Онлайн-мошенничество

По официальным данным, за 2023 год в Узбекистане зафиксировано 5,5 тыс. киберпреступлений, 70% из них связаны с мошенничеством и кражами денег с карт. Это не означает, что пользоваться банковскими услугами опасно, — средства на карте  защищают и банк, и платёжная система, например, Mastercard. Ваши деньги останутся в сохранности, если следовать правилам цифровой гигиены и научиться распознавать уловки злоумышленников. Этим и займёмся.

Фишинг, фарминг и другие виды интернет-мошенничества

Единой классификации видов мошенничества в сети нет — но ключевые сценарии известны. Рассмотрим, с чем можно столкнуться в интернете и как сохранить безопасность собственных средств.

Фишинг

Вид интернет-мошенничества, цель которого — через манипуляции и обман завладеть личными данными пользователя, а затем — деньгами. Чаще всего это делают с помощью ссылки на поддельный сайт, где происходит кража информации, и красивой обёртки — сообщения, чтобы привлечь внимание пользователя и заставить его перейти на страницу.

Название «фишинг» произошло от английского fishing «рыбная ловля» — и эту махинацию действительно можно сравнить с рыбалкой, где используют наживку, закидывают удочки и достают улов.

Например, Солиха получила сообщение по электронной почте о материальной помощи от государства — нужно лишь перейти по ссылке и передать данные карточки, куда зачислят выплату. Солиха зашла на сайт, ввела номер карты, имя владельца, дату выдачи, код из СМС — но денег так и не получила. Напротив, лишилась их, так как стала жертвой фишинга — мошенники обманом выманили у неё информацию о карте.

Наживка в фишинге может быть разнообразной — от запугивания до обещания выгоды. Ниже — лишь несколько примеров, помимо материальных выплат от государства, как в истории с Солихой.

Такое фишинговое письмо можно получить по электронной почте, в социальных сетях, в СМС (тогда мошенничество называют смс-фишингом, или смишингом), увидеть в Telegram-канале. Чаще всего в сообщении будет ссылка на сайт, а на нём — форма для ввода личных данных. Если заполнить её, персональная информация окажется у мошенников.

Что таким образом могут попытаться украсть:

• номер телефона, номер паспорта и другие личные данные;
• логины и пароли для входа в почту и на интернет-ресурсы: маркетплейсы, интернет-банки, сайты официальных учреждений;
• реквизиты карты: номер, имя, срок действия, трёхзначный код, а с их помощью — деньги.

Как защититься? Проверять отправителя данных и содержание письма, не доверять угрозам или обещанной выгоде. Не переходить по подозрительным ссылкам и тем более не вводить данные на сайте, в котором вы не уверены. Подробнее об этом расскажем в финальной части модуля.

Вирусы и поддельные приложения

Риск подозрительных сайтов и писем не всегда в форме, которую обманутый человек заполняет добровольно и тем самым теряет накопления. Мошенники могут заразить компьютер или смартфон вирусом при переходе по ссылке или скачивании файла — и такой вирус будет воровать информацию. Ещё один риск — скачивание поддельных приложений и введение в них своих данных (один из недавних примеров такого мошенничества произошёл в феврале 2024 года).

«Вирус — это большой риск, потому что он действует незаметно для клиента, если устройство заражено. С помощью вируса крадётся информация, мошенники получают доступы к счетам и к приложениям клиентов».

Евгений Балезин

Управляющий директор по борьбе с мошенничеством Mastercard

Как защититься? Первая рекомендация — соблюдать правила кибербезопасности, кибергигиены: чистите компьютер, обновляйте ПО, проверяйте по возможности устройства на заражение вирусами. А дальше по известному перечню: не переходите по незнакомым ссылкам, не верьте сайтам, на которых озвучиваются крайне заманчивые предложения. Примеряйте к данным ситуациям принцип „Слишком хорошо, чтобы быть правдой“. Когда человек смотрит с такой позиции, обычно он верно реагирует на „сигнал бедствия“, попытку мошеннического воздействия: ничего не скачивает и не заходит на подозрительные сайты».

«Аванс» за услугу

Условно этот вид мошенничества можно назвать «нигерийскими письмами». Слышали когда-нибудь про электронные письма от якобы богатого неизвестного дядюшки, завещавшего вам всё своё состояние? Деньги ваши — нужно лишь перевести некую сумму для оплаты издержек. Такого рода сообщения и именуют «нигерийскими письмами» — по названию страны, где они появились ещё до распространения интернета.

