Маги & мошенники

Мошенничество на доверии — так называется в реальном мире то, что в виртуальном получило название «фишинг» (англ. термин phishing). Хищение с пластиковых карт, опустошенные электронные кошельки и банковские счета -– вот наиболее типичные примеры удачных операций «фишеров». Но это лишь следствия, причины же зачастую в самих обокраденных людях, в их невнимательности, беспечности или незнании. Какие уловки применяют мошенники и как избежать их ловушек — эти вопросы и были выбраны темой предлагаемой вашему вниманию статьи.

Для обрабатывающего «клиента» мошенника первая и основная задача — добиться доверия. И для этого есть множество способов, проверенных опытным путем.

Открывайте, мы из жилконторы

Чтение и вообще-то занятие небезопасное (чего только нынче не понапишут), а чтение некоторых документов — в особенности: ведь заранее неизвестно, к какому выводу оно может привести. Например, к тому, что прочитанное письмо отправлено людьми, выполняющими безусловно нужную и полезную работу и нуждающимися в вашей немедленной помощи, для чего вам следует незамедлительно сообщить номер и PIN-код своей кредитной карты либо пароли доступа в Интернет или к онлайновой игре.

Для иллюстрации приведу классический текст письма, до сих пор находящего отклик среди пользователей: «Администрация приносит свои извинения за участившиеся случаи замедления или отказа выполнения операций. С целью устранения подобных инцидентов в настоящее время проводится перевод ресурса на новый сервер. Для проверки корректности переноса базы данных пользователей просим сообщить регистрационное имя и пароль доступа…»

В качестве причины, обосновывающей, почему пользователь должен сообщить имя и пароль, может быть названо: восстановление после вирусного заражения, аппаратная неисправность, обновление программного обеспечения и множество иных важных и значимых событий.

Приносим свои искренние извинения

Пожалуй, любой, кто хоть раз платил налоги или комиссионные отчисления за проведенные финансовые операции, в глубине души уверен, что в расчеты вкралась ошибка и уплаченная сумма в большей или меньшей степени завышена. Потому многие сограждане на интуитивном уровне положительно относятся к сообщению, что, к примеру, размер комиссионных за обслуживание банковского счета пересмотрен и переплата будет возвращена. Для подтверждения своего согласия на получение возврата вначале следует перейти по некой ссылке, где для идентификации личности далее придется указать имя и пароль.

Мы вас спасем, это наша работа

Если неожиданно испугать какое-либо равнинное травоядное, например оленя, он мгновенно отпрыгнет в сторону. Если напугать нетренированного человека, в первые мгновения он замрет на месте. Предполагается, что данная нервная реакция на стресс — наследие далекого прошлого, когда наши пращуры много времени проводили на деревьях или на скалах, а в таких условиях резкие непросчитанные движения чреваты гибелью. Этой реакцией можно с успехом пользоваться. И чем сильнее вызванный непривычным фактором стресс, тем позже человек вернется к адекватному восприятию реальности. И соответственно к разумной оценке своих действий. Интересно, сколько людей останутся безучастными, получив из обслуживающего банка письмо примерно следующего содержания: «Поскольку сумма перевода с вашей банковской карты на расчетный счет Центрального банка Бразилии превышает размер остатка денежных средств (и действительно, сумма указана с весьма немалым количеством нулей), для оформления краткосрочного кредита необходимо перейти по такой-то ссылке, долгосрочного — вот по такой, для отмены платежа — по этой. При отсутствии ваших пожеланий по оформлению кредита до окончания операционного дня кредит предоставляется на ужасно невыгодных для вас условиях. Телефон для связи. С уважением…».

