С помощью новой Системы быстрых платежей мошенники через QR-код крадут у россиян деньги с банковского счета. Произойти это может не только по невнимательности жертвы, но и из-за уязвимости в системе. Эксперты рассказали "Газете.Ru" о видах такого рода мошенничества и дали советы, как себя обезопасить.
Мошенники придумали новый способ кражи денег у россиян, на который может попасться каждый. Они распространяют листовки с опасными QR-кодами на улицах, а также клеят их в заведениях общепита. Об этом сообщил Первый канал.
Кража денег происходит через QR-код. Одна из жертв преступников пыталась отсканировать такой код с рекламной листовки магазина электроники и техники, чтобы получить скидку на покупку. Однако попытка сэкономить обернулась потерей всех денег.
"Телефон завис, и в этот момент мне приходит СМС о списании всех денег с моего [банковского] счета", — рассказала собеседница телеканала.
Жертвой подобной схемы мошенничества стали и посетители бара, в котором решили упростить для посетителей процедуру оплаты заказа, поместив на меню QR-код. Злоумышленники незаметно наклеили собственный код поверх кода бара и получали деньги посетителей вместо заведения.
Известен также случай, когда мошенники размещали свои QR-коды прямо на столах заведений общепита под видом сервиса, собирающего чаевые для сотрудников. Об этом "Газете.Ru" рассказал работник одного из столичных ресторанов, посоветовав уточнять подлинность кода у персонала, прежде чем перечислять вознаграждение.
В подобной схеме нет ничего удивительного, ведь покупатель или пользователь не может определить, сканирует ли он настоящий код или поддельный, который ему подсунули мошенники, говорит партнер и директор компании "Интеллектуальный Резерв" Павел Мясоедов, добавляя, что сейчас есть масса способов таким образом списать деньги со счета любого клиента.
"Банки уже заявляли, что есть случаи подделки страниц с оплатой. Возможно, речь идет о том, что мошенники подделывают код на такой странице. Он сканируется пользователем, и после этого в устройство попадает вредоносное ПО, которое списывает средства со счета", — поясняет "Газете.Ru" Мясоедов. При этом он отмечает, что
списание средств может произойти не сразу, а через какое-то время, чтобы у клиента было меньше подозрений и понимания того, где был отсканирован поддельный код. В такой ситуации что-либо доказать или найти источник, когда именно в телефон попала вредоносная программа, практически невозможно. Директор компании "Антифишинг" Сергей Волдохин отмечает, что оплата по QR-кодам — относительно новое явление и с мошенничествами с использованием данной технологии в компании практически не сталкивались. В данном случае можно говорить о нескольких возможных схемах:
"В описании [вышеупомянутой] ситуации мало технических подробностей, однако автоматическое списание средств теоретически возможно, если в программе-считывателе QR-кода, банковском приложении или мобильной операционной системе были уязвимости. В случае эксплуатации таких уязвимостей мошенники смогут получить удаленный доступ к системе и выполнить любую транзакцию автоматически", — рассуждает Волдохин, добавляя, что с уязвимостями компании-разработчики регулярно борются путем выпуска обновлений, и если их не устанавливать регулярно, риски того, что устройство может быть взломано, существенно повышаются.
При этом эксперт обращает внимание на тот факт, что в реальности гораздо более распространены ситуации, в которых сам пользователь подтверждает перевод средств. В частности, мошеннический QR-код может содержать сообщение о переводе денег через мобильный банк, и для отправки средств на счет мошенников пользователю остается лишь нажать на кнопку отправки (неважно, случайно или намеренно).
"Пользователь также может открыть QR-код через банковское приложение. В данном случае все реквизиты заполняются автоматически, в том числе может указываться релевантное назначение платежа. Но, если мошенники подменили QR-код, реквизиты тоже будут поддельными", — описывает директор компании "Антифишинг" еще один способ мошенничества, советуя всегда перепроверять реквизиты по платежам на значимые суммы, даже если реквизиты были автоматически считаны с QR-кода.
Об этом говорит и руководитель группы контроля ИТ-рисков и противодействия мошенничеству в ИТ-системах Райффайзенбанка Александр Мотичев. Он добавляет, что платежи по QR-коду абсолютно безопасны, если выполнять традиционные требования к переводам средств - проверять все реквизиты и не подтверждать операцию, если нет уверенности в получателе.
Заместитель руководителя Лаборатории компьютерной криминалистики Group-IB Сергей Никитин рекомендует критически оценивать сайты, которые просят оставить личные или платежные данные, и загружать приложения только из официальных магазинов.
"Также, чтобы не проэксплуатировать какую-любо уязвимость, нужно соблюдать простое правило цифровой гигиены — своевременно обновлять операционную систему своего смартфона. На текущий момент для iOS это версия 13.6, для Android это версии 9,10,11 с обновлениями безопасности на июнь 2020 года. Если ваш смартфон более не обновляется и не получает обновлений безопасности, самое время разместить его на доску объявлений",
— рекомендует эксперт.
Сергей Волдохин, в свою очередь, также говорит о необходимости обновлять приложения на своих устройствах, в особенности те, что могут содержать персональные и конфиденциальные данные, информацию о счетах и тому подобное.
"Второе важное правило - не спешите. Самые опасные мошеннические схемы связаны с социальной инженерией, когда злоумышленники атакуют не технологию, а пользователя как самое слабое звено. В большинстве случаев человек сам запускает вредоносную программу, отправляет конфиденциальные данные или подтверждает действие", — отмечает собеседник "Газеты.Ru".
Павел Мясоедов для дополнительной защиты также советует пользоваться специальным QR-код-антивирусом. Такую программу можно установить на телефон: перед сканированием она проверяет код на наличие вредоносного содержимого, и, если таковой будет обнаружен, предупредит пользователя об опасности.
Свежие комментарии