Как понять, что звонят мошенники, еще до того, как снимешь трубку?
Чаще всего мошенники звонят именно с мобильного номера — это видно по коду оператора. В последнее время звонки часто совершаются по Viber или WhatsApp. В этом случае проще всего скрыть ваш номер для тех, кто не в списке контактов. Тогда мошенники не смогут вас найти по номеру телефона и использовать эти мессенджеры.
Второй признак — звонок всегда неожиданен. Вы не обращались в банк и не просили кредит. У вас не было никаких вопросов к банку, но вдруг у банка возникает вопрос к вам. Часто вас погружают в ситуацию, в которой вы раньше не находились, например говорят, что вам надо помочь вывести мошенников на чистую воду. Это не ваша задача. Это задача сотрудников правоохранительных органов, и настоящий банк никогда с этим к вам обращаться не будет.
Мошенники навязывают вам какую-то важную роль: либо вы «подсадная утка», либо они якобы узнали из оперативных источников, что сейчас на вас будет оформляться кредит. В этой новой ситуации, когда человек принимает навязанную ему роль, он начинает встраиваться в сценарий, который написан не им. И по этому сценарию его ведут.
Есть техническое средство защиты от мошенников: существуют определители номеров, которые встроены в банковские приложения или антивирусные программы для мобильных устройств. Там хорошая база по caller IDИдентификатор звонящего. С помощью него можно определить номер телефона человека или организации, от которых поступает звонок., и эти приложения могут предупредить, что вам звонят мошенники. Но надо понимать, что устанавливая «Яндекс», «Касперский», Dr.Web, Сбер, ВТБ и так далее вы предоставляете этим компаниям доступ ко всему списку ваших вызовов и они начинают видеть, с кем вы общаетесь. Я рекомендую ставить такие приложения стареньким родителям, у которых нет больших тайн.
Мошенники часто представляются полицейскими, следователями, сотрудниками ФСБ. Как понять, что это обман?
Полтора года назад утекла российская налоговая база. После этого МИД, министерство образования, отдельные крупные университеты и большие компании подвергались подобным атакам. Сначала якобы руководитель писал сотруднику в мессенджер о проверке спецслужб, а через какое-то время с ним связывался «представитель ФСБ» и начинал его раскручивать.
Важно понимать, что никакой оперативный сотрудник или настоящий следователь не будет допрашивать вас по телефону. Это впрямую нарушает закон об оперативно-розыскных мероприятиях, закон о следственных действиях. Протокол допроса всегда составляется в присутствии. Есть отдельная форма телефонных опросов, когда вы находитесь не в России, но тогда вместе с полицейским должен быть ваш законный представитель, который должен подписать протокол от вашего имени — это целая процедура. Единственное, о чем вас может попросить настоящий следователь или оперативник, — это встретиться с ним.
Причем даже это мошенники уже понимают и назначают личные встречи, во время которых забирают деньги, заставляют брать кредиты. Оффлайн-мошенничество сейчас в основном происходит в Европе, но это значит, что в Россию оно тоже скоро придет. Наши мошенники чаще всего лишь адаптируют опыт из других стран и докручивают его до российских реалий. Если вам предлагают встречу в кафе, на станции метро, в магазине, в коворкинге — не ведитесь. Сотрудник правоохранительных органов должен вас пригласить в свой рабочий кабинет и там провести беседу, если у него на самом деле есть к вам вопросы.
Реалистично ли вообще никогда не брать звонки с незнакомых номеров?
В современных Android и iPhone есть функция запрета приема вызовов с неизвестных номеров. Это значит, что никто из тех, кто не находится в вашей адресной книге, никогда не сможет вам дозвониться. Я бы рекомендовал такую функцию тем, кто экономически не активен, либо тем, кого надо дополнительно защищать — это старшее поколение или дети. Но, к сожалению, для большинства это невозможно.
Мы живем в таком мире, где все-таки можно получить полезный звонок от номера, который не находится в нашей книге: из какого-то учреждения, из банка или магазина, от нашего потенциального заказчика или партнера. К тому же люди меняют телефонные номера, заводят новые сим-карты, переезжают в другие страны, и мы можем просто потерять с ними контакт.
