Вишинг. Как понять, что вам звонит не банк, а мошенник
Вишинг (англ. vishing, от voice phishing) — один из методов мошенничества с использованием социальной инженерии, который заключается в том, что злоумышленники, используя телефонную коммуникацию и играя определённую роль (сотрудника банка, покупателя и т. д.), под разными предлогами выманивают у держателя платежной карты конфиденциальную информацию или стимулируют к совершению определённых действий со своим карточным счетом / платежной картой.
Исходя из статистических сведений вишинг набирает все большую популярность и входит в топ самых распространенных способов телефонного мошенничества на территории нашей страны. За 7 месяцев 2022 года от действий злоумышленников путем вишинга пострадало 14 кобринчан. Результаты многочисленных исследований показывают следующее:
− Во время эпидемии COVID-19 количество звонков от финансовых мошенников выросло более чем на 30%.
− Большинство звонящих в первую очередь пытаются вызвать доверие клиентов. Подавляющая часть мошенников знают, как минимум, имя человека, другие знают также фамилию и отчество, меньшинство обладают сведениями о персональных данных карты или могут назвать банк, в котором обслуживается клиент. Все эти сведения мошенники используют в беседе, и часто клиенты начинают верить в то, что общаются именно с сотрудником банковской организации.
− Персональную информацию о клиентах мошенники получают благодаря сливам баз данных банков или с помощью агрегаторов данных. Например, ФИО и номера телефонов могут быть у различных магазинов: они собирают информацию о своих покупателях для включения их в бонусные программы. Если мошенник получит доступ к этим данным, он будет знать имя и фамилию клиента, а также номер его телефона.
− Мошенники используют различные техники социальной инженерии, за основу можно выделить несколько сценариев, которыми чаще всего пользуются злоумышленники. Обычно звонящие пытаются сразу вызвать страх у клиентов: сообщают о подозрительном платеже с банковской карты или о том, что карта заблокирована. Реже мошенники звонят с «выгодным» предложением — открыть вклад или получить кредит.
− Целью мошеннических звонков в большинстве случаев являются коды из СМС, приходящие на телефон клиента. Например, если мошенники звонят и говорят, что с карты пользователя был совершен подозрительный перевод без его ведома, то позже они предложат остановить транзакцию. Чтобы ее остановить, злоумышленники попросят клиента назвать код из СМС, которая придет во время разговора. Однако на самом деле клиент не останавливает транзакцию, а подтверждает ее и деньги уходят на счет мошенников.
Второй вариант — мошенники попросят клиента самостоятельно перевести деньги с карты на якобы безопасный счет. При этом злоумышленники называют реквизиты собственных карт. Некоторые мошенники заходят еще дальше и уговаривают под различными предлогами клиента установить специальное приложение на телефон, которое, по их словам, защитит деньги пользователей от краж. Но на самом деле с помощью подобных приложений злоумышленники могут узнать пароль от интернет-банкинга клиента и иные персональные данные, а также удаленно управлять мобильным устройством.
Что делать для защиты от мошенников.
В ситуации, когда самый излюбленный способ работы мошенников — звонок от имени якобы сотрудника банка, лучше вообще не вступать в такие разговоры.
К сожалению, злоумышленники сейчас активно пользуются IP-телефонией. Это позволяет использовать номера, которые похожи на официальные номера банков. Иногда эти номера и вовсе могут совпадать. Следующие советы помогут обезопасить себя при встрече с таким методом мошенничества, как вишинг:
− Ни в коем случае не перезванивайте на тот номер, с которого вам поступил звонок. Сами же при звонке в банк набирайте номер, который указан на сайте банка.
− Сотрудник банка и без звонка должен знать: o вашу фамилию; o паспортные данные; o и то, какие карты у вас оформлены; o сколько денег осталось у вас на карте. Если кто-то по телефону начинает спрашивать у вас что-то подобное, смело завершайте разговор и сообщайте о подозрительном звонке в банк.
