Як не стаць ахвярай кіберзлачынцаў – Міністэрства ўнутраных спраў

Па стратэгіі банкаўскага развіцця, у найбліжэйшыя гады 75 % плацяжоў будзе здзяйсняцца менавіта безнаяўным спосабам. Адначасова з гэтым павялічыцца колькасць слаба дасведчаных у віртуальнай бяспецы людзей, якія маюць мала справы з інтэрнэт-сэрвісамі. У сваю чаргу, гэтая сітуацыя прыцягвае і камп’ютарных зладзеяў. Такая вось калізія.

Але гэта не азначае таго, што трэба адмаўляцца ад усіх тых выгод і эканоміі часу, якія дае пластыкавая картка і тым больш інтэрнэт-банкінг. Проста гэтымі інструментамі трэба карыстацца правільна. Як? Аб гэтым расказвае намеснік начальніка ўпраўлення па раскрыцці злачынстваў у сферы высокіх тэхналогій Міністэрства ўнутраных спраў Беларусі Уладзімір Зайцаў.

Сацыяльная інжынерыя

Супрацоўнікі банка заўжды папярэджваюць пра тое, што рэквізіты карткі нельга перадаваць камусьці якім бы там ні было чынам. Ні праз інтэрнэт, ні па тэлефоне. Але... Што вы зробіце, калі вам «стукаецца» ў асабістыя паведамленні ваш сябар і просіць даныя вашай карткі з якой-небудзь нагоды? Напрыклад, аўтару гэтых радкоў прыляцела неяк паведамленне з просьбай... сфатаграфаваць картку, паколькі, маўляў, у суразмоўніка нейкія праблемы з пераводам грошай. Я тут жа набраў сябру і паведаміў пра гэтую акалічнасць. А пакуль ён блакіраваў акаўнт, з’явілася ідэя жорстка пажартаваць з хакера. Яму было адпраўлена фота... старой магнітнай карткі на праезд у мінскім метро, якая перастала дзейнічаць яшчэ гадоў так пяць ці нават больш таму.

– Выкарыстанне метадаў сацыяльнай інжынерыі пастаўлена зламыснікамі, як той казаў, на паток, – гаворыць суразмоўнік. – Часцяком ім нават не трэба ствараць шкоднасныя праграмы. Навошта траціць рэсурсы на напісанне вірусаў, калі людзі самі гатовы аддаць усе патрэбныя коды і нават паведаміць змест СМС, якое прыходзіць пры здзяйсненні банкаўскіх аперацый? Сюды ж адносяцца і электронныя лісты, у якіх паведамляецца аб нечаканым выйгрышы ў сотню тысяч долараў, які вам перавядуць на картку. І самае прыкрае, што людзі на гэта «вядуцца». Калі вам прыходзіць такое паведамленне, то абавязкова звяжыцеся з яго адпраўшчыкам па галасавой сувязі, каб у вас не засталося сумненняў, што гэта менавіта ён зрабіў.

Яшчэ адна хітрасць зламыснікаў – даслаць карыстальніку прыгожа аформленае інфармацыйнае паведамленне нібыта ад імя банка. У паведамленні, як правіла, указваецца якая-небудзь заманлівая прапанова. А самае «смачнае» тут хаваецца ў спасылцы, якая дазваляе перайсці на... падроблены сайт банка. Таму заўжды правярайце, што напісана ў адрасным радку браўзера. Адрасы сайтаў могуць адрознівацца ўсяго адной літарай, але адзін з іх абавязкова будзе несапраўдны.

– У нашай практыцы мы сутыкаліся і з вішынгам. Злодзеі тэлефануюць і прадстаўляюцца супрацоўнікамі банка, у якім нібыта праходзяць нейкія тэхнічныя работы. Пад гэтай маркай яны могуць папрасіць пароль да інтэрнэт-банкінгу, нумар карткі, тэрмін яе дзеяння, CVV-код... Ахвяра верыць у добрыя намеры і паведамляе ўсе звесткі. Але ўважліва зірніце на канверт, у якім вам перадаецца картка ў банку. Там чорным па белым напісана: нават супрацоўнікам банка нельга перадаваць рэквізіты карткі.