Как защитить ребенка от мошенников?
Детям нужно подключить родительский контрольРодительский контроль —это набор настроек, которые помогают родителям ограничивать, что их дети могут делать на устройстве. С ее помощью можно ограничить доступ к определенным сайтам или блокировать покупки в приложениях. — эта функция незаслуженно забыта и теми, у кого есть пожилые родственники. С помощью родительского контроля можно настроить телефон таким образом, чтобы видеть все звонки, которые поступают человеку, и удаленно сбросить или заблокировать опасные номера. Для этого есть и отдельные программы, и уже встроенные в Android и в iOS.
Ребенок должен иметь на компьютере свою собственную учетную запись и ни в коем случае не входить в записи мамы или папы. Он не должен иметь доступ к банковским счетам, «Госуслугам» и другим системам, которые ему не принадлежат. А часто бывает, что мы поставили компьютер дома, подумали «зачем нам пароль, здесь все свои», и каждый работает в одном и том же пространстве. Обязательно нужно делить учетные записи. Тут дело не в доверии, а в безопасности: взрослые люди могут распознать манипуляцию, а ребенок этого всего не понимает.
Атак на детей сейчас очень много, потому что они активно пользуются мессенджерами, их часто атакуют через Телеграм. Например, знакомится мальчик с девочкой, а потом пишет: «У меня что-то с учетной записью Apple случилась, мне надо войти с другого устройства и активировать Apple ID. У тебя же есть айфон?» Тогда мошенник дает свой пароль, убеждает ребенка войти в его Apple ID на своем телефоне. После этого телефон перепривязывается к мошеннику, и он требует с ребенка деньги, угрожая превратить его телефон в кирпич. С детьми надо говорить, надо быть внимательными к тем угрозам, которые сейчас актуальны.
Можно ли отказаться от звонков от банка и получать только уведомления в приложении?
Некоторые банки на это идут, но иногда эти запреты игнорируются маркетинговыми отделами. Или случаются ситуации, когда телефон перестает принимать пуш-уведомленияПуш-уведомление — это короткое сообщение, которое появляется на экране телефона или компьютера от приложения или сайта, даже если вы их в данный момент не используете. Например, когда приходит напоминание о встрече в календаре или уведомление о скидках из магазина — это все пуш-уведомления.. Приложения российских банков из-за санкций выкинуты из App Store и Google Play, их приходится устанавливать обходными путями, из-за этого все ломается. Так что нельзя быть полностью уверенным, что из банка никогда не позвонят.
А вообще часто ли банки или, например, сотрудники «Госуслуг» звонят по телефону своим клиентам?
Нет, нечасто. Можно сказать, что чаще звонят именно мошенники. Из банка могут позвонить из маркетингово отдела с предложением улучшить условия по вкладам или чему-то еще. Но чаще подобные письма приходят в электронном виде.
«Госуслуги» вообще никогда сами не звонят, так что любой звонок оттуда — это мошенники. «Мос.ру» иногда звонит, но и они обещают от этого избавиться. Так что, если вам поступает такой звонок, то есть дополнительный повод внимательнее к нему отнестись.
Что делать, если уже начал разговор с мошенниками?
Эти ребята применяют очень серьезное психологическое давление на человека. Они его расшатывают, погружают в ситуацию острого дефицита времени, острого стресса, нагнетают искусственную опасность. Самый лучший способ — включать осознанность. Спросить себя: зачем мне позвонили? Почему я мог вызвать интерес? Я всегда советую сказать, что вам сейчас не очень удобно говорить и попросить перезвонить через полчаса. В это время позвоните в банк по номеру, который указан на официальном сайте или на вашей пластиковой карте. Так вы сможете понять, был ли это на самом деле звонок из банка.
В этот момент вы выпадаете из поля манипуляции мошенника и начинаете действовать самостоятельно, чем ломаете его сценарий. Я точно знаю, что люди, которые выскакивают из манипулятивного захвата, помечаются как плохие объекты для мошенничества, и впоследствии их гораздо реже атакуют. Так что быть проактивным, не быть ведомым — это тоже способ защиты.
Если человек однажды попался на удочку, то мошенники будут звонить ему чаще?