− Есть информация, которую должны знать только вы. Банки никогда не звонят сами и не спрашивают по телефону у клиентов: o полный номер карточки; o срок ее действия;
o CVC/CVV; o логин и пароль к интернет-банкингу;
o кодовое слово, код из СМС-сообщения.
Подобные сведения банк может спросить только в том случае, если клиент позвонил сам и то, это будет только ограниченная информация, а не полные данные, которые у банка и так имеются. Если вам позвонили и просят сказать что-то из вышеперечисленного — перед вами, скорее всего, мошенник. Если с вашей картой действительно какие-то проблемы, то банк может сам ее заблокировать (такие случаи были, например, когда резко менялась география совершения операций по карте). Но в любом случае все подобные вопросы нужно решать в отделении банка, а не по телефону.
Еще одна уловка мошенников — рассылать СМС или сообщения в соцсетях со ссылками, перейдя по которым, вы сами установите на смартфон или ноутбук вредоносное ПО для воровства персональной информации. Внешне такие лжесообщения очень похожи на реальные сообщения от банков, госорганов, операторов связи или известных магазинов. Сложность еще и в том, что злоумышленники обычно используют сервисы по сокращению интернет-ссылок и выявить подвох гораздо сложнее.
Если вы получили сообщение о выигрыше, прежде чем переходить по ссылке, узнайте, действительно ли был такой розыгрыш и, если ли информация о розыгрыше на официальном сайте. Например, были случаи, когда клиентам обещали подарки к юбилею банка, которое будет только через несколько лет, либо вообще уже давно было.
Подведем итоги и выделим основное.
В любых ситуациях, проводя какие-либо действия с денежными средствами пользователям необходимо соблюдать повышенную осторожность. Банки не запрашивают CVV-коды (с обратной стороны карты) или коды из СМС, а также иную персональную информацию. Кроме того, пользователям нельзя переходить по сомнительным ссылкам из СМС или писем в интернет-ресурсах, социальных сетях и мессенджерах: они могут вести на мошеннические сайты.
По рекомендациям банковских учреждений, клиенты, которым поступает звонок из банка, должны обращать внимание на манеру общения сотрудников. Мошенники постараются всеми способами убедить клиента продолжать разговор. А настоящая служба безопасности банка никогда не будет возражать, если клиент захочет перезвонить позже.
Если мошенники все же украли деньги со счета клиента, нужно в кратчайшие сроки сообщить банку о несанкционированном переводе и заблокировать карту. Если пользователь не нарушил правила безопасности, банки обязаны вернуть клиенту деньги. Однако сложно говорить о возврате, когда клиент нарушает правила пользования интернет-банком: сообщает свои данные для входа в онлайн-банк и коды подтверждения мошенникам. В таких случаях все зависит от типа транзакции и удалось ли ее остановить антифрод-системам, либо она ушла.
Пользователям, столкнувшимся с неудачной попыткой мошенничества, также рекомендуется обращаться в банк. Таким образом, банк узнает о новых способах мошенничества и их предотвращает. Также имеет смысл сообщать о злоумышленниках операторам связи: у них есть возможность отследить и заблокировать звонки с номеров мошенников.
Успех или неудача вишинговых мошенников практически полностью зависит от просвещённости и грамотности в сфере информационной безопасности граждан. Таком образом, если клиент будет бдителен и осторожен, то вероятность хищения с его карты денежных средств стремиться к нулю.
Как не стать жертвой «фишера».
Рекомендации по борьбе с кибермошенниками На территории Кобринского района за 7 месяцев 2022 года наблюдается снижение числа зарегистрированных киберпреступлений на 17,3% по сравнению с аналогичным периодом 2021 года, но не смотря на это обстановка остается напряженной. Удельный вес от совершенных преступлений (56% от преступлений, совершенных в сети Интернет за январь июль 2022) составляют преступления, совершенные путем фишинга.
Фишинг (англ. phishing, от fishing — рыбная ловля, выуживание) — вид интернет-мошенничества, цель которого — получить идентификационные данные пользователей. Сюда относятся кражи паролей, номеров кредитных карт, банковских счетов и другой конфиденциальной информации. Говоря простыми словами, фишинг – это кража информации в сети.