З планшэтам да банкамата

Ідэальная сітуацыя – гэта калі карыстальнік карткі задзейнічае ўсе дадзеныя банкам магчымасці абароны сваіх сродкаў. Гэта ліміты на перавод грошай, плацяжы за мяжой. Абавязкова падключыце двухфактарную аўтэнтыфікацыю, калі трэба пацвярджаць двойчы, што вы – гэта вы. Звычайна гэта выглядае так: спярша вы ўводзіце лагін і пароль або код, а пасля вам на мабільны тэлефон ці e-maіl прыходзіць спецыяльны код. Гэта не панацэя ад узлому, але досыць надзейны бар’ер, які сур’ёзна ўскладняе зламыснікам доступ да чужых даных.

– Мы расследавалі безліч спраў, калі чалавек выкарыстоўваў пару «лагін – пароль», уводзячы сваё прозвішча, нейкія словы ці прасцейшыя камбінацыі, – расказвае Уладзімір Зайцаў. – Але ў «цёмным» сегменце інтэрнэту існуе шэраг сэрвісаў, якія дазваляюць падбіраць такія паролі. Тут толькі справа часу, калі ж да вас «дойдуць» аматары лёгкіх грошай. Таму пароль мусіць быць не меншым за восем сімвалаў і ўключаць у сябе літары ў розных рэгістрах, лічбы і спецыяльныя сімвалы.

А ці сустракаецца заражэнне банкаматаў або інфакіёскаў вірусамі?

– Для Беларусі гэта нехарактэрна. У 2012 годзе мы спынілі спробу заразіць прылады шкоднай праграмай. Зламыснікі набылі яе ва Украіне за вялікія грошы, але выкарыстаць не паспелі. Яны былі затрыманы з доказамі злачынства. На адным з носьбітаў інфармацыі і быў запісаны вірус. Дарэчы, менавіта ў нашых паўднёвых і ўсходніх суседзяў заражаныя банкаматы – не такая ўжо і экзотыка.

А вось над хатнім камп’ютарам пашчыраваць уладальніку інтэрнэт-банкінгу трэба. Там абавязкова мусіць быць устаноўлены антывірус з актуальным абнаўленнем і самыя апошнія версіі праграм. У тым ліку – і аперацыйнай сістэмы. Калі ж іх выкарыстоўваць гадамі без абнаўлення, то хакеры ўсё роўна знойдуць у іх уразлівасці. Тым больш што цяпер існуе шмат шкоднасных праграм на любы ўзровень дасведчанасці ў ІT-сферы.

– Апошнім часам мы сутыкаемся з тым, што зламыснікі аб’ядноўваюцца ў групы і ствараюць спецыялізаванае праграмнае забеспячэнне, скіраванае на крадзеж асабістых даных, – кажа Уладзімір Зайцаў. – Маскіруецца ж яно пад самыя звычайныя кампаненты. Напрыклад, нейкі рэсурс можа прапанаваць абнавіць flash-плэер. Але апошняя актуальная яго версія змешчана на сайце кампаніі-вытворцы! Калі ж пампаваць яго са старонняга рэсурсу, то, хутчэй за ўсё, вам прапануюць вірус. Ці распазнае яго своечасова антывірус – добрае пытанне, калі яго распрацоўшчыкі новую «заразу» фізічна не паспелі ўнесці ў базу. Гэты крымінальны бізнес пастаўлены на сапраўдны паток. Наша работа ўскладняецца тым, што ўдзельнікі яго могуць быць выхадцамі з розных краін і не ведаць адзін аднаго.

А вось праблема скімераў – прылад, якія ставіліся на банкаматы для таго, каб красці пін-код, таксама ўжо страціла актуальнасць. Гэтаму паспрыяла адразу два фактары – тое, што ўсё болей аперацый здзяйсняецца ў інтэрнэце, і тое, што картак выключна з магнітнай паласой у абарачэнні ўсё менш і менш. Займаліся гэтым у нас пераважна заезджыя злодзеі. Лавілі іх даволі хутка, ды і адказнасць за такое прадугледжана вельмі жорсткая, асабліва калі на лаву падсудных трапляла арганізаваная група – ажно да 15 гадоў пазбаўлення волі згодна з часткай 4 артыкула 212 Крымінальнага кодэкса. А некалькі год таму мы сутыкнуліся з нетыповым злачынствам. Малады чалавек падключыў да банкамата свой планшэт. Затрымалі яго хутка, прычым з доказамі злачынства, але ён паспеў скрасці больш за 200 тысяч рублёў.