Сейчас в подобные небылицы мало кто поверит. Но принцип «небольшая плата за большую услугу» всё ещё используется мошенниками в интернете — под более чем реальными оболочками.

Например:

• объявление в интернете о приёме на работу — нужно только оплатить услуги по оформлению на должность;
• сообщение о вашем выигрыше в розыгрыше — нужно только оплатить налог или доставку;
• сайт «юристов», которые якобы помогут вернуть деньги, украденные мошенниками, — нужно только внести предоплату за услуги.

Как защититься? Как и в пунктах выше, не доверять лёгкой выгоде и слишком привлекательным предложениям. Не переводить деньги неизвестным. Искать в интернете отзывы о сайте, отправителе — наверняка встретится сообщение о мошенничестве.

Фарминг

Не самый широко распространённый вид интернет-мошенничества, но упомянуть о нём стоит. Фарминг похож на фишинг — в итоге пользователь оказывается на поддельном сайте и рискует ввести в формы на нём персональные данные. Только в этом случае человек не сам переходит по подозрительной ссылке. Он пытается открыть реальный веб-сайт, а из-за хакерских действий (предварительного заражения гаджета вредоносным ПО или махинаций с серверами) автоматически перенаправляется на поддельный.

Если коротко, фарминг можно сравнить с фишингом без наживки — здесь не требуются психологические уловки. Но и от него есть защита.

Как защититься? Выбрать надёжного провайдера для домашнего интернета, пользоваться антивирусными программами и обновлять ПО. Установить свой пароль на домашний Wi-Fi роутер, при возможности обновлять и его программное обеспечение. И не забывать про базовые правила защиты от фишинга.

Взлом сервисов

Банки, онлайн-кинотеатры и другие сервисы проходят сертификацию для обеспечения безопасных платежей, и взломать их не так просто. Но представим самый негативный сценарий: хакеры успешно атаковали интернет-площадку, где хранятся данные банковских карт пользователей. Мошенники могут перехватить их и попытаться совершить платежи там, где не требуется код верификации с карты (CVC/CVV) и код-пароль из СМС.

«К сожалению, взлом аккаунтов клиентов — ещё одна угроза. Изучая, как удалось взломать аккаунт, мы, скорее всего, придём к выводу, что клиент не очень озаботился созданием и сохранением паролей, доступов, логинов. Если эти данные становятся известными мошенникам — с помощью того же самого фишинга или вирусов — аккаунт оказывается в их руках».

Евгений Балезин

Управляющий директор по борьбе с мошенничеством Mastercard

Как защититься? Использовать сложные пароли, периодически менять их, подключить двухфакторную аутентификацию. Привязывать к личным кабинетам сервисов карту с минимальным открытым балансом или без денег — и переводить средства на неё при необходимости. Использовать лимиты, если они доступны в приложении банка (об этом подробнее в финальном параграфе главы).

Самый современный способ — использовать банковскую карту с токенизацией. При токенизации оригинальный номер карты на стороне онлайн-сервиса заменяется другими цифрами, суррогатом, официально — токеном. То есть карта с условным номером 1234 5678 на интернет-площадке сохраняется как 0987 6543 — а оригинальный номер остаётся у вас, в секрете.

«Сейчас банки активно развивают токенизацию карт, при которой номер самой карты передаётся при оплате в зашифрованном виде. Перехватить токен тоже можно, но его компрометация менее рискованна, чем компрометация карты, которая привязана к счёту. Соответственно, настоящие реквизиты карты перестают „гулять“ по сетям».

Евгений Балезин

Управляющий директор по борьбе с мошенничеством Mastercard

Лжеблаготворительность 

Благотворительность — благородное дело, но, увы, из-за мошенников приходится с осторожностью относиться и к призывам о помощи. Не раз фиксировались случаи, когда злоумышленники придумывали историю, открывали денежный сбор — а полученные суммы присваивали себе.

Бывают и обратные ситуации. Преступники связываются с человеком, который оказывает помощь (пример) или собирает средства на лечение (пример). Они делают вид, что хотят материально поддержать, — и выманивают данные карты под предлогом перечисления средств.

Как защититься? Доверять реальным благотворительным фондам или сообщениям проверенных знакомых. Если пост опубликован неизвестным вам человеком, можно проверить реквизиты карты или сделать поиск прикреплённых к объявлению фото в интернете — не фигурировали ли снимки и данные в других источниках, не связанных с опубликованной историей. Если же о финансовой поддержке просит знакомый, стоит позвонить ему и уточнить, действительно ли именно он — а не кто-то посторонний от его имени — запрашивает помощь.