На сегодняшний день все больше граждан совершают покупки в сети интернет на торговых площадках, на страницах в социальных сетях (Инстаграмм, Вконтакте и т.д.), пользуется различными способами доставки товара (Европочта, СДЕК, Автолайт и т.д.) и не знают принципов работы мошенников.
Какую же цель преследует фишинг и какого рода информация может понадобиться мошенникам?
Цели могут быть самые разные.
Например: 1. Приватная информация частных лиц с целью их скомпрометировать. Хакеры могут охотиться как за известными личностями (например, с целью шантажа), так и за обычными людьми.
2. Получение доступа к банковским счетам путем хищения логина и пароля от платежных сервисов.
3. Коммерческая тайна. Фишинг используется недобросовестными конкурентами, рейдерами (специалисты по смене собственников предприятия, действующие незаконными способами) и другими лицами, заинтересованными в получении доступа к ценной информации или к деньгам компании. Вероятно, у многих граждан возникал вопрос - почему нельзя просто взять и заблокировать фишинговые сайты?
Во-первых, они растут как грибы после дождя, и уследить за ними физически сложно. Во-вторых, хотя фишинговые сайты — нарушение закона «О рекламе», чаще всего они созданы не в Беларуси, и устрашать мошенников нашим законодательством и ответственностью бесполезно.
Наиболее популярные фишерские мишени — аукционы, торговые площадки, финансовые и платежные системы. Также страдают различные банки по всему миру. Атаки фишеров бывают случайными и целевыми. В первом случае атака производится «наобум». Атакуются наиболее крупные и популярные объекты — такие как торговые площадки — так как вероятность того, что случайный получатель имеет там учетную запись, довольно высока. Во втором случае мошенники узнают, каким именно банком, платежной системой, провайдером, сайтом пользуется адресат. Этот способ более сложен и затратен для фишеров, зато больше шансов, что жертва купится на провокацию.
К одной из основных причин успеха фишинг-афер следует отнести низкий уровень осведомленности пользователей о правилах работы компаний, от имени которых действуют преступники. И хотя на многих сайтах, требующих конфиденциальной информации, опубликованы специальные предупреждения о том, что они никогда не просят сообщать свои конфиденциальные данные в письмах, пользователи продолжают слать свои пароли мошенникам. Пока же основной защитой от фишинга остаются спам-фильтры и личная цифровая осведомленность граждан.
Советы, как не стать жертвой фишера.
Для того, чтобы не стать жертвой киберпреступников, совершая сделки в сети Интернет следует:
- вести общение с потенциальными покупателями или продавцами только во внутреннем чате торговой площадки (зачастую торговые площадки блокируют возможность перехода на поддельные ресурсы);
- ведя общение с пользователем стоит перейти к его профилю и обратить внимание на дату создания (если он создан несколько дней назад, то это должно вызвать дополнительную настороженность);
- очень внимательно относится к любому случаю, когда необходимо ввести данные карты или информацию, предоставленную банком (смс-код, логин или пароль от интернет-банкинга).
Самый надежный способ уберечь свои средства – это никому не сообщать реквизиты своей карты;
- для осуществления онлайн-платежей необходимо использовать только надежные платежные сервисы, обязательно проверяя доменное имя ресурса в адресной строке браузера;
- следует воздерживаться от осуществления онлайн-платежей, связанных с предоплатой и перечислением задатков за товары и услуги, благотворительной и спонсорской помощи в пользу организаций и физических лиц при отсутствии достоверных данных о том, что названные субъекты являются теми, за кого себя выдают;
- уточнить у собеседника номер телефона если он не указан в объявлении, а потом позвоните на этот номер, чтобы убедиться, что он реален и принадлежит именно пользователю, с которым вы совершаете сделку (очень часто злоумышленники используют номера телефонов, взятые в аренду на непродолжительное время и физического доступа к нему, не имеют);
- избегать перехода по неизвестным интернет-ссылкам, которые предоставляются в ходе переписки якобы для получения предоплаты или оформления доставки. Если Вам прислали такую ссылку, то, независимо от того, кто ее прислал, прежде чем по ней перейти, следует внимательно проверить доменное имя (адрес ресурса). Сделать это можно отыскав в интернете официальный сайт и сверив написание доменного имени. Отличие в одну букву или символ свидетельствует о том, что перед Вами ссылка на поддельный ресурс.
- необходимо использовать лицензионное программное обеспечение, регулярно обновлять программное обеспечение и операционную систему; установить антивирусную программу не только на персональный компьютер, но и на смартфон, планшет и регулярно обновлять ее.
Если вы уже пострадали от фишинга: отправили кому-то данные банковской карты, включая CVV-код, или пароль от платежной системы – немедленно обратитесь в банк, а в случае необходимости – в правоохранительные органы.
На территории Кобринского района за 7 месяцев 2022 года наблюдается снижение числа зарегистрированных киберпреступлений на 17,3% по сравнению с аналогичным периодом 2021 года, но не смотря на это обстановка остается напряженной. Удельный вес преступлений составляют преступления, совершенные в социальных сетях. Что бы не стать жертвой такого преступления необходимо знать основы пользования социальными сетями, а также знать основы действий кибермошенников, а именно:
Внимательно проверяйте электронные письма
Получив любое письмо, не спешите отвечать или выполнять инструкции из него: сначала обратите внимание на важные детали. Что Вас должно насторожить?
Броская тема. Крупные переводы, денежные компенсации, взлом или блокировка учетной записи, мошеннические операции. Злоумышленники стараются завладеть вниманием, играя на чувствах жертвы, особенно часто — на жадности или страхе.
Нагнетание обстановки. Фразы вроде «срочно!» и «у вас осталось всего 3 часа», обилие восклицательных знаков — тоже уловки из арсенала мошенников, которые любыми способами пытаются заставить вас торопиться, паниковать и от этого потерять бдительность.
Ошибки, опечатки и странные символы в тексте. Некоторые преступники и правда безграмотны, но иногда злоумышленники специально пишут слова с ошибками, например «розыгрышь призов», или меняют часть букв на похожие латинские. Так они пытаются обойти спам-фильтры.
Странный адрес отправителя. Нагромождение случайных букв и цифр или «левый» домен в адресе отправителя письма, якобы пришедшего от крупной организации, — верный признак подделки.
Ссылка в письме, если она там есть. Точнее, адрес сайта, на который она ведет. Чтобы увидеть его, нужно навести мышку на ссылку и внимательно проверить адрес. Часто в расчете на невнимательность жертв преступники вставляют в сообщения ссылки на сайты с именами известных компаний или брендов с небольшим изменением, например sumsung.com или qoogle.com, поэтому проверять ссылку надо очень внимательно.
В большинстве случаев такой проверки хватит, чтобы опознать фишинговое письмо массовой рассылки. Но, к сожалению, имя и адрес отправителя можно подделать, а ссылку сократить до нечитаемого вида или настроить цепочку автоматических переходов с менее подозрительных адресов на сам фишинговый сайт.
Поэтому по возможности вообще не переходите по ссылкам из писем, если вы их не запрашивали. Например, уведомление из банка или от онлайн магазина можно проверить, позвонив по телефону из договора. В социальную сеть — зайти, набрав адрес вручную. Информацию о розыгрыше проверить на официальном сайте проводящей его компании, который вы найдете через поисковик. И так далее.
Не теряйте бдительность в мессенджерах и социальных сетях
Внимательными надо быть не только с письмами в почте, но и с сообщениями в мессенджерах. А также в соцсетях: ссылка-приманка может содержаться в посте знакомого на Facebook, ВКонтакте, в ответе фейковых представителей бренда в Twitter, личном сообщении в Discord и т.п.