Правіла трох картак

Карт-рахункі беларусаў, здавалася б, не вельмі прыцягальныя. Сумы на іх ляжаць не вельмі значныя – як правіла, гэта ў найлепшым выпадку некалькі тысяч рублёў. Але разавы «ўлоў» зламысніка, які складае недзе каля 100 рублёў, кампенсуецца колькасцю такіх трымальнікаў. Так пакрысе і збіраецца даволі ўнушальная сума. Таму адсюль вынікае так званае правіла трох картак. Для інтэрнэт-разлікаў трэба заводзіць асобную картку, дзе грошы не будуць пастаянна захоўвацца, а залічвацца туды перад здзяйсненнем плацяжу. Для разлікаў унутры краіны і за мяжой лепш таксама займець асобны «пластык», куды будуць пералічвацца грошы з зарплатнай карткі. Але нярэдка сутыкаешся з тым, што чалавек разлічваецца за мяжой менавіта з зарплатнай карткі, захоўваючы на ёй усе грошы. Варта зламысніку перахапіць да яе доступ, скажам, у Тайландзе ці Інданезіі – і рахунак будзе таяць. Прычым цяпер няма ніякай праблемы бясплатна завесці некалькі картак і пры неабходнасці пераводзіць або залічваць сродкі. Так, гэта даставіць крыху нязручнасцяў. Але ступень бяспекі павысіцца шматкроць.

– Тут згадваецца адзін паказальны выпадак, – успамінае Уладзімір Зайцаў. – Адзін з даволі забяспечаных людзей выязджаў у Санкт-Пецярбург і расплаціўся ў адным з гандлёвых цэнтраў сваёй карткай. Здавалася, сітуацыя трывіяльная. Праз некаторы час ён вярнуўся ў Беларусь. І вось стаіць чалавек у чарзе ў касу ўжо ў нашым гандлёвым цэнтры, а яму ў гэты час тэлефануюць з банка, які эмітаваў картку. Супрацоўнікі банка паведамілі, што зараз ён ажыццяўляе плацяжы на вялікія сумы за мяжой. У выніку рахунак быў заблакаваны, але спісанне грошай ужо адбылося.

Летась была затрымана група зламыснікаў, што кралі грошы пры дапамозе спама. Яны пісалі лісты, якія рассылалі пэўным групам людзей. Калі такі ліст адкрываўся на камп’ютары, то з сеціва тут жа пачынаў падгружацца вірус. Ён даваў магчымасць кіраваць камп’ютарам аддаленым спосабам. Вірус запускаўся аўтаматычна, пасля чаго краў і перасылаў персанальныя даныя.

– Банкі таксама не стаяць на месцы і прымаюць шэраг прэвентыўных захадаў, скіраваных на верыфікацыю плацяжа. Напрыклад, банкі ЗША палічаць транзакцыю ашуканскай, калі яна будзе здзейснена ноччу і на нетыповую суму. Напрыклад, звычайна вы разлічваліся сумамі па 50–100 долараў у дзень, і нечакана з вашай карткі хочуць здзейсніць перавод на суму, вышэйшую шматкроць, ды яшчэ і ноччу, хоць вы да таго заўжды плацілі ўдзень. Метад станоўчы, але ратуе не заўжды. Нам вядомы выпадкі, калі зламыснікі нават перахоплівалі СМС-паведамленні, якія прыходзілі на смартфон уладальніка карткі падчас банкаўскіх аперацый. Тут можна парэкамендаваць толькі адно – не стаўце на свой тэлефон неправераныя праграмы. Хто ведае, які таямнічы функцыянал яны захоўваюць.

Валяр‘ян Шкленнік, «Звязда», 26 чэрвеня 2019 г.
(фота – «Звязда»)