Да, если в базах, которые мошенники покупают в даркнете, напротив вашего имени стоит плюсик — это значит, что вам могут и дальше звонить. Я говорил с руководителем службы безопасности Сбербанка одного региона, и он рассказал, что у них есть люди, которые как на работу прибегают в одно и то же отделение и начинают снимать из банкомата деньги, срочно их куда-то вести и переводить. Они этих людей уже узнают, служба безопасности просто отключает удаленно банкомат, около которого стоит человек с трясущимися руками, и ведет его пить чай. Но все равно не всегда удается спасти, и люди ведутся снова и снова.
Кроме самой неожиданности звонка, есть ли какие-то определенные факторы, на которые стоит обратить внимание? Например подозрительные фразы, которые никогда не скажет сотрудник банка?
Конечно, если у вас спрашивают пин-код или код от СМС — это совершенно точно мошенники. Но сейчас они стали умнее и могут не спрашивать этого, а просто прислать вам ссылку в мессенджер и сказать: «Вы мне ничего не говорите, вы сами все введите». Перейдя по этой мошеннической ссылке, вы увидите интерфейс «Госуслуг» или логотип банка, все будет выглядеть очень похоже. И вы сами передадите все свои данные злоумышленникам.
Поэтому компьютеры и телефоны должны быть защищены антивирусными программами, а пароли от банка должны храниться не в вашей памяти, а в парольном менеджере. Он распознает, что эта ссылка ненастоящая, и просто не даст вам пароли из своей базы.
Часто люди доверяют мошенникам, потому что те правильно называют паспортные данные или другую личную информацию. Но ведь то, что позвонивший верно называет мои данные, еще не значит, что он действительно представляет официальную структуру?
Иногда я показывают своим клиентам информацию о них из слитых баз данных. После этого люди начинают понимать, что почти про каждого человека все известно, кроме секретных вещей: пароля или того же кода из СМС. ФИО, адрес проживания, место работы, доходы за последние годы, машины, прописка, адрес, где квартиру снимаете, где ваша любовница живет, — все это вычислить несложно. Так что неудивительно, что мошенники владеют этой информацией.
Почему вообще в интернете так много наших данных?
Беда в том, что информационные системы крайне дырявы. Во-первых, это происходит из-за того, что в компаниях работают не самые квалифицированные специалисты по безопасности. Доступ распределен на огромное количество людей, и уровень этого доступа не всегда адекватен реальным задачам того или иного сотрудника: менеджер салона сотового оператора может иметь доступ к биллингу практически любого абонента. Это ненормально, таких доступов быть не должно.
Из-за коррупции, которая пронизывает государственные или частные корпорации, люди сливают информацию из этих баз данных. Иногда уволенные сотрудники — а в этих местах текучка довольно высокая — просто забирают куски или целые базы данных и потом продают их на черном рынке, рассматривая стоимость продажи как «парашют», премию на увольнение. И поэтому огромное количество наших данных утекли в сеть много раз. Надо просто это принять, полностью защитится от этого невозможно.
Единственное, что можно сделать — минимизировать раскидывание своих данных по странным компаниям. Например, мы приходим в медицинскую организацию, от нас требует анкету, где мы сразу должны выдать огромное количество информации о себе. А в обмен нам дают кусочек пластика, который дает нам скидку. Но за эту скидку мы отдаем информацию о себе, которая рано или поздно окажется в даркнете.
Выходит, что у мошенников на момент звонка чаще всего есть все, что нужно для взлома, и не хватает только кода из СМС или пароля, и назвать их — значит точно передать им доступ к своим приложениям. А что еще можно сделать, чтобы помочь мошенникам украсть наши данные?
Можно поставить приложение, которое они пришлют вам в мессенджер для Android или IOS. Можно просто пойти в банк, открыть новый счет, перевести на него все свои деньги и дать им данные к этому счету. Или перевести деньги по реквизитам, которые они вам сообщат. Это их любимая история: они предлагают открыть «безопасный счет, чтобы ваши деньги не украли мошенники».
А к чему опаснее всего потерять доступ: к банку, «Госуслугам» или чему-то еще?
