Как телефонные мошенники оформляют кредиты
Эксперты предупредили о новой схеме мошенничества с МФО и СМС-бомберами
Эксперты по кибербезопасности зафиксировали новый способ обмана, с помощью которого мошенники получают займы в МФО на свои карты, используя персональные данные жертв. О схеме с использованием так называемых СМС-бомберов РБК рассказал Артем Гавриченков, советник гендиректора Qrator Labs.
Как работает схема
Далее они с помощью этой информации и паспортных данных оформляют микрокредит. «Эта схема работает лучше прочих, потому что злоумышленник не просит показать ему коды из СМС, он просит прислать скриншот экрана с СМС, так что стопор в голове «нельзя пересылать коды из СМС» плохо срабатывает», — объясняет Гавриченков. Он добавляет, что люди пугаются, когда им приходит множество СМС от разных компаний. «Напуганного человека проще застать врасплох, поэтому он соглашается на предложение помощи», — подчеркнул Гавриченков. Сами СМС-бомберы используются давно, но кража денег через МФО — это их новая цель, добавил он.
«Лаборатория Касперского» знает о таком методе обмана, но не может уточнить, когда он появился. Если пользователь отправит скриншот, то злоумышленники оформят жертве кредит, так как для некоторых МФО номер телефона является достаточным для микрозайма — реальные деньги от МФО уходят на карту мошенников, а пользователь остается с оформленным долгом, рассказывает эксперт по кибербезопасности «Лаборатории Касперского» Виктор Чебышев.
Специалисты компании «Инфосистемы Джет» массово с этой разновидностью мошеннической схемы не сталкивались. Опрошенные РБК крупнейшие МФО и саморегулируемая организация «МиР» такую схему пока не фиксировали.
«В старой схеме, когда жертву убеждали, что «с вашего счета переводят деньги, на вас оформляют кредит», разумный человек шел в интернет-банк, не видел таких операций и задавал вопрос: «А почему не приходят уведомления?» Мошенники же не очень ловко объясняли причины», — рассуждает начальник отдела по противодействию мошенничеству центра прикладных систем безопасности компании «Инфосистемы Джет» Алексей Сизов. В текущей схеме все выглядит более реалистично: все входящие сообщения легитимны, наверняка можно позвонить и проверить попытку регистрации на таких ресурсах, и там их подтвердят, отмечает эксперт.
«Атака может длиться значительное время, накаляя обстановку до максимума. После чего злоумышленники звонят и просят скриншот, на котором среди всего прочего будет код доступа на сайт микрофинансовой организации», — отметил Чебышев.
2–2,5% от всех займов в МФО приходятся на кредиты, которые мошенники оформляют на третьих лиц, при этом основная схема связана с выдачей именно онлайн-займов, рассказала РБК руководитель проекта Народного фронта «За права заемщиков» Евгения Лазарева. Микрофинансовый рынок борется с этой проблемой, разрабатывает более серьезные механизмы проверки, за счет чего количество таких случаев сокращается, добавила Лазарева.
Дистанционные займы — достаточно дорогой с операционной точки зрения сегмент, поэтому позволить себе такие сервисы могут только крупные и ряд средних участников рынка, объясняет директор СРО «МиР» Елена Стратьева. По ее словам, для оформления займа действительно могут понадобиться только паспортные данные, СМС и номер карты для зачисления средств, но сами МФО проводят дополнительную проверку клиентов по нескольким факторам. Поэтому, по мнению Стратьевой, выдача займа просто по заполненному в анкете номеру паспорта и СМС-подтверждению маловероятна.
Каждая заявка клиента проходит скоринговую систему, она включает в себя антифрод-модель, которая анализирует более 180 параметров: нетипичность обращения данного клиента в МФО по кредитной истории, его мобильное или компьютерное устройство, место и регион входа на сайт компании и т.д., поделилась управляющий директор компании «Лайм-Займ» Олеся Киселева.
Для оформления займа в МФК «МигКредит» также необходимо указать СНИЛС или ИНН (при выдаче до 15 тыс. руб.) или пройти полную идентификацию при выдаче более крупных займов, рассказал руководитель направления предотвращения мошенничества МФК «МигКредит» Константин Дедюкиев. У МФО, работающих онлайн, также есть ограничение срока действия кода из СМС при его отправке для подтверждения номера телефона и на этапе подписания договора — обычно не более минуты, уточнила Киселева: «С учетом такого небольшого временного промежутка и того, что от жертвы необходимо получить два кода, оформление займа по такой мошеннической схеме маловероятно».
Мошенники знают, что только одного паспорта и номера телефона обычно недостаточно для оформления займа, поэтому стараются держать постоянный контакт с человеком, от имени которого они оформляют микрозаем, добавляет директор по безопасности ГК Eqvanta Антон Грунтов. Мошенническое оформление возможно в случае, если мошенник в «сговоре» с клиентом, считает председатель совета директоров группы «Финбридж» Леонид Корнилов: «Например, когда мошенник обещает клиенту «помощь» в получении заемных денежных средств и для этого клиенту необходимо выполнять все инструкции мошенника».