На игрока не нужен нож

Страсть к игре проявляется не только в казино. Оружие, броня, походная амуниция, артефакты да и сами игровые персонажи многих онлайновых игр стоят весьма существенных денег, для получения которых злоумышленнику надо лишь выманить логин и пароль игрока. И это не так сложно, как кажется, достаточно создать сайт по теме игры. Объявить этот сайт, положим, клубом Очень Черных Драконов, в данный момент благосклонно относящихся к вступлению в свои ряды новобранцев. Разумеется, обязательно следует уточнить, что допущены будут лишь лучшие из лучших. Или назвать сайт биржей, где по мизерным ценам можно прикупить амуницию. И предупредить, что для входа на сайт следует ввести игровой логин, пароль… и игроки двинутся лавиной. Пока владельцы игры узнают о подобной афере, пока они предупредят игроков, кто-то все равно пострадает. Кто-то приобретет по сходной цене ниже рыночной «прокачанный» персонаж. А кто-то эти персонажи будет продавать.

Это лишь часть психологических уловок мошенников, перечислять их далее не имеет смысла: список весьма широк и пополняется с каждым днем, так что лучше уделим внимание вопросам технической подготовки аферы. Ведь когда со всех сторон твердят о мошенничестве в Интернете, «клиент» становится осторожен. Значит, его надо успокоить, добавив реализма. Так что подробнее рассмотрим инструментарий злоумышленников.

Электронные письма — весьма удобный инструмент, прежде всего привлекательный тем, что позволяет легко менять адрес отправителя. Письмо может прийти на «официальном» бланке с вензелем организации и размашистым факсимиле руководства либо будет выдержано в деловом стиле — черный текст на белом фоне. Теперь редко просят указать в ответном письме конфиденциальную информацию, скорее убедительно предложат позвонить по некому номеру или же перейти по ссылке.

Интернет — прежде всего система доменных имен, или, иначе говоря, наименований сайтов. Имя www.yandex.ru, набранное в адресной строке браузера, ведет на сайт компании «Яндекс». Если же сайт называется www.yanclex.ru, стоит задуматься о том, где вы оказались, даже если внешне сайт — точная копия первого.

В мае 2007 г. пользователи системы «Яндекс.Деньги» получили письма (якобы от администрации «Яндекса»), в которых сообщалось, что счета заблокированы и для их реактивации необходимо перейти по ссылке вида http://passport.yanclex.ru/passport/?mode=loginform&msg=money&type=reactivat. Ссылка вела на сайт yanclex.ru, а не yandex.ru, но многие не обратили внимания на это различие имен и указывали свои регистрационные данные на фальшивом сайте платежной системы.

Следует особо обратить внимание на то, что сбор паролей с помощью сайтов-двойников в настоящий момент один из наиболее эффективных инструментов мошенничества. Имена для сайтов-ловушек подбираются либо похожими на оригинальные, как в приведенном выше примере, либо полностью отличными, но с неким очевидным намеком на название или на деятельность ресурса.

Например, несколькими месяцами позднее вышеописанного инцидента произошел еще один. Текст писем, разосланных пользователям гласил следующее:

«Уважаемый пользователь!

В связи с участившимися случаями мошенничества, связанными с несанкционированным доступом к сервисам «Яндекса», опираясь на пункт 9.1. пользовательского соглашения, уведомляем вас о введении дополнительных мер безопасности, которые позволят вам получать сообщения о попытках доступа в ваш аккаунт с незарегистрированных IP-адресов и своевременно принимать меры по пресечению похищения личной информации (контактные данные, переписка), средств в системе «Яндекс.Деньги», показов в системе «Яндекс.Директ». Согласно пункту 9.1.1 пользовательского соглашения вы должны в трехдневный срок после получения данного уведомления зарегистрировать свой IP-адрес в системе. Для регистрации перейдите по ссылке: http://www.passport-yandex.ru/?mode=GETIP&sauth=retire&uid=O&retpath=http://yandex.ru и следуйте инструкциям».

Имя passport-yandex.ru было зарегистрировано за несколько дней до начала почтовой рассылки и никакого отношения к компании «Яндекс» не имело.

Ссылки на сайты-ловушки размещаются на сторонних сайтах и форумах, распространяются через баннерные рекламные системы, спамерские рассылки или адресные «официальные» письма якобы от владельцев ресурса.

Для достоверности в письмах часто указывают номера телефонов. Причем, к сожалению, Skype и другие системы бесплатной интернет-телефонии также стали весьма активно использовать мошенники (прежде всего из-за анонимности абонентов). Проследить, откуда был совершен звонок, могут лишь администраторы системы, зачастую находящиеся вне юрисдикции России. К тому же АОН (определяемый при звонке номер) для системы SIP-телефонии можно подделать.

