все-равно остается достаточно высокой. 

Количество случаев скимминга

Новые технологии — новые виды мошенничества

За последние пару лет в Украине резко увеличилось количество безналичных транзакций: пополнение мобильных, перевод между счетами, покупки в интернете. А в прошлом году наша страна стала четвертой в мире по количеству бесконтактных платежей. И это огромное поле возможностей для интернет-мошенников.

Тенденции развития мошенничества по видам

Особенно популярны и эффективны способы мошенничества с применением методов социальной инженерии. О них расскажем подробнее.

Термин социальная инженерия подразумевает, что злоумышленники получают доступ к закрытой финансовой информации, используя знание человеческой психологии и низкий уровень финансовой грамотности населения. У социальной инженерии множество инструментов, среди них — фейковые веб-сайты, звонки по телефону, фальшивые смс-сообщения,  фиктивные продавцы и несанкционированный перевыпуск SIM-карты.

Фишинговые сайты ловят легковерных «рыбок»

Фишинговые сайты — это фиктивные интернет-ресурсы, которые часто копируют сайты настоящих интернет-магазинов, платежных систем и т.д. Аферисты создают их специально для сбора данных платежных карт: номера, периода действия, CVV-кода.

Доверчивым пользователям предлагают услуги переводов с карты на карту или пополнения мобильного телефона. На «липовые» сайты заманивают низкими тарифами и минимальными суммами комиссий. Собранные данные затем используют для транзакций в интернете — преступники переводят деньги на заранее подготовленный счет или оплачивают ими покупки. Пик популярности фишинговых сайтов пришелся на 2016 год. Сейчас это уже не самый прибыльный способ интернет-мошенничества.

Показателен эксперимент «Гуманный фишинг», который проводили сотрудники Ассоциации ЕМА в 2018 году. Они создали фиктивный сайт для онлайн-платежей с весьма красноречивым слоганом “Зарабатываем не на комиссии, а на доверии людей“. Его активно рекламировали с помощью контекстной рекламы. За 13 дней эксперимента в «сети» попало больше 7,5 тысяч «рыбок». Перед тем, как пользователь совершал оплату, ему предлагали почитать условия договора, в котором рассказывалось о том, что сайт не настоящий. Однако больше 4 тыс. людей, а это 55%, перешли дальше, не читая.

В этот раз для «рыбок» все закончилось хорошо, но в целом результаты эксперимента удручающие. Примечательно, что 48% пользователей, которые попались на удочку, — это молодые люди 25-34 лет, 60% из них — женщины.

Вишинг (vishing) и смишинг (smishing): игра на доверии

Вишинг — телефонное мошенничество. Преступники могут позвонить держателю платежной карты, например, от имени сотрудника банка и рассказать, что его счет заблокирован или с него сняли деньги. Чтобы решить эту проблему, им нужно получить данные карты. Доверчивого держателя карты также могут попросить перевести деньги с якобы «заблокированного» счета на новый.

 Действуют изобретательно, например, просят назвать номер отделения, в котором была открыта карта. Большинство людей этого не знает, а мошенники «подсказывают», что номер отделения — это 3 цифры на обороте карты (код CVV).

Смишинг — это похожая уловка, но с помощью SMS. Аферисты часто используют его как подготовку к вишингу. Распространенный прием — сообщение о том, что пользователь выиграл денежный приз или автомобиль и ему нужно предоставить дополнительную информацию, то есть данные карты.

Фиктивные покупатели и продавцы. Первые обычно работают в паре: первый «переводит» деньги за товар, второй — информирует продавца от имени банка, что деньги зачислены на счет, но для подтверждения операции нужны данные карты. Фиктивные продавцы маскируются под реальных, выманивая предоплаты за несуществующий товар.

Совет: если вы часто делаете покупки через интернет, для онлайн-оплат лучше пользоваться виртуальной картой.

Перевыпуск SIM-карты финансового номера, который привязан к платежной карте — еще один популярный способ интернет-мошенничества. Под угрозой — предоплаченные номера: с их помощью мошенники получают доступ к кодам и паролям, которые банк отправляет клиенту для подтверждения платежных операций.

Позитивная тенденция 2018 года — все больше клиентов при подозрительных обстоятельствах обращаются на горячую линию банков, а не идут на поводу у мошенников. Поэтому совокупный расчетный доход интернет-злоумышленников за последний год упал в разы.

Если рассматривать среднюю сумму мошеннической операции, то методы социальной инженерии с заменой SIM-карты приносят аферистам гораздо больший доход. Чтобы уменьшить вероятность взлома, в Приватбанке советуют завести отдельный, защищенный 8-значным пин-кодом финансовый номер.

Поможет уменьшить количество подобных преступлений более тесное сотрудничество банков и мобильных компаний.

Средняя сумма мошеннической операции в 2018 году, грн.

В большинстве случаев уберечься от мошенников помогает внимательность, здравый смысл и мониторинг информации через Google. Например, номер подозрительного телефона можно проверить на сайте Чертофон — это черный список телефонов мошенников, который обновляется ежедневно. В 2018 году база насчитывала уже 5 139 телефонов и 2 288 ИНН.

Светлана Волкова, Минфин