Мошенничества с банковскими счетами и кредитными картами
Использование интернет‑банка и оплата банковской картой – как в сети, так и в обычных магазинах – стали неотъемлемой частью повседневной жизни для большинства людей. Сегодня это основной способ оплачивать счета и покупать товары.
Мы привыкли считать, что операции с картой и интернет‑банком безопасны, и в целом это действительно так. Но время от времени в СМИ появляются сообщения или знакомые рассказывают истории о том, как их карта или банковский счет были полностью опустошены. Мошенничество с банковскими картами и счетами – самый распространенный способ, которым жители Эстонии теряют деньги из‑за киберпреступников. В подавляющем большинстве случаев преступники получают доступ к счету жертвы из‑за ее невнимательности или незнания: человек переходит по фишинговой ссылке из SMS, электронной почты или другого канала и сам передает мошенникам данные карты, а порой и электронно подписывает платеж на поддельной странице, точно копирующей интерфейс интернет‑банка. Тем не менее, снизить риск стать жертвой можно путем повышения осведомленности и внимательности.
В интернете и по телефону необходимо с критикой относиться ко всем просьбам предоставить данные доступа к интернет‑банку, сведения о банковской карте, коды из SMS, а также PIN‑коды мобильного ID или Smart‑ID. PIN‑код следует вводить только тогда, когда вы лично инициировали операцию и точно намерены ее совершить.
Обращайте внимание на то, какой именно код используется для подтверждения – это поможет вовремя заметить попытку мошенничества. Для ID-карты, Mobiil-ID и Smart-ID:
- PIN1 предназначен для аутентификации и получения доступа, например, для входа в интернет-банк или подтверждения небольших покупок картой в интернете;
- PIN2 используется для подписания и подтверждения действий, например подтверждения банковских переводов или подписания документов. В Эстонии подпись с помощью PIN2 ID-карты, Mobiil-ID и Smart-ID приравнивается к собственноручной подписи.
Мошенничества с картами
Преступники используют разные способы и быстро развивающиеся технологии для кражи данных карт пользователей (как дебетовых, так и кредитных).
Ниже приведены некоторые способы, которыми преступники похищают данные карт:
- фишинг в интернете, где сначала пользователю отправляют фишинговую ссылку по электронной почте, SMS или другому каналу, которая перенаправляет на фишинговую страницу, где запрашивают данные карты;
- специально созданные поддельные интернет-магазины для кражи данных;
- копирование данных карты / совершение дополнительных операций в некоторых магазинах или кафе (особенно в зарубежных странах), когда обслуживающий персонал уносит карту из поля зрения клиента;
- установка устройства для копирования карт на банкомат.
Жертва часто обнаруживает кражу данных карты только при просмотре выписки по банковскому счету, замечая подозрительные операции.
Для безопасного использования банковской карты следуйте рекомендациям своего банка, советы по безопасным покупкам в интернете вы найдете в статье «Как не стать жертвой обмана при покупках в интернет-магазине».
Банковские мошенничества
Интернет-банки в Эстонии обычно требуют строгой двухфакторной аутентификации. Это означает, что для входа в свой банковский счет недостаточно только имени пользователя и пароля – дополнительно требуется ID-карта, Mobiil-ID, Smart-ID или код из PIN-калькулятора, выданного банком. В банковских приложениях также используются защитные коды смартфона или биометрия (например, отпечаток пальца). Как же тогда преступникам удается получить доступ к чужим интернет-банкам и совершать операции, если системы созданы безопасными?
Большинство жителей Эстонии используют для входа в интернет-банк и проведения расчетов Smart-ID или Mobiil-ID, которые технически безопасны, но требуют от пользователя внимательности и осведомленности при использовании PIN-кодов.
Ниже мы пошагово объясним, как у людей выманивают PIN-коды и как преступники входят в интернет-банк вместо жертвы. Такие атаки обычно автоматизированы и выполняются специально созданной программой.
