Кибербезопасность в условиях электронного банкинга. Практическое пособие - Коллектив авторов
Получив эти данные, мошенник распоряжается банковским счетом жертвы и кредитной картой, привязанной к этому счету, по своему усмотрению (рис. 2).
Приведем основные рекомендации для клиентов систем интернет-банкинга, помогающие определить действия интернет-мошенников[16]:
Рис. 2. Использование фальшивого веб-сайта для выманивания данных по кредитным картам
Данные по кредитным картам
– никогда не отвечать на запросы по электронной почте, касающиеся личной информации, данных банковских счетов, кредитных карт и паролей доступа;
– не переходить по ссылкам на интернет-ресурсы, присланным в сообщениях по электронной почте, а вводить ссылки в адресную строку веб-браузера самостоятельно;
– убеждаться, что при работе с веб-сайтом кредитной организации информация передается в кодированном (шифрованном) виде[17];
– регулярно проверять состояние баланса банковского счета (кредитной карты);
– немедленно сообщать уполномоченным сотрудникам кредитной организации о всех подозрениях на несанкционированный доступ к личной информации и злоупотребление ею.
Далее представлены несколько признаков, по которым можно определить, что произошло соединение с фальшивым веб-сайтом:
– невозможно просмотреть исходный текст веб-сайта[18];
– при использовании другого веб-браузера место адресной строки заметно отличается от привычного;
– при сворачивании окна веб-браузера на панель задач окно с адресом не сворачивается, а «зависает» в нижней части экрана;
– окно с адресной строкой ведет себя как самостоятельное окно Windows-задачи с возможностью перемещения по экрану монитора, но с тенденцией занять определенное место;
– адресную строку невозможно редактировать.
Второе же понимание термина «фишинг» значительно отличается от ранее рассмотренного.
При применении второго определения следует исходить из того, что данное противоправное деяние совершается с использованием домена (веб-сайта). Злоумышленник создает в интернете ресурс, который ввиду сходства информации или интерфейса должен создать у потребителя ложное представление о нахождении на легальном ресурсе. Противоправные деяния с использованием указанной схемы можно формально разделить на несколько категорий. Рассмотрим самые распространенные из них.
1.2.1. Лжебанки
Это одна из самых распространенных категорий фишинговых ресурсов. Недобросовестное лицо создает ресурс фиктивного банка и начинает привлекать денежные средства граждан и юридических лиц во вклады. Пользователь не задумывается о правомерности деятельности данного лица, поскольку интерфейс иногда схож с интерфейсом ресурса, принадлежащего реально существующему банку. Представленные фиктивные документы на ресурсы, такие как сканы лицензий и доверенностей, создают у потребителя впечатление, что банк является легальным (рис. 3).
На рис. 3–7 приведены примеры фиктивных банков[19].
В рамках проекта «Лжебанк» злоумышленники готовы предоставлять «лжекредиты». Потребитель обращается в фиктивный банк с просьбой предоставить ему кредит, псевдобанк якобы одобряет заявку и просит потребителя оплатить курьерскую доставку договора и перечислить страховую сумму. После внесения потребителем оплаты лжебанк, как правило, прекращает контакты с ним.
Рис. 3. Веб-сайт фиктивного банка (1)
Рис. 4. Веб-сайт фиктивного банка (2)
Рис. 5. Веб-сайт фиктивного банка (3)
Рис. 6. Веб-сайт фиктивного банка (4)
Рис. 7. Веб-сайт фиктивного банка (5)
Согласно статистике ФинЦЕРТ Банка России[20], за 2017–2018 гг. сняты с делегирования 489 веб-сайтов, которые выдавали себя за банки[21]. Количество ресурсов в данной категории позволяет сделать вывод, что злоумышленники активно используют наименования реальных банков и создают интерфейсы веб-сайтов, сходные с интерфейсами вебсайтов данных финансовых институтов. Необходимо отметить, что злоумышленники также активно создают сайты-клоны или сайты-двойники, что позволяет ввести пользователя в заблуждение.
Приведем перечень признаков фишинговых ресурсов данной категории:
1. Информация об организации отсутствует в справочниках/реестрах Банка России, размещенных на официальном веб-сайте Банка России.
