Вам еще не поступали сообщения от друзей
в «Одноклассниках» или «Вконтакте» с просьбой отправить SMS, одолжить денег или поделиться номером мобильного общего знакомого? Осторожно: это могут быть и не друзья — взлом и дальнейшее использование персональных страниц в социальных сетях с недавних пор стало новой золотой жилой для аферистов.
Номер удался
«Здравствуйте, это инженерная служба вашего сотового оператора. Мы перенастраиваем сеть. Чтобы оставаться на связи, вам необходимо набрать... Записывайте...» Подобные звонки за последние несколько месяцев поступили тысячам пользователям сотовых телефонов. В итоге, после набора указанной комбинации со счета списывались 300 руб. (или 600 — у тех, кому «сервисный инженер» дал указание «набрать авторизацию для верности дважды»). Вводимая комбинация являлась не чем иным, как платной отправкой SMS на короткий номер. «Эта схема мошенничества, которую мы называем лжезвонком от технической службы оператора, сегодня одна из самых распространенных,— комментирует начальник отдела корпоративной социальной ответственности дирекции по связям с общественностью ОАО «Вымпелком» Анна Самохвалова.— Необходимо помнить, что у оператора связи миллионы абонентов, и настройки на сети совершаются таким образом, чтобы быть незаметными пользователям».
Большую долю SMS-платежей на счета аферистов дает SMS-спам, содержание которого может быть самым разным. «Для рассылки SMS-спама аферисты обычно используют подключенные к компьютеру специальные GPRS-модемы на несколько SIM-карт, которые по базе данных будут рассылать до 100 сообщений в секунду. За час разошлют сотням тысяч абонентов,— рассказывает Вячеслав Варламов, гендиректор контент-провайдера «Си Эм Си Биллинг».— Самое опасное, что используемые программно-аппаратные средства позволяют подменять номер отправителя в сообщении, что запрещено операторами».
Гигантскую часть разводок на SMS-платеж составляют реклама и предложение услуг в интернете. Отправкой SMS на короткий номер могут предлагать оплатить как доступ к порноархиву или скачивание пиратского софта, так и вполне благовидные услуги, вроде получения результата теста IQ или персонального гороскопа. Обычно стоимость SMS оказывается 300 руб., вместо декларируемых 30–50 руб. При этом за свой платеж незадачливый пользователь не получает ничего.
Интересный прием начал применяться примерно год назад: подцепленный в сети вирус при открытии любой интернет-страницы заполнял около четверти экрана окном с порнухой, которое не убиралось никакими действиями. Отдельной строкой порноинформер ехидно благодарил за доверие и предлагал отправить SMS с кодом на номер 3649 для своего удаления и отказа от порновидеоподписки. Те, кто решился отправить SMS, вместо кода удаления получили ответное сообщение — предложение отправить еще одно SMS для подтверждения удаления.
Проведя нехитрый поиск в сети, мы выяснили, что практически на все дорогие (со стоимостью отправки SMS 200–300 руб.) короткие номера есть жалобы пользователей. Так почему же сотовые операторы их не закрывают? Об этом немного ниже.
Мы знакомы?
Наибольшую опасность для пользователя представляеют персонифицированный спам. Например, нашей коллеге в сети «Одноклассники» пришло такое сообщение с аккаунта одного из друзей: «Привет!!! Я почти выигрываю в конкурсе лучшее фото к 9 мая, меньше процента не хватает ... Главный приз — смартфон почти мой ... Лена, можешь мне помочь? Нужно отправить смс, текст «num777 170». Номер конкурса «6008», без кавычек. Если не тяжело, проголосуй за меня, в долгу не останусь! Конечно, если полтора рубля не жалко;-) Заранее спасибо!»
Оказалось, что такие сообщения получили все, кто был в списках друзей страницы отправителя. При этом сам владелец аккаунта даже не знал, что от его имени что-то рассылалось. Подобные аферы проворачивались и в сети «Вконтакте».
«По нашим оценкам, эти данные были не украдены с серверов самой компании, а набраны путем фишинга,— комментирует старший антивирусный эксперт «Лаборатории Касперского» Виталий Камлюк.— Анализ той 40-тысячной базы показал, что собирались пароли пользователей всего пару месяцев».
Фишинг — от англ. phishing, производное от password — пароль и fishing — рыбная ловля. Разновидность интернет-мошенничества, цель которого — завладеть конфиденциальными данными пользователя (паролем, номером кредитки, PIN-кодом и пр.) с помощью того или иного хитроумного способа, с применением социальной инженерии. Фишинг дает бешеный эффект. Допустим, пользователю приходит на e-mail письмо: «Привет, посмотри какие отличные фотографии я выложила на своей странице в Вконтакте. Маша». «Кто такая Маша? Зайду, узнаю, может, и правда знакомая»,— думает получатель или даже не думает, а просто кликает автоматически прилагаемую ссылку и попадает на фишинговый сайт, дизайн которого скопирован с оригинала. Но чтобы добраться до страницы «Маши» надо авторизоваться, то есть ввести свой логин и пароль.
