Карткове шахрайство: нові "мутації" старих схем
Шахраї навчились красти гроші з банківських карток по-хакерськи технологічно. Але і старих перевірених способів не цураються
Чимало українців, які користуються послугами банківських установ, не з чуток знають про різноманітні махінації, пов'язані зі списанням коштів з власних платіжних карток. Адже зловмисники в гонитві за легкими грошима проявляють неабияку винахідливість. Пригадаємо найгучніші афери, унікальні схеми та “звичні” способи, за допомогою яких найчастіше ошукують клієнтів фінансових установ. І вкотре повторюємо про механізми захисту від карткових шахраїв.
Що каже статистика?
За даними Нацбанку, лише за минулий рік в Україні сталося майже 72 тисячі випадків незаконних дій із платіжними картами, 58% із них – в інтернеті. Так, у першому півріччі минулого року банки повідомили про фіксацію 47,5 тис. випадків шахрайства з картками на загальну суму 86,4 млн грн, тоді як за перше півріччя 2019 року було зафіксовано 34,7 тис. випадків на 72,6 млн грн.
Тобто відбулося зростання обсягів шахрайства. Причина проста – українці частіше стали обирати безготівкові платежі, розрахунки та покупки онлайн. До того ж, у липні минулого року НБУ запустив всеукраїнську інформаційну кампанію з протидії платіжному шахрайству. Мета якої – навчити українців основним правилам безпеки безготівкових та онлайн-платежів.
«Якщо раніше ми боролися із накладками на банкомати, через які шахраї викрадали дані карток, то зараз ми боремося за обізнаність населення, адже в більшості випадків люди стають жертвами шахраїв через недотримання основних правил платіжної безпеки», – наголошував тоді директор Департаменту платіжних систем та інноваційного розвитку Національного банку Олексій Шабан. Ось лише кілька найяскравіших історій, найзухваліша з яких сталася нещодавно.
Засинають клієнти – прокидаються шахраї
На початку лютого цього року на сайті Мінфіну почали з’являтись повідомлення від клієнтів банку «ПУМБ», що з їх банківських карток почали списуватись кошти. Суми були різними – від кількасот до десятків тисяч гривень. За словами потерпілих, транзакції відбувались переважно в нічний час або зранку, коли люди спали та не мали можливості стежити за своїми картками.
«18.02.2021 року приблизно о 5 ранку були вкрадені з зарплатної картки гроші. Було здійснено три платежі на суму 1500, 2650, 2700 грн. Дані карти я ніде не світив, невідомі номери не дзвонили, смс підозрілих не було, sim-карту не відновлював, паролі від онлайн-банкінгу і підозрілих входів не було, ПІН-код ніхто не знає - простими словами я дотримуюся всіх заходів безпеки при користуванні карткою, а гроші зникли», – каже чоловік.
Ще один потерпілий повідомляє, що з його рахунку також зняли кошти, але вже у сумі $2000. Щоправда, спочатку вони були переведені в українську валюту, а вже тоді списані.
«28 лютого я вирішив зайти у власний кабінет, але при введенні пароля з’ясувалось, що він заблокований. Вже на інший день у відділенні банку вияснилось, що з мого рахунку зникло близько двох тисяч доларів. Після запиту від консультанта щодо чеку, я побачив, що з 22 по 24 лютого списувалися гроші по 2700 грн на карту іншого банку. Причому усі долари, які в мене були, спочатку перевели в гривні, і вже тоді почали здійснювати транзакції. Водночас мені не приходили ніякі запити, сповіщення і тд.», – зізнається користувач послугами банку.
Як зловмисники заволоділи коштами клієнтів банку, досі достеменно ніхто не знає. Адже як повідомили в ПУМБі всі операції були здійсненні за допомогою коректного логіну, паролю та правильних реквізитів. Що, своєю чергою, і не викликало жодних підозр у банкірів.
«Усі входи до інтернет-банкінгу проводилися з коректним введенням конфіденційної інформації, що є типовою поведінкою звичайного клієнта. Тож у банка не було підстав для їх блокування», – йдеться в коментарі ПУМБ «Укрінформу».
Також в установі наголошують, що відкидають можливість причетності до масового списання коштів клієнтів їхнього співробітника, адже несанкціоновані втручання до системи банку виявлені не були.