Киберпреступник отправляет жертве письмо или SMS с фишинговой ссылкой, или использует для передачи ссылки другой канал.
Жертва нажимает на веб-ссылку в электронном письме или SMS и попадает на фишинговую страницу, имитирующую банк.
Если пользователь не замечает, что это фишинговая страница, он пытается войти в интернет-банк и вводит на фишинговой странице свое имя пользователя и личный код.
Киберпреступники настроили фишинговую страницу, имитирующую интернет-банк, таким образом, что введенные данные автоматически пересылаются на настоящий веб-сайт банка, и предпринимается попытка входа. Однако жертва всё еще видит фишинговую страницу.
Когда полученные в ходе атаки данные пользователя передаются на настоящий веб-сайт банка, страница входа в банк отображает контрольный код Mobiil-ID или Smart-ID. Злоумышленник копирует контрольный код, полученный от настоящего банка, на фишинговую страницу, где жертва, ничего не подозревая, ожидает этот код.
На телефон жертвы отправляется контрольный код Mobiil-ID или Smart-ID, поскольку вход также осуществляется злоумышленником через настоящий банк. Жертва видит правильный защитный код на фишинговой странице и аутентифицирует себя с помощью своего Mobiil-ID или Smart-ID.
При вводе этого кода преступник получает доступ к интернет-банку жертвы и начинает там действовать (совершать платежи, запрашивать кредиты и т. д.).
Жертве же показывается либо страница с контрольным кодом, либо просьба подождать, либо сообщение о технической ошибке и т. п.
Если преступник хочет совершить платеж, требующий подписи, запрос на подтверждение приходит на телефон жертвы (телефон запрашивает код PIN2). Жертва может, ничего не подозревая, подтвердить платеж, думая, что всё еще пытается войти в интернет-банк. Здесь важна осведомленность пользователя о том, что код PIN2 предназначен для подписания документов.
В некоторых банках подписи для небольших платежей не требуются, и в таком случае у пользователя нет индикации о том, что на его банковском счете что-то происходит. В этой ситуации жертва узнает о платеже только постфактум: когда обнаруживает операцию в выписке по счету или когда банк отправляет уведомление о транзакции.
Järgmised sammud:
Преступник может попытаться сделать несколько платежей, в этом случае на телефон может прийти несколько запросов PIN-кода, подтверждая которые жертва авторизует платежи.
Здесь важно следить за тем, чтобы не вводить ни один PIN-код необдуманно!
Что делать, если данные банковской карты украдены или злоумышленник получил доступ к интернет-банку?
Если данные вашей банковской карты украдены или вы заметили подозрительные операции на своем банковском или кредитном счете, рекомендуем следующее:
Если вы поняли, что стали жертвой фишинга и предоставили мошеннику доступ к своему счету, не вводите больше никаких PIN-кодов Mobiil-ID или Smart-ID и немедленно свяжитесь со своим банком по номеру службы поддержки на официальной странице банка (воспользуйтесь поисковой системой!);
Если вы обнаружили подозрительные операции на банковском счете или считаете, что данные вашей карты могли быть скомпрометированы, немедленно свяжитесь со своим банком, чтобы заблокировать банковскую карту: возможно, вы сможете вернуть свои деньги или по крайней мере предотвратить дальнейшие кражи.
сообщите о случившемся в Бюро киберпреступлений Департамента полиции и погранохраны: https://cyber.politsei.ee/;
напишите по адресу cert@cert.ee и эксперты RIA посоветуют, что предпринять дальше. Также предоставленная вами информация может помочь поймать злоумышленников и предотвратить будущие инциденты.
Обязательно сохраните все доказательства кражи, например, электронные письма, счета, чеки, копии рекламы и т. д.;
Расскажите о случившемся своим близким и знакомым – так вы повысите и их осведомленность и поможете избежать подобных ситуаций.