Мошенничество с платежными системами

Фишинг

Фишинг является одним из самых распространенных видов мошенничества в Интернете. Термин образован от английского словосочетания «password fishing» (буквально «выуживание паролей») и в классической интерпретации означает введение пользователя в заблуждение при помощи поддельного сайта, визуально имитирующего сайт банка или иной интернет-системы, предполагающей идентификацию пользователя. Главная задача фишера — заманить пользователя на такой сайт-ловушку и каким-либо образом убедить его сообщить идентификационные данные. Для решения такой задачи фишеры обычно применяют одну из следующих методик:

• спам — его типичная идея заключается в том, чтобы напугать пользователя некими проблемами, требующими от пользователя немедленной авторизации для выполнения тех или иных операций (разблокировки счета, отката ошибочных транзакций и т.п.). В подобном письме имеется ссылка на поддельный сайт, причем визуально подобная ссылка обычно неотличима от настоящей. Более простая форма фишинга состоит в рассылке поддельных писем от имени банка или некого провайдера услуг с просьбой уточнить номер счета, логин/пароль и прочие персональные данные, отправив их по указанному адресу;
• реклама неких товаров, которые можно приобрести в интернет-магазине, причем в рекламе обязательно приводится ссылка на сайт магазина. Методика аналогична предыдущей — вместо сайта магазина пользователь может попасть на сайт фишеров или на сайт созданного мошенниками магазина-однодневки;
• применение троянской программы (например, класса Trojan.Win32.DNSChanger) или межсайтового скриптинга для перенаправления пользователя на сайт фишеров при попытке доступа к легитимному сайту. Наиболее простая реализация данного метода — модификация файла Hosts, а более сложные методы основаны на применении руткитов, троянских SPI/LSP-провайдеров или модификации системных настроек — например на перенастройке браузера на работу через троянский прокси-сервер или на подмене DNS-сервера провайдера в настройках TCP/IP на троянский DNS-сервер.

В последнее время все чаще сообщается о новой форме фишинга — выуживании у пользователя отсканированных копий его документов. В частности, имея ксерокопию паспорта и образец подписи, теоретически можно оформить кредит от имени пользователя. Получить отсканированные копии документов доверчивого пользователя несложно — например, прислать ему сообщение о том, что он выиграл в лотерею, является N -тысячным посетителем сайта X и т.п.

Защита. Большинство методик фишеров основано на доверии — следовательно, главная защита от них заключается в принципе «доверяй, но проверяй». Практическая реализация этого принципа базируется на ряде простых правил:

• банки никогда не запрашивают у клиентов номера кредитных карт, PIN-коды к ним и прочие персональные данные. Банку эта информация изначально известна и если понадобится уточнение, то в любом случае представители банка предложат пользователю явиться в банк с нужными документами, но никогда не станут требовать прислать их, скажем, по почте;
• не следует переходить по ссылкам, указанным в спам-письмах. Если ссылка визуально похожа на правильную, то это не означает, что она ведет на правильный сайт;
• любая лотерея основана на принципе «играют многие, выигрывают единицы», соответственно основное количество играющих окупают затраты на призы. Следовательно, если пользователь не покупал лотерейные билеты или иным способом не оплачивал участие в лотерее, но вдруг получает сообщение о выигрыше, то это наверняка мошенничество;
• следует настороженно относиться к рекламе товаров, цена которых значительно ниже цены в других магазинах;
• в случае работы с интернет-магазинами следует производить простейший контроль: как давно зарегистрирован домен магазина, есть ли у магазина офис, юридический адрес, телефоны и т.п. (естественно, что подобную информацию достаточно просто проверить). Если на сайте подобная контактная информация не указана, то с таким магазином лучше дела не иметь.

В качестве общего правила следует еще упомянуть о том, что ни в коем случае нельзя вводить номера кредитных карт на незнакомых сайтах. К примеру, подавляющее большинство легитимных интернет-магазинов в нашей стране пользуется услугами компаний типа Assist (http://www.assist.ru/) и не запрашивает реквизиты банковской карты непосредственно у клиентов.

Различные методики мошенничества с платежными системами и системами экспресс-оплаты нередко могут быть классифицированы как одна из форм фишинга. Однако ввиду особой распространенности рассмотрим данную форму мошенничества более подробно. С точки зрения реализации можно назвать массу вариантов, в частности:

• магические кошельки — принцип обмана состоит в том, что при помощи спама или специально созданного web-сайта злоумышленник описывает некую уязвимость или «недокументированную особенность» системы, позволяющую получить прибыль, переводя некоторую сумму на указанный кошелек. В описании метода сообщается, что через некоторое время деньги вернутся, к примеру, в удвоенном количестве. Естественно, что уязвимости никакой нет и деньги получает злоумышленник;
• поддельные обменники электронных денег и сервисы оплаты различных услуг;
• попрошайничество — это обычно спам (по почте и в различных форумах) с просьбой перевести деньги на срочную операцию для спасения ребенка, ремонт или восстановление храма, помощь детскому дому и прочие подобные вещи;
• поддельные письма или сообщения по ICQ от имени пользователя с просьбой одолжить небольшую сумму денег. Типовая схема — похищение паролей с ПК пользователя при помощи троянской программы, захват электронной почты и ICQ и последующая засылка просьбы одолжить деньги;
• всевозможные пирамиды с использованием платежных систем;
• мошеннические интернет-банки — как правило, предлагают вложить электронные деньги на очень выгодных условиях, после чего пользователь не получает ни денег, ни процентов;
• мошеннические биржи труда, предлагающие за небольшую плату подыскать престижную работу (естественно, что деньги они получают, но взамен ничего не предоставляют). Аналогичным образом устроены мошеннические системы дистанционной работы: соискателю обещают дистанционную работу, но за «оформление документов» или иную операцию предлагают заплатить 10-15 долл.;
• всевозможные интернет-лотереи, казино и прочие виды азартных игр;
• получение займа у частных лиц — заемщик пытается получить как можно больше кредитов, после чего исчезает.

Данный список содержит только основные формы мошенничества, однако у них есть общая черта — попытка выудить у пользователя деньги. Проблема усугубляется тем, что электронный платеж сложно проследить, а незначительность сумм зачастую не позволяет возбудить уголовное дело.

Защита. Один из главных методов защиты может быть основан на аксиоме, применяемой многими службами экономической безопасности, — «любая предоплата подозрительна». Поэтому запрос внести некую оплату услуг без подписанного сторонами договора потенциально опасен — в случае мошенничества вернуть деньги в подобной ситуации почти нереально. Кроме того, следует придерживаться ряда простых правил:

• получив от знакомого просьбу дать денег взаймы по электронной почте или ICQ, обязательно следует проверить, принадлежит ли ему указанный кошелек и просил ли он об этом;
• необходимо учитывать, что магических кошельков и чудесных способов обогащения не существует. Это очевидный факт, тем не менее количество обманутых пользователей растет с каждым днем;
• перед платежом следует воспользоваться защитными схемами, предлагаемыми электронными платежными системами. Классический пример — http://arbitrage.webmoney.ru — система, в которой фиксируются отзывы и претензии ее пользователей.

Дата добавления: 2014-01-13