«Програмні комплекси ПУМБ передбачають найвищий рівень захисту даних і рахунків, несанкціонованого втручання до системи не виявлено. Причетність співробітників банку виключена. У банку не зберігаються паролі до інтернет-банкінгу клієнтів у незахищеному вигляді. Компрометація логіну і паролю можлива лише з боку клієнтів (використання паролів електронних поштових скриньок, паролі до систем інтернет-банкінгів інших фінансових установ, введення паролів на фішингових сайтах, тощо)», – наголосили в банку.
Наразі відомо, що керівництво банку прийняло рішення у певних випадках відшкодувати клієнтам кошти, які були списані з їх рахунків шахрайським шляхом. Зокрема, найбільша сума компенсації одній людині склала 16 тисяч гривень.
«Клієнти зверталися до банку з повідомленнями про несанкціоноване списання коштів шахраями у період з 20 лютого по 10 березня, і декілька звернень зі схожими ознаками надійшли у перших числах лютого. Тому на розгляді банку були клієнтські звернення з періодом відшкодування, починаючи з 05 лютого. Виплати були здійснені 18 березня, а окремі звернення клієнтів ще опрацьовуються. Найбільша виплата одному клієнту становила – 16 тис. грн», – повідомили в банку.
Банк звертався до правоохоронців, аби ті встановили обставини злочину. Зокрема, як зловмисникам вдалося отримати логіни та паролі потерпілих і здійснити несанкційовані транзакції, не викликавши жодних підозр.
Більше карток – більше уваги з боку зловмисників
Як повідомлялось, у 2016 році злочинні угруповання міжнародних хакерів Carbanak/Akunak і Buhtrap атакували українські банки. Хакери кілька місяців вивчали їх роботу і внутрішні процеси, а потім, використавши повноваження легітимних користувачів для проведення платежів через міжнародну міжбанківську систему SWIFT, пограбували їх.
У результаті такої атаки, чимало фінансових установ зазнали мільйонних збитків. А з рахунків одного з банків зловмисникам вдалось списати близько 10 мільйонів доларів. Тоді назву банку не повідомили, але сказали, що було розпочато розслідування. Наразі ж, як стверджує сайт Сybernews, де публікується інформація про кібербезпеку, гроші поцупили з Приватбанку.
«В 2016 році хакери вкрали з банку 10 мільйонів доларів через лазівку в міжнародній банківській системі SWIFT. До цього, в 2014 році, проросійська хакерська група CyberBerkut заявила, що також проникла в систему банку і отримала дані клієнтів, а потім опублікувала їх в російській соціальній мережі ВКонтакте», – йдеться в повідомлені.
Величезні бази даних клієнтів ПриватБанку завжди були ласим шматком для хакерів. Наприклад, на одному з популярних хакерських форумів у лютому цього року було виявлено невідомого, який торгував клієнтською базою цього банку. Зловмисник всього за $3400 готовий був продати приватну інформацію, як стверджується, понад 40-ка мільйон осіб – ПІБ, дату народження, податковий номер, дані паспорта, сімейний стан, мобільний номер, наявність авто і т.д.
Своєю чергою, в банку кажуть, що була проведена перевірка, і жодних несанкціонованих втручань до бази даних не було. Тим більше, в установи немає стільки клієнтів, як вказано в повідомленні афериста:
«Після розслідування банк встановив, що дані штучно створені шахраями, які не мають і ніколи не мали доступу до персональних даних жодного з українських банків і установ. Шахраї використовують загальнодоступні об'єднані ресурси і видають їх за нібито «секретну базу даних». Ми здивовані тим, що 40 мільйонів людей були віднесені до числа клієнтів банку, хоча ця цифра перевищує загальну кількість дорослого населення країни», – повідомляла пресслужба ПриватБанку.
Примітно, що клієнтська база Приватбанку фігурувала і в інших незаконних схемах аферистів. Зокрема, минулого року у месенджері Telegram журналісти AIN виявили ботів, які за суму в 50-200 доларів також готові були продати особисті дані українців, а точніше клієнтів банку. Тоді фахівці звернулись до поліції, аби з’ясувати, як стався витік інформації та знайти винних.
Активізувались зловмисники і на тлі пандемії, придумавши нові способи, щоб «обчистити» клієнтів банку. Одна з них виглядає так: вам дзвонять з номеру +380567161131, представляються менеджером ПриватБанку. Потім повідомляють неприємну новину: з вашої картки намагались переказати гроші, проте цю операцію нібито банк заблокував. Для безпеки ваших грошей пропонують заповнити анкету і змінити CVV2-код. На перший погляд ніби все гаразд, але це зовсім не так.