Онлайн-покупки и безопасность интернет-торговли

При покупках в сети можно столкнуться с уловками мошенников, которые мы уже упоминали: фишинговыми сайтами и «исчезновением» людей после переведённых им средств. Добавим несколько сценариев, характерных для интернет-шопинга.

Фишинговые сайты для оплаты или доставки

Схема, которая остаётся актуальной, несмотря на десятки зафиксированных случаев обмана. Лжепокупатель может связаться продавцом на сервисе объявлений, договориться о покупке и скинуть ссылку для «зачисления» средств. Сайт по ссылке запросит реквизиты карты и код из СМС — и деньги спишутся, а не поступят. То же самое — с имитацией сервисов, осуществляющих доставку товаров.

Интернет-ресурс при этом может выглядеть убедительно: внешне напоминать платёжную систему, службу доставки. На нём будут отражены детали покупки, сумма, фразы вроде «ваши данные защищены». Но не стоит расслабляться.

Как защититься? Внимательно сверяйте адреса площадок с реальными, не вводите данные на неизвестных сайтах и не забывайте о правилах площадки, с помощью которой осуществляется покупка. Например, ресурс olx-dostavka не может быть правдой — у сервиса нет своих курьеров.

Сайты-двойники реальных магазинов

Чаще ссылки на ложные интернет-магазины встречаются в соцсетях. Они обещают товары по очень низким ценам, закрытые распродажи, привлекательную выгоду — а кроме того, похожи на онлайн-площадки, на которых вы уже могли делать покупки.

На таких сайтах есть форма оплаты. Вы вводите данные карты и ждёте доставку выбранного товара. Но в этом случае покупка так и не придёт — деньги списываются мошенниками, создавшими сайт-двойник магазина.

Как защититься? Опять же проверять сайт, на котором вы делаете покупки. Убедиться, что он настоящий, перед оплатой товара.

Скам-схемы и фейковые предложения 

Скам — это схемы обмана, основанные на различных темах и техниках, целью которых является выманивание денег у жертвы. Пример скама — когда мошенники создают новые предложения, продукты, магазины (в отличие от прошлых пунктов такие сайты не копируют реально существующие) и обманывают пользователей, не доставляя им товар и не выполняя заявленные обещания.

«В интернет-торговле основной риск, помимо упомянутых, это так называемые скамы — когда человеку под видом легального сервиса, высокодоходного инвестиционного инструмента, выгодных вложений предлагаются очевидно мошеннические схемы в различных вариантах.

Сейчас распространены скамы, связанные с криптовалютой и платформами электронной коммерции, на которых генерируются фейковые предложения. Последние предлагают выгодную покупку сапог, сумок, электроники — чего угодно. В итоге покупателю либо вообще ничего не приходит, либо приходит совсем не то, что он заказал: в посылке не ботинки, а детская игрушка».

Евгений Балезин

Управляющий директор по борьбе с мошенничеством Mastercard

Как защититься? Не поленитесь, поищите отзывы о продавце, о площадке. Как правило, позитивного мало, а негативное найдёте. Будьте бдительны, не ведитесь на объявления с предложениями нереально выгодных вложений или покупок».

Ещё один вариант — предоплата, после которой продавец исчезает с деньгами. Он не просит перевести все деньги сразу, лишь небольшую сумму — и этим способен усыпить бдительность. Так за последнее время люди «покупали» аксессуары для электроники, корм для животных, бронировали дачи и квартиры — словом, лишались денег под самыми разными предлогами, не проверив продавцов из соцсетей.

Защита от кибермошенничества

Частично способы защиты мы рассмотрели под каждым из видов мошенничества. Резюмируем и расширим рекомендации. Итак, что делать в сети, чтобы не столкнуться с обманом в мессенджерах, почте, среди онлайн-магазинов и объявлений?

Проверять отправителя сообщения

Начать можно с проверки того, кто отправил вам сообщение по почте, в СМС или социальных сетях.

