Кристина Волощук: технологии и мошенники. Что нужно знать и как не попасться на обман?
Мобильные технологии и интернет, к сожалению, предоставляют множество возможностей для мошенничества. Усугубляет ситуацию и банальное непонимание гражданами потенциальных рисков. И не только гражданами! Опасность попасться на «удочку» кибермошенников грозит бизнесу в том числе.
Фишинг
Под термином «фишинг» подразумевается вид мошеннической деятельности, в основе которой – использование вредоносных программ, дублирующих сайты, приложения, рекламу или рассылку известных компаний и брендов. Цель фишинга проста и прозаична: выманить у доверчивых граждан деньги и/или конфиденциальные данные (логины и пароли от платежных сервисов, данные кредитных карт и все в таком роде).
Способов сделать это невероятно много! Что хуже – они постоянно меняются, появляются все новые их вариации. При этом сразу понять, что перед вами фиктивный сайт или рассылка, особенно в суете рабочего дня, зачастую крайне сложно.
Наиболее распространенные схемы фишинга:
Масштабы развития фишинга в Украине впечатляют. Так, в первой половине 2016 года, по данным EMA Academy, в стране действовало 117 фишинговых сайтов, в то время как в 2015-м – 38. Всего же в 2016-м было выявлено 174 фишинговых сайта. При этом уровень их посещаемости немалый. В среднем, фиксируется 15-30 тысяч заходов в месяц.
Интересно, впрочем, что в 2017 году количество подобных ресурсов уменьшилось до 108. Но повода для радости пока нет.
По большей части снижение количества фишинговых сайтов происходит из-за того, что у мошенников появляются другие способы выманивания денег, не связанные с фишингом. Теперь они создают оригинальные сайты, обучающие быстрому заработку по предоплате или кредитные сервисы, обещающие выдать средства только после внесения пользователем первого задатка.
Вариаций может быть множество. При этом совершенствуется подача информации пользователям, улучшается дизайн сайтов. Мошенники даже научились делать сайты с SSL-сертификатом (визуально его наличие отражается в присутствии окончания «s» в строке адреса http).
Опасные мобильные приложения
Магазины приложений – еще одна угроза для пользователей. Первенство тут занимает Play Market. Открытость данной платформы дает возможность мошенникам без особого труда распространять свои вредоносные программы и ловить доверчивых пользователей на «живца». Делается это, опять же, по-разному.
Разумеется, фишинг тут занимает первое место. Но есть и более утонченные способы выманить личные данные пользователей. Например, под видом вполне оригинального и полезного приложения. Вы скачиваете его, пользуетесь и не подозреваете, что алгоритм в этот момент собирает ваши данные и отсылает разработчику.
Вирусы тоже не дремлют. Причем подцепить их можно даже просто подключившись к бесплатному Wi-Fi или установив бесплатное приложение. Получив доступ через вирусное программное обеспечение к данным пользователя, мошенники могут им дистанционно управлять. Это значит, что все ваши действия в интернете, включая проведение онлайн платежей с разовыми паролями, будут им видны.
Часто пользователей берут эффектом неожиданности посредством вирусной рекламы. Работает это так. Вы сидите в Интернете, и вдруг всплывает реклама с требованием обновить «устаревший WhatsApp/Viber/Play Market…», перейдя для этого по ссылке. Из-за невнимательности, а также неожиданности запроса очень многие сразу же соглашаются, что в итоге приводит к установке на смартфон считывающего данные вируса.
Стоит отметить также, что не только Play Market грешен. Опасные приложения попадаются и в более защищенном Apple Store. По статистике, до 10% имеющихся в нем программ и сервисов являются вредоносными.
Промышленный шпионаж и прочие угрозы бизнесу
Опыт показывает, что компании – и крупные, и малые – тоже не защищены должным образом от мошенников. Так, в Европе массовым явлением стала кража денежных средств со счетов юридических лиц через подмену ФИО получателя в электронной почте. Сделать это возможно в том случае, если поставщик и покупатель вели переписку через электронную почту и фиксировали реквизиты получателя денег.
Перед самой оплатой покупателю может прийти письмо с новыми реквизитами и просьбой выслать деньги на новый счет. Притом с адреса продавца. В итоге, деньги могут быть отправлены не по назначению, а в руки мошенников.
Доступ к конфиденциальной информации можно получить и через скайп сотрудника банка, от имени которого будет отправлена «зараженная» ссылка клиентам финансового учреждения.
Наибольшую угрозу фишинг и кибемошенничество в целом представляет для криптовалютного рынка. Истории с обманутыми вкладчиками там не редки.
Кстати, одна из масштабнейших афер случилась в начале этого года в ходе ICO-кампании стартапа BeeToken. Мошенники от имени компании разослали инвесторам письма с предложением приобрести токены стартапа в первые сутки на более выгодных условиях. По данным Сoindesk, обманутые инвесторы перечислили ворам не менее $928 000 за 25 часов.
Вредоносное ПО грозит бизнесу не только финансовыми потерями, но информационными утечками.
Причем мошенники используют самые разные хитрости, чтобы внедрить вредоносный код в систему компании.
Например, могут незаметно оставить в вашем офисе флешку. Сотрудники, не найдя ее владельца, наверняка будут сами ею пользоваться. Почему нет, в конце концов? Угрозы же вроде бы никакой. А в итоге «лишнее» ПО поселяется в корпоративных компьютерах и «сливает» хакеру информацию.
Как бороться?
Как видим, риски столкнуться с мошенниками в наше время велики. Более того, сейчас никто не застрахован от этого, даже компании, у которых, казалось бы, больше ресурсов для противодействия. Потому пользуясь смартфоном, и тем более совершая мобильный платеж, необходимо соблюдать максимальную осторожность.
Всегда проверяйте сайт, через который осуществляете платеж. Если сайт не зарегистрирован на домене национального уровня (.UA), а его адрес начинается с http, а не с https – это уже тревожный знак.
Не лишним будет проверить, не находится ли данный ресурс в черном списке на сайте Украинской межбанковской ассоциации членов платежных систем ЕМА.
При этом нужно помнить, что подделывать протокол SSL уже научились, поэтому его наличие уже не является 100%-ной гарантией безопасности.
Также не помешает проверить регистрационные данные сайта. Сделать это несложно – достаточно скопировать ссылку в соответствующую строку на портале Whois, специально предназначенного для анализа доменов и IP-адресов.
При получении email- или смс-сообщений с просьбами оставить свои пароли и/или кредитные данные, внимательно проверяйте отправителя.
Банки обычно не просят у клиентов подобную информацию в сообщениях или по телефону, если только те сами не обращаются в колл-центр, например. Но все же рассылки и разного рода оповещения делают.
Отличить настоящее банковское уведомление от поддельного можно по наличию в нем номера колл-центра финансового учреждения, а также дублирования нескольких цифр платежной карты клиента. Если этого нет – перед вами точно фальшивка.
Кристина Волощук, Head of Corporate Business Kreston GCG
Интересное за неделю