«Справа в тому, що номер +380567161131 дійсно належить Приватбанку, проте він використовується лише для прийому дзвінків. Якщо вам дзвонять з цього номеру, у жодному разі не беріть слухавку – це шахраї», – йдеться у повідомленні банку.
Ще один "пандемічний" спосіб стосується фальшивих повідомлень про державну допомогу. Так, деякі українці все частіше почали отримувати повідомлення про виплату в сумі 8000 грн нібито допомоги під час коронавірусних обмежень. Людям повідомляють, що фінансова допомога буде виплачена в рамках державної програми згідно з указом президента, але для її отримання потрібно надати конфіденційні дані банківської картки. В результаті чимало українців вже потрапили на цей гачок зловмисників.
Не блокуванням єдиним
Не менш цікавим об'єктом для зловмисників є й державні Укргазбанк та Ощадбанк. В Укргазбанку, наприклад, користуючись непростою ситуацією в Україні, шахраї під виглядом співробітників банку придумали, як «по-новому» обчищати громадян. Так, за допомогою спеціально створених інтернет-сайтів вони пропонували за фінансову винагороду (комісію) вирішити питання з отриманням кредитів у банку або посприяти в «послабленні» банківського боргу. Деякі клієнти довірились аферистам та втратили свої кошти.
«Укргазбанк не співпрацює з будь-якими мікрофінансовими організаціями чи фінансовими посередниками, які за гроші пропонують «допомогу» в отриманні кредитів та інших банківських послуг. Закликаємо вас бути пильними і не сплачувати коштів будь-яким людям, що представляються працівниками банків чи фінансовими посередниками і пропонують вам «вирішити питання» з банківськими установами», – наголошували в банку.
Також зловмисники не соромляться використовувати і класичну схему. Від імені банків (особливо полюбляють Ощадбанк, знаючи, що в ньому обслуговується значна частина карток клієнтів-пенсіонерів) шахраї надсилають СМС-повідомлення, у якому повідомляють, що карта банку заблокована – нібито по ній була проведена сумнівна операція. В результаті, щоб "убезпечити" кошти, пропонують або перевести кошти на "безпечний" рахунок, з якого потім їх нібито можна повернути, або просять повідомити особисті дані, мовляв, потрібно все перевірити. Отримавши необхідну інформацію, шахраї успішно "чистять" картки через онлайн-банкінг. Хоча про цю схему давно усі чули, але зловмисникам все одно вдається зловити в свої сіті довірливих українців.
Як не потрапити на гачок шахраїв та вберегти гроші
Тож, як бачимо проблема залишається актуальною. І не тільки для названих банків, а для багатьох інших банківських установ, що мають системи онлайн-банкінгу. Тому для уникнення подібних ситуацій ще раз нагадаємо про способи захисту від карткових шахраїв. Фахівці радять періодично змінювати пароль для входу у банківські мобільні додатки, а також:
- завести окрему фінансову SIM-карту;
- звернутись до мобільного оператора з вимогою прив'язати мобільний номер до паспорту. Це виключить можливість віддаленого перевипуску SIM-карти;
- встановити денні ліміти в інтернет-банкінгу, або заблокувати можливість проведення онлайн-операцій;
- не поширювати в інтернеті "фінансовий" номер мобільного телефону, до якого прив'язаний банківський рахунок;
- використовувати тільки складні паролі;
- не називати коди з SMS-повідомлень, коли телефонують з невідомих сумнівних номерів, навіть якщо кажуть, що зараз зателефонують з номера банківської «гарячої лінії»;
- у мобільному додатку кожного банку, де обслуговується клієнт, встановити окремі логіни і паролі. Це правило має діяти і для всіх наявних поштових скриньок;
- не переходити за посиланнями в повідомленнях. Вивчити напам'ять офіційні адреси банківських сайтів, якими ви користуєтесь;
- пам’ятати, що банк ніколи не дзвонить з номерів call-центру (номери використовуються тільки для вхідних дзвінків).
- за будь-яких незрозумілих обставин одразу телефонувати в call-центр банку.
Також в банкіри радять тримати в секреті: тризначний номер на звороті картки (CVV-код), коди банків і мобільних операторів, паролі в інтернет-банкінгу та кодове слово банку.
Валентин Марчук, Київ