Злоумышленники заглянули на маркетплейсы
Каким образом они похищают средства пользователей
Мошенники научились воровать деньги через аккаунты на маркетплейсах. О новой схеме сообщили «Известия» со ссылкой на МВД. Злоумышленники взламывают личные кабинеты покупателей и оформляют заказы у заранее созданных фейковых магазинов. Как отмечают собеседники издания, многие пользователи привязывают банковские карты, чтобы упростить процесс покупки. При этом дополнительные методы проверки операций зачастую отсутствуют. Человек может даже не узнать о трансакции, если у него отключены уведомления.
Фото: Ирина Бужор, Коммерсантъ
Фото: Ирина Бужор, Коммерсантъ
Чтобы все выглядело правдоподобно, мошенники заранее прописывают фейкового продавца в системе онлайн-площадки и только после этого оформляют заказ на максимально доступную сумму. Меры для предотвращения обмана платформы должны принимать совместно с банками, говорит эксперт по маркетплейсам Артем Бобцов: «Карты привязаны всегда и у всех, у некоторых даже по несколько штук. Ими пользуются в зависимости от того, где есть деньги, где есть кэшбэки. На маркетплейсах более половины покупок осуществляется по предоплате, то есть клиент делает заказ и сразу же его оплачивает, а часть заказов оплачивается при получении, но с привязанной карты.
Покупатели привыкли делать все в два клика: выбрать товар, кинуть его в корзину и там одним нажатием оплатить. Все к этому привыкли, и любая другая система, более сложная, сразу клиентов отпугнет, и они могут уйти на другую площадку. Кроме того, как правило, аккаунты на маркетплейсах менее защищены, чем банковские аккаунты. Там отсутствует двухступенчатая верификация либо настроен автоматический вход, когда не запрашивается дополнительно ни логин, ни пароль.
Многие продавцы торгуют по системе FBS, в основном работают поставщики дорогой продукции. Чтобы не замораживать ее на складах маркетплейсов, они держат ее у себя и отгружают клиенту, только когда осуществляется заказ. Учитывая, что фейковому клиенту везут фейковый заказ, у маркетплейсов нет никаких юридически возможностей эту сделку расторгнуть и вернуть деньги на карту пострадавшего покупателя. Здесь нужно ставить преграду на этапе именно проведения оплаты, чтобы при достаточно дорогостоящих покупках, свыше какой-то суммы, обязательно запрашивалось СМС-подтверждение из банка».
СМИ также отмечают, что мошенники могут украсть персональные данные со взломанных аккаунтов и проводить с их помощью операции уже на других площадках. Впрочем, эта финансовая схема не так выгодна, утверждает консультант по интернет-безопасности Positive Technologies Алексей Лукацкий:
«Данные карты украсть можно, но без пин-кода они будут бесполезны. Безусловно, есть определенный риск, связанный с ее использованием в каких-либо других интернет-магазинах. Но, на мой взгляд, для злоумышленников это менее интересная схема, за исключением случаев, когда эти данные массово собираются и продаются просто как набор данных об украденных картах. То есть злоумышленники продают реквизиты, а уж кто ими будет пользоваться, это вопрос десятый. Появляются посредники, и потом эти данные перепродаются достаточно активно на всяких подпольных форумах. Это комплексная схема, и, чтобы ее пресечь, начинать надо, конечно, с установления многофакторной аутентификации для покупателей.
Почему сейчас не всегда запрашивают СМС или пин-код при совершении покупки? Любая проверка требует какого-то количества времени, от нескольких секунд до одной-двух минут. Как показывает статистика, это может привести к падению объема продаж на 20-30%.
В итоге многие маркетплейсы и банки отказываются от этого механизма, компенсируя его встроенными антифрод-системами. Но в целом это зависит и от суммы покупки, и от банка, и от самого маркетплейса».
До этого мошенники не взламывали аккаунты, чтобы обмануть пользователей маркетплейсов. Зачастую злоумышленники присылали фишинговые ссылки под видом скидок и акций или в ответ на отзыв якобы от сотрудника техподдержки.
С нами все ясно — Telegram-канал "Ъ FM".