На официальном веб-сайте Банка России (www.cbr.ru) размещены следующие информационные ресурсы, позволяющие уточнить наличие или отсутствие лицензии у банка:
– Книга государственной регистрации кредитных организаций;
– Справочник по кредитным организациям (http://www.cbr.ru/credit/main.asp).
2. Информация об организации отсутствует в соответствующих реестрах ФНС России и Роскомнадзора России.
Информацию об организации, представленной на веб-сайте, также возможно проверить в следующих реестрах:
– Едином государственном реестре юридических лиц, размещенном на официальном веб-сайте ФНС России;
– Реестре операторов, осуществляющих обработку персональных данных, размещенном на официальном веб-сайте Роскомнадзора России.
3. Веб-сайт не является официальным и не имеет никакого отношения к организации.
Третий признак – один из сложнейших. Вместе с тем данную информацию можно проверить на официальном веб-сайте Банка России с использованием Сведений об адресах веб-сайтов кредитных организаций Российской Федерации. Также отметим, что на сегодняшний день благодаря взаимодействию Банка России и «Яндекса» появилась маркировка банков и кредитных организаций, имеющих лицензию Банка России[22].
Создание веб-сайтов лжебанков стало одним из самых распространенных способов мошенничества на территории России, поскольку злоумышленникам не приходится точно копировать ресурсы реально действующих кредитных организаций: достаточно оформить на вебсайте вкладки с названиями «Кредит», «Вклады» и т. д. Данные наименования позволяют ввести пользователя в заблуждение и создать у него иллюзию, что он находится на веб-сайте действующего банка.
Потребителям необходимо обращать внимание на оформление ресурса: лжебанки, как правило, не утруждают себя размещением на официальном веб-сайте соответствующей документации, в некоторых случаях даже не указывают номер лицензии на осуществление операций. Указанные обстоятельства должны насторожить потребителя и заставить его проверить данную организацию. Фиктивные банки также активно привлекают людей с помощью почтовых рассылок или звонков на номера мобильных телефонов. В данном случае потребители должны быть бдительными и не разглашать свои конфиденциальные данные, которые могут быть использованы для хищения денежных средств.
1.2.2. Лжестраховщики
Появление возможности оформлять электронные полисы ОСАГО с использованием интернета не только облегчило жизнь автолюбителям, но и спровоцировало рост мошенничества в данной сфере.
Злоумышленник в рамках рассматриваемой категории действует различными способами:
– создает копию ресурса реально действующей страховой компании с предложением оформления электронных полисов ОСАГО;
– предлагает фальшивые или необеспеченные бланки страховых организаций.
Потребитель либо оплачивает лжеполис ОСАГО, либо оплачивает доставку и покупает фальшивые бланки.
Согласно статистике ФинЦЕРТ Банка России[23], за 2017–2018 гг. сняты с делегирования 164 веб-сайта, которые выдавали себя за субъекты страхового рынка.
Веб-сайт фиктивной страховой организации позволяет создать у потребителя иллюзию, что покупка бланка не влечет за собой негативных последствий. Вместе с тем, приобретая заведомо фальшивые, пустые и недействительные бланки, потребитель теряет возможность претендовать на страховое возмещение при наступлении страхового случая.
Фиктивная страховая компания привлекает потребителей стоимостью бланков: как правило, она на 60–70 % меньше, нежели стоимость действующего полиса реально зарегистрированной страховой компании.
Вместе с тем в данной категории мошенничества активно используется метод социальной инженерии, помогающий получить доверие потребителя.
На веб-сайты лжестраховщиков потребителей завлекают различными способами, такими как:
– всплывающая реклама в поисковых системах;
– SMS-рассылки и звонки на абонентские номера клиентов различных страховых компаний;
– запросы в поисковых системах.
Псевдостраховые компании становятся достаточно распространенными в России, поскольку потребитель старается сэкономить время и денежные средства при оформлении страхового полиса в надежде на то, что страховой случай не наступит.
Также на практике встречаются случаи, когда потребитель заказывает ту или иную страховую услугу, оплачивая ее переводом на карту лжестраховщика или на его счет. Лжестраховщик обязуется передать страховой полис или предоставить иную услугу в определенное время, но потребитель так и не получает полис или услугу.
В связи с этим потребитель должен не только обращать внимание на оформление и содержание ресурса страховой компании, но и проверять данную организацию в соответствующих