Тут ранжировать сложно — все зависит от того, чего мошенники хотят, и в каком сервисе вы храните что-то важное. Это могут быть мошенники, которые в преддверии выборов собирают доступы к «Госуслугам», а потом используют их, чтобы определенным образом проголосовать за вас. Такую атаку провернуть несложно, и вы даже не поймете, что потеряли этот доступ.
Есть атаки на банки, где лежат ваши деньги — конечно, к деньгам потерять доступ неприятно и опасно. Есть электронные подписи в «Госуслугах». Если ваша подпись квалифицированнаяЦифровая подпись, которая подтверждает, что документ или заявление действительно отправили вы. Она имеет такую же силу, как и обычная подпись на бумаге. Ее сложно подделать, потому что она защищена с помощью шифрования, хэширования и специальных сертификатов, которые подтверждают ее подлинность., то с ней можно подписать сделки по недвижимости. Чтобы избежать этого риска, можно запретить сделки по объектам недвижимости без вашего участия, тогда электронная подпись работать не будет. В банке можно поставить лимиты на снятие и перевод средств, например до пяти тысяч рублей — это тоже неплохо блокирует активность мошенников.
Хорошо зарекомендовала себя практика хранить деньги на отдельном банковском счете, к которому не привязана карточка. С этого счета всегда можно без комиссии пополнить карту, а если вы отдали СVC от своей карты или продиктовали код из СМС, то вы не потеряете все деньги — они останутся на счету, к которому нет СМС доступа. Это не стопроцентная защита, но дополнительная преграда на пути мошенника.
То есть даже если злоумышленники завладели вашими «Госуслугами», они все равно ничего не смогут украсть без электронной подписи?
Да. Чтобы украсть у вас что-то, им недостаточно просто получить доступ к «Госуслугам», им надо посмотреть, если у вас электронная подпись, стоит ли у вас дополнительная защита. Подписи защищены отдельными кодами и паролями, так что мошенникам нужно будет их от вас получить. В этом случае они скажут: «Какой вы молодец, видно, что занимаетесь своей безопасностью. Давайте мы сейчас пройдем этот этапчик с вами вместе, я вам подскажу. Какие у вас там цифры получились? Да, у меня такие же, спасибо, все здорово».
Когда у вас просят код подтверждения вашей квалифицированной электронной подписи, это всегда значит, что кто-то собирается подписать что-то от вашего имени. Тут надо срочно бросать трубку и бежать в полицию.
Если человек завладел вашими «Госуслугами», но вы не помогаете ему продвинуться дальше, не продолжаете передавать свои данные, то все еще может обойтись. Правильно?
Да, все ваши данные выкачают, но трагедии не произойдет. Они могут увидеть привязанную карточку, с которой мы оплачиваем налоги и штрафы, но ничего не смогут с ней сделать.
Проблема только в том, что момент, когда человек отдал «Госуслуги», он уже находится как в гипнозе и ему очень сложно от этого отрубиться. Поэтому лучше прерывать коммуникацию на более ранних этапах, когда возникло минимальное сомнение. А оно возникает почти у всех.
Человек начинает понимать, что его обманули, довольно быстро: что-то произошло, дальше с ним оборвали контакты, телефон, по которому ему звонили, перестал отвечать, а деньги исчезли. И в этот момент больше половины людей, к сожалению, закрываются. Они никому не рассказывают. Им стыдно, что они вот так повелись на манипуляции и отдали свои деньги жуликам. Это очень неправильное поведение.
Чем раньше и быстрее вы обратитесь в службу безопасности банка, в правоохранительные органы, к знакомым спецам по безопасности, тем больше шансов эти действия отменить. Может быть, прошли еще не все банковские проводки, ведь движение средств по счетам происходит чуть дольше, чем мы видим в нашем приложении. Да, на нашем счету этих денег уже нет, но на самом деле они просто заблокированы для последующего перевода и стоят в очереди на проводку. И это можно еще успеть отменить. Поэтому тут уже стесняться поздно — надо бить тревогу.
Могут ли мошенники взять кредит без участия человека и без его электронной подписи?