Что должно насторожить:

• Отличие имени отправителя от электронной почты. Например, вы получили письмо от якобы от Mastercard, при этом электронный адрес — что-то вроде qyubduybe4@ и т. д. — набор букв. Не стоит открывать такое письмо.
• Использование бесплатного почтового сервиса. Если вы получили рассылку от госоргана, магазина или банка, письмо должно быть отправлено с официального электронного адреса. Обратите внимание на буквы после знака @. Так, письма от Uzum Market отправляются с почты с окончанием @uzum.com. Если же письмо заканчивается на gmail.com или hotmail.com, стоит знать, что это бесплатные почтовые сервисы — на них мошенники могут зарегистрировать почту с любым свободным именем и выдавать себя за магазины или другие реальные юридические лица.
• Поддельный аккаунт. Пункт похож на предыдущий, но относится в частности к социальным сетям. Мошенники могут создавать группы, будто принадлежащие реальным компаниям. Чтобы не попасться в такую ловушку, проверьте адрес канала в Telegram, забив его в поисковую строку в интернете. Или посмотрите, указана ли эта группа в соцсети на официальном сайте магазина.

Например, на сайте Uzum есть ссылка на официальный Telegram. При клике откроется канал поддержки @uzumbank_support. Если вам пришло сообщение от отправителя вроде @uzumuzsupportbank — это не настоящий канал. Фото: https://uzumbank.uz/ru

Проверять ссылку 

Что должно насторожить:

• Скрытая ссылка. Если ссылка скрыта — то есть вы видите текст вроде «Забрать свой приз прямо сейчас», на который можно кликнуть, — не торопитесь щёлкать мышкой. Наведите курсор на надпись — внизу экрана компьютера появится интернет-адрес сайта, на которую он ведёт. Если там странный набор букв, незнакомый сайт, не переходите по ссылке.
• Ошибки в адресе сайта. Видите знакомое название магазина, например magazin.uz? Посмотрите ещё раз. Если хоть одна цифра или буква отличается от реального сайта — настоящий magazin превращается в условный magassin.uz — не стоит ему доверять.
• Незащищённый протокол.  Защищённые сайты, на которых безопасно платить (при соблюдении прочих условий, что нет опечаток в адресе и вы уверены в сервисе), можно опознать по https в начале адресной строки и значку замочка. Небезопасный сайт начинается с http.

Проверять содержание сообщения

Что должно насторожить:

• Обещание лёгкой выгоды без усилий — 1000$ прибыли при вложении 50$.
• Раздача денег, ценных призов, больших бонусов всем и без условий.
• «Кричащие» заголовки письма: «срочно и только вам», «главное предложение года», «вы гарантированно станете богаче».
• Ошибки в тексте: мошенники нередко пишут с неверными знаками препинания, делают опечатки, ошибки — крупные компании следят за качеством текстов.
• Слишком низкие цены — что-то вроде нового iPhone за 5 млн сумов.

Усиливать свою безопасность в сети и при онлайн-шопинге

Несколько дополнительных правил для безопасного пользования интернет-ресурсами и совершения защищённых платежей.

• Использовать антивирус. И не только на компьютере, но и желательно на телефоне. Антивирусные программы могут защитить от спам-рассылок, а также от вредоносных программ, которые есть риск скачать из письма мошенника.
• Придумывать сложные пароли. Сложные — и разные для разных сервисов. Не используйте простые комбинации вроде qwerty, 123456, parol, года своего рождения. Надёжный пароль состоит из больших и маленьких букв, спецсимволов, цифр, знаков препинания.
• Пользоваться двухфакторной аутентификацией — если с конкретным сервисом это возможно. Только сочетание имени/логина и пароля — это однофакторная идентификация, один «ключ» для входа в сервис или операции. Безопасность и защиту от взлома повышает дополнительный ключ — код из СМС, push-уведомлений, биометрические данные.
• Не использовать общественный Wi-Fi, если нужно ввести личные данные на каком-либо сайте. Такие публичные сети могут быть хуже защищены, это позволяет мошенникам перехватить данные, которые вы отправляете.
• Ограничить возможные списания с карты. Сделать это можно с помощью карты, реквизиты которой используете только для покупок в интернете и которую пополняете на необходимую сумму прямо перед покупкой. А лучше, отмечает эксперт, через установку лимитов.

«Основной способ минимизации риска того, что деньгами воспользуется кто-то ещё, — это управление лимитом на совершение операций по карте в той или иной ситуации, в данном случае при онлайн-покупке. Это умение включать и выключать опцию интернет-операции в конкретный момент.

Знаю, что мне сейчас надо оплатить покупку, — ставлю разрешённый лимит в миллион. Сделал покупку — ограничиваю лимит в ноль. И так можно делать до бесконечности. Это наиболее надёжный способ защиты. Если банк предлагает такой сервис, клиент должен внедрить эту практику, воспитать у себя это поведение».

Евгений Балезин

Управляющий директор по борьбе с мошенничеством Mastercard