Как видно, инструментарий зло-умышленников богат и разнообразен. Теперь настала очередь ознакомиться и с методикой защиты.

Шесть шагов к уверенности

Задача номер один — закрыть почтовый ящик. Лучший способ не стать жертвой обмана — не контактировать с ворами. Хотя в Интернете это утопия, ограничить влияние мошенников можно. А поскольку спам — один из наиболее массовых рекламных инструментов, применяемый также и в мошеннических целях, необходимо ограничить поток непрошеных рекламных писем, привлекая соответствующие средства (фильтры), доступные для персонального пользователя.

Задача номер два — знать сотрудников «в лицо». Лучше заблаговременно потратить время на ознакомление с кон-тактными данными платежных систем, чтобы потом, при возникновении подозрений, оперативно связаться со службой поддержки для консультации и сообщения о попытке мошенничества либо же о самом хищении. В последнем случае необходимо просить отозвать недавние платежи и блокировать счет для дальнейших операций.

В продолжение этого тезиса также отмечу, что все обновления программ, какие-либо базы и прочее следует получать только с сайта разработчика, а не со сторонних ресурсов.

Задача номер три — ходить одной проверенной тропой. Если сложно запомнить адреса сайтов платежных систем или онлайновых магазинов, лучше хранить на них ссылки в браузере. И при необходимости переходить по сохраненным ссылкам, а не по тем, что даны на сторонних ресурсах.

Задача номер четыре — читать инструкции. Пара минут на ознакомление с правилами работы некоего ресурса может впоследствии спасти от серьезной ошибки. И запомните: ни один банк, э-магазин или провайдер не будут запрашивать у вас имена и пароли по электронной почте или телефону. Особо отмечу, что как вышеперечисленные организации, так и иные, к примеру, компания Microsoft и разработчики антивирусного программного обеспечения, не рассылают по почте обновления своих продуктов.

Задача номер пять — сетевая безопасность. Все меры предосторожности окажутся напрасны, если на компьютер пользователя злоумышленнику удастся подсадить программу-шпион, которая, помимо прочего, будет докладывать своим хозяевам, на какие веб-ресурсы обращался пользователь зараженного компьютера и какие пароли вводил. Поэтому еще раз подчеркну: необходимо установить персональный сетевой брандмауэр и антивирус.

Ряд персональных сетевых брандмауэров содержит в себе «антифишинговые» модули. Вначале пользователь указывает в настройках брандмауэра часть номера своей пластиковой карты, а брандмауэр далее анализирует исходящий с компьютера пользователя трафик и при обнаружении этого номера (точнее, заданной цифровой последовательности) блокирует передачу данных до особого распоряжения пользователя. Функция в теории полезная, но ценность ее на практике мала. Если пользователь обманут, он все равно разрешит передачу данных. Если же на компьютере пользователя сидит программа-шпион, скорее всего информация будет передаваться в зашифрованном виде. Поскольку же брандмауэр не обладает функциями определения и взлома кодированных сообщений, он соответственно не определит и не пресечет утечку информации.

Задача номер шесть — иметь несколько корзин (кошельков, банковских карт). Если на неком счете постоянно аккумулируются значительные денежные средства, лучше завести парочку «запасных» счетов, с которых и оплачивать покупки в Интернете, по необходимости переводя на эти «запасные» счета небольшие суммы с основного. В случае неудачи добычей воров будут лишь средства «запасного» счета, основной же останется вне их досягаемости.

Завершая этим замечанием статью, упрежу вопрос наших читателей. Нет, даже если следовать всем вышеприведенным советам, полностью обезопасить себя от мошенников не удастся. Любой набор советов или правил способен охватить лишь конечное число вариантов развития событий, а жизнь каждый день подкидывает новые ситуации. Поэтому каждый свой шаг, особенно касающийся обращения с финансами, следует тщательно обдумывать. На самом деле это не так сложно, как кажется.