Эта ситуация возможна, если у мошенников есть коррумпированное окошко в банке. Когда мы берем потребительский кредит в некоторых магазинах, мы думаем, что мы берем его в самом магазине, а на самом деле нам выдает его банк, а иногда и микрофинансовая организация. Там они нам сразу подключают выпуск простой среднеквалифицированной электронной подписи, которая активируется при помощи SMS на наш номер телефона. Жуликам достаточно эти четыре цифры от нас получить, и тогда мы фактически подписываем себе микрокредит.
Поэтому когда вы закрываете кредит, требуйте закрытия электронной подписи и получайте документы, что подпись отозвана и более недействительна.
Главное — никому не сообщать код из SMS?
Да. Самого по себе паспорта недостаточно. Нет никакой проблемы в том, чтобы выцепить паспортные данные по номеру телефона, по имени, фамилии, дате рождения, по адресу. Ваш паспорт валяется у вас в «Избранном» в Телеграме или в переписках ВКонтакте, вы сканируете его на работе, даете при регистрации в отелях и заключении контрактов. Это секрет Полишинеля, который известен любому жулику. Но с одними данными паспорта ничего сделать нельзя.
Часто мошенники пугают тем, что сделали перевод от имени человека «на помощь ВСУ» или в другие организации, которые считаются в России террористическими. Что в этом случае делать?
Пускай сделают. Бросайте трубку, звоните в службу безопасности банка, опишите ситуацию. Они проведут расследование и выяснят, что перевод сделан не с вашего IP-адреса и из места, в котором вы не находились. Служба безопасности моментально заблокирует ваш личный кабинет. А если перевод еще не прошел проводку, его вам могут вернуть. Бывало даже, что банки признавали эти переводы мошенническими и возвращали деньги через несколько дней себе в убыток.
Обращаться нужно в первую очередь в банк, не в полицию?
Да, если мошенничество связано с банком, то служба безопасности банка отреагируют быстрее.
А вообще имеет ли смысл в полицию обращаться? Нужно ли записывать разговор на диктофон?
Смысл имеет в любом случае. Хотя бы для того, чтобы иметь доказательства, если от вашего лица будут сделаны какие-то действия, которые с точки зрения российского законодательства являются уголовно преследуемыми. Допустим, у вас украли доступ ко ВКонтакте и разместили там пост, попадающий под «фейки о российской армии». Запись будет доказывать, что вы не имели злого умысла и всячески пытались противодействовать мошенникам.
Еще есть схемы, когда на карту приходит сумма от незнакомого человека, а потом с получателем связываются и просят вернуть эти деньги переводом на другой счет. В результате человек соглашается и становится участником преступления.
Эта схема стара как мир: «Ой, я случайно положил вам на номер 300 рублей, ошибся в одной цифре». После этого мошенник в своем банке отменяет операцию, его деньги ему возвращаются, а вы свои деньги уже куда-то перевели. Так же иногда мошенники пытаются использовать вас как прокси, фактически как VPN для обхода отслеживания их финансовой активности.
Если вам на карту пришли деньги, мой совет — радуйтесь. И ничего с ними не делайте. Как только вы, пускай даже с небольшой суммой, станете таким прокси-переводчиком, они могут вас использовать и дальше, шантажируя вас тем, что человек, которому вы перевели деньги — это на самом деле руководитель спецслужб Замбии, и вы все это время помогали их повстанцам.
А можно ли предположить, что действительно кто-то ошибся и случайно перевел?
Ошибся и ошибся, мы все ошибаемся. Пускай он сам доказывает в своем банке, что он ошибся. Банк разберется, а потом вернет ему эти деньги.
Как часто нужно менять пароли от важных приложений?
В зависимости от того, насколько интенсивно вы пользуетесь тем или иным сервисом. Если вы пользуетесь им ежедневно, то я рекомендую менять пароль раз в 60-90 дней. Если раз в неделю, то смены пароля раз в полгода вполне достаточно. Все, что реже, — уже в зоне риска. И самое главное: не используйте одинаковые пароли в разных сервисах. Потому что если сервис допустил утечку и ваш пароль попал в базу данных, то все жулики, которые ее получат, будут пробовать ввести этот пароль во все ваши приложения.