Также стоит с подозрением относиться к баннерам — картинка на них может не иметь ничего общего с сайтом, на который вас перекинет. Ресурсы, где размещены баннеры, как правило, не могут контролировать, что именно увидит и куда перейдет пользователь. Так что даже с вполне респектабельного сайта по баннеру вы можете перейти на фишинговую страницу.
Как и в случае с почтой, нужно очень внимательно проверять все ссылки, а лучше вообще не переходить по ним, если вы не запрашивали последних.
Перед вводом номера карты остановитесь!
Данные банковских карт — особенно чувствительная персональная информация. Они открывают прямой доступ к вашим деньгам. Поэтому, как бы вы ни попали на сайт — по ссылке, баннеру, из поисковой выдачи или набрав адрес вручную, — прежде чем вводить реквизиты карты, еще раз остановитесь и проверьте, где вы находитесь.
Во-первых, присмотритесь к адресной строке. Признаки опасности все те же — опечатки, цифры вместо букв, дефисы в неожиданных местах и странные домены. Увидели один из них — покиньте сайт и попробуйте ввести его адрес заново.
Во-вторых, в той же адресной строке нажмите на замочек слева. Сам по себе он не гарантирует безопасность, но по клику появится предложение узнать больше о владельце сайта. Нажимайте на кнопки «Подробнее» и «Больше информации», пока не увидите название организации, которой принадлежит сайт.
Если вы часто совершаете покупки через Интернет, в том числе у небольших компаний и частных продавцов, мы рекомендуем завести для этого отдельную карту, хранить на ней незначительные суммы и пополнять непосредственно перед тем, как соберетесь что-то оплатить. Даже если данные этой карты утекут в результате фишинга, вы не потеряете больших денег.
Используйте разные пароли
Если вы используете для разных аккаунтов одинаковый пароль, пусть даже очень надежный, и однажды введете его на фишинговом сайте, то рискуете потерять все свои учетные записи. Поэтому важно, чтобы пароль был уникальным для каждого сайта и приложения.
Если вам трудно придумывать и запоминать десятки паролей для каждого интернет-ресурса: социальной сети, онлайн-магазина, интернет банкинга и др., вам поможет менеджер паролей.
С таким решением вам нужно будет запомнить только один уникальный мастер-пароль, который откроет доступ ко всем остальным. Их, в свою очередь, приложение будет подставлять само на нужные сайты. Кстати, это работает и как дополнительная проверка на фишинг: если приложение не подставило логин и пароль автоматически, то, скорее всего, вы находитесь на поддельной странице. Для человека она выглядит похоже, но адрес у нее другой, поэтому менеджер паролей и не подставляет на ней учетные данные. Кроме того, менеджеры паролей сами генерируют сложные для взлома комбинации.
Включите двухфакторную аутентификацию для защиты аккаунтов
Многие фишинговые атаки нацелены на угон учетной записи. Однако можно сделать так, чтобы у злоумышленников не получилось войти в аккаунт, даже если они получат логин и пароль. Настройте двухфакторную аутентификацию во всех возможных сервисах — и для авторизации будет нужен дополнительный временный код, который придет вам по почте, в SMS или в специальном приложении-аутентификаторе. Таким образом, злоумышленнику, чтобы войти в ваш аккаунт придется заполучить еще и специальный код подтверждения.
Однако надо помнить о том, что особенно тщательные фишеры могут подделывать и окошко для ввода одноразового кода двухфакторной аутентификации, поэтому бдительность не стоит терять на всех этапах проведения транзакции.
Стоит помнить, что мошенники идут в ногу со временем, а общество постоянно повышает уровень своих цифровых знаний, всё больше узнает о различных преступных методах злоумышленников, поэтому используемые сейчас последними способы и средства для хищения денежных средств в скором времени могут стать неактуальными. В любой ситуации нужно оставаться предельно внимательными и досконально разобраться в случившемся, прежде чем сообщить третьим лицам либо ввести где-то свои персональные данные или совершить какие-либо действия по указанию мошенников. Ведь Ваша безопасность, в первую очередь, в Ваших руках!
раскрыть » / « свернуть