Последний раз редактировалось worm2 05.04.2020, 16:13, всего редактировалось 1 раз.
Надеюсь, этот пост будет кому-либо полезен. Ну или хотя бы развлечёт.
Что касается разнообразных мошенничеств через Интернет, я считаю себя человеком искушённым. Как, думаю, и многие из вас. Поэтому буду вести повествование от второго лица, чтобы полнее передать чувства, которые испытал я. Потому что мне недавно таки посчастливилось стать жертвой интернет-мошенничества, и знаете, я так толком и не понял, где ж это я прокололся, чего мне нужно было и чего не нужно было делать!
TL;DR: выводы в конце текста.
Итак, действие первое. Представьте себе, что у вас есть ребёнок, хотя пусть даже взрослый человек — близкий родственник, плохо разбирающийся "во всяких гаджетах".
И вот вы этому человеку покупаете смартфон для использования по прямому назначению, с сим-картой оператора сотовой связи (далее — ОпСоСа) в придачу.
А может быть, даже просто кнопочный телефон. А может быть, даже и не вы покупаете, а другой родственник СИМ-ку на свой паспорт оформляет (это здесь тоже не важно).
Но вы, как единственный тыжпрограммист в семье, присматриваете за счётом этого телефона, следите, чтобы подопечный не подключал всякие подписки и т.п., и, в частности, вовремя пополняете счёт.
Для этого вы заходите в личный кабинет клиента ОпСоСа (вы прекрасно знаете, как противостоять фишингу, безопасно хранить пароль, зачем нужен протокол HTTPS и всё такое прочее), проверяете детализацию, всё OK, ну и там есть такая удобная кнопочка "Пополнить счёт".
Вы также прекрасно осведомлены, что ОпСоС на безопасности собаку съел, и пользоваться этой кнопкой почти так же безопасно, как аналогичной кнопкой в онлайн-банке, только здесь у вас есть гарантия, что вы не перепутаете номер.
Согласитесь, пока вроде бы всё по правилам? Идём дальше.
Ввод номера банковской карты, срока действия и секретного кода. Вы в курсе, что это чувствительная информация, но всё равно спокойны. Может быть, даже знаете, что эта информация передаётся по особо секретным протоколам, настолько упоротым, что ОпСоС даже не получает эти данные, только спецоператор платежей — реальный монстр в области информационной безопасности.
На этом месте особо продвинутые могут начать что-то подозревать и пенять: "Чего ж ты, мамкин хакер, виртуальную карточку-то не завёл, с нулевым балансом, на которую непосредственно перед операцией переводится в точности сумма платежа?"
Частично согласен, здесь уже с натяжкой можно сказать, что я облажался. Теперь я даже могу с некоторой уверенностью сказать, что так и нужно делать.
Но! Есть, например, такая штука, как автоплатёж по порогу баланса, знаете, да? Если вдруг ребёнок случайно позвонит в Лимпопо, и у него баланс уйдёт в минус, на счёт автоматически приходит сотня-другая рублей. Ребёнок, слава богу, не остаётся без связи, а на ваш телефон приходит СМС о списании, и вы сразу можете начать разбираться. Но это не работает, если на карте постоянно 0.
Продолжаем. По умолчанию стоит галочка "Сохранить карту для дальнейшего использования". Тут вариантов нет, если вы хотите "автоплатёж по порогу баланса", то нужно сохранить. Но, может быть, вы просто сохраняете для удобного использования: безопасно же!
Но на самом деле вы уже проиграли.
Действие второе. Происходящее полностью без вас.
Ребёнок, как водится, активно общается в соцсетях (может быть, не по этому телефону, а по компьютеру), и в один прекрасный момент к нему "стучится" хороший знакомый. На самом деле аккаунт собеседника взломан, а от его лица выступает матёрый специалист в области социальной инженерии.
Описывать разговор в подробностях не буду, вы всё это примерно знаете. Будь вы на месте ребёнка, вы бы с лёгкостью раскусили персонажа. Но вас на сцене нет!
Конец немного предсказуем: злоумышленник через СМС-коды получает доступ к личному кабинету клиента ОпСоСа, видит там сохранённую карту и использует её по своему усмотрению в пределах лимита дневных операций ОпСоСа, который довольно велик — 15000 рублей.
В роли черепа коня, короткой кольчужки, или, если угодно, гвоздя, которого в нужный момент не оказалось в кузнице, выступает отсутствие подтверждения операций по протоколу 3-D Secure. ОпСоС не посылает на ваш телефон предложение ввести подтвердждающий код, и проводит платёж без него (а ваш банк позволяет ему так сделать)!
Действие третье. Проснувшись на следующий день, вы решаете проверить банковский счёт и обнаруживаете сюрприз. Некоторое время может уйти на то, чтобы понять, что произошло, но пусть это удаётся сделать довольно быстро.
Вы обращаетесь в банк, блокируете карту, пишете заявление на возврат средств (надежды мало), также обращаетесь к ОпСоСу, а он вообще не при делах: всё авторизовано (хотя без 3-D Secure!), обращайтесь в правоохранительные органы.
Предположим, что вам не лень обращаться в МВД, сумма-то немаленькая. На этом месте драма начинает понемножку превращаться в комедию. Кто у нас расследует мошенничества в Интернете? Управление «К»! А как к нему обратиться? Ну, учитывая, что местом преступления является виртуальное пространство, наверное, в этих ваших интернетах к нему на его же сайте и нужно обращаться?
«Л» — Логика. Получив ваше обращение (со всеми необходимыми выписками в электронном виде), ведомство начинает его рассматривать. Как подобает солидному учреждению: чинно, обстоятельно, как деды рассматривали. Не проходит и месяца, как вас по месту жительства вызывают к следователю районного УВД (несмотря на всеобщий карантин), чтобы написать (от руки, конечно же) заявление. Хорошо, что вы догадались распечатать и взять с собой документы, которые уже прикладывали в электронном виде: в ходе передачи дела до районного уровня дошла только информация (разумеется, бумажною почтою) о том, что некто, проживающий по такому-то адресу такого-то числа обращался с заявлением о мошенничестве.
Продолжение следует, хотя некоторые выводы можно сделать уже сейчас:
1. Учите детей всем правилам Интернет-безопасности, которые сами знаете, с пелёнок.
2. Не сохраняйте нигде данные карт, на которых могут быть существенные для вас суммы.
3. Если вы решили обратиться в правоохранительные органы по поводу мошенничества в Интернете, распечатывайте всю нужную информацию (можете также взять с собой на флешке) и сразу идите с ней в районное УВД по месту жительства.
Приглашаю желающих откорректировать/пополнить этот список и вообще поделиться мнениями о ситуации.
|