Как рассказал Виталий Камлюк, попасть на фишинговый сайт можно и без всяких вирусов-троянов, подставляющих фальшивую страничку, или спамерских разводов. Любой человек, забивая адрес сайта в строке браузера, может допустить опечатку. Мошенники, находя наиболее вероятные варианты опечаток, регистрируют соответствующие сайты. В итоге, набрав вместо www.vkontakte.ru (адрес настоящего «Вконтакте.ru») www.vkontaktle.ru, попадаешь на практически идентичную внешне страницу. Незначительные отличия от оригинала в дизайне именно этого фишингового сайта (а подобных может быть очень много) объясняется исключительно ленью самих аферистов — они не обновили вслед за настоящим «Вконтакте» когда-то скопированную главную страницу.
После получения логина и пароля фишинговый сайт чаще всего выдает сообщение об ошибке или переадресует вас на настоящий ресурс, так что вы можете вообще не заметить, что заходили куда-то еще. Чтобы обезопасить пользователей, владельцы популярных ресурсов стараются зарегистрировать на себя домены, на которые заходят в связи с типичными опечатками. Например, www.odnoklasniki.ru (с одной S) — ресурс не фишинговый, принадлежит «Одноклассникам» и переадресует вас в настоящую соцсеть.
Конечно, элементарную автоматическую защиту пользователю предоставляют и сами сервисы. Например, почтовые. В большей степени обезопасить от фишинга может специальная антифишинговая защита. По словам Виталия Камлюка, последние версии персональных продуктов «Лаборатории Касперского» содержат постоянно обновляемую базу данных фишинговых сайтов, при посещении которых выдается автоматическое предупреждение.
Наибольшую опасность представляют злоумышленники, использующие данные из соцсетей не для разводок по мелочи, на 300 руб., а для более серьезных афер. Например, женщине на телефон присылают MMS с фотографией мужа в синяках, типа «твой сидит в ментовке, неси выкуп $2 тыс.». Как стало понятно, фото было взято с сайта «Одноклассники» и подправлено в Photoshop, телефон супруги каким-то образом раздобыли.
Пишите письма
Помимо разводок на SMS-платеж, существует еще несколько видов афер, ориентированных на пользователей мобильников. Классика жанра — получение SMS вроде «Стою на дороге в ДТП, срочно положи рублей 200 на этот номер. Саша». Весьма распространен заход, когда пользователь получает SMS-уведомление о якобы поступившем на счет его номера платеже. Позже раздается звонок или приходит SMS с просьбой вернуть переводом некоему абоненту положенные не на тот номер деньги.
«Главное для абонента — не решать проблему самому, а отправлять звонящего к оператору связи, у которого есть процедуры корректировки ошибочно зачисленных платежей»,— рекомендует Кирилл Пузырев, ведущий специалист аналитического отдела управления по безопасности ОАО «МегаФон». Реже, но случается, когда раздается звонок: «Срочно перезвони» — и сразу отбой. Или приходит SMS с подобным текстом. Зачем мошенникам нужно, чтоб им позвонили? Может, это «завлекалка» на платный телефонный сервис с повременной оплатой, вроде секса по телефону? Да, и такое бывает.
Бывают и совсем интересные ситуации. «У сотовых операторов есть тарифы, на которых за каждый входящий звонок начисляется бонус,— рассказывает Вячеслав Варламов.— У многих региональных операторов такие тарифы или акции плохо прорабатывали, и в итоге бонус за входящий звонок на мобильный оказывался больше, чем стоимость исходящего с городского номера. Многие садились и часами названивали сами себе, накапливая деньги на SIM-карте. Ко мне однажды приезжал человек, предлагавший купить с дисконтом SIM-карту, на которой он каким-то образом насобирал 600 тыс. руб.»
Как рассказал Вячеслав Варламов, в заметном количестве аферы с SMS-платежами стали проводить около четырех лет назад, когда контент-провайдеры предоставили физическим лицам возможность получать на короткие номера оплату за свои услуги. Партнеров на одном коротком номере могут сидеть сотни, и каждый из них предоставляет десятки сервисов. Соответственно, адрес получателя и конкретной услуги определяется так называемым префиксом — кодом, отправляемым на пресловутый короткий номер. Таким образом, понятно, почему операторы не могут просто так взять и закрыть номер с подмоченной репутацией.
При получении жалобы абонента (обращение в офис или в контактный центр) проводится разбирательство, и при подтверждении факта мошенничества и доказательства виновности провайдера абоненту возвращают потраченные средства. Кроме того, сотовый оператор крупно штрафует контент-провайдера (а то и разрывает отношения с ним), ну а тот, соответственно, закрывает префиксы, зарегистрированные на мошенников. Однако на этот случай аферисты регистрируют у провайдера сразу кучу префиксов: как только один закрывают как недобросовестный, они переключают поток SMS на другой.
Обычно большинство обманутых абонентов ограничиваются лишь гневными звонками в call-центр оператора, где их вежливо переадресуют на контент-провайдера, разговор же с которым бессмыслен. Совсем другое дело — направить своему оператору письменное заявление. «Никто не читает договор, который подписывает при покупке SIM-карты, а зря,— говорит Вячеслав Варламов.— Хотя оператор выступает как бы посредником между абонентом и производителем услуги на коротком номере, но номер-то предоставляет оператор, деньги взимает изначально он, и ответственность по закону перед абонентом несет он. Так что требовать свои деньги нужно именно с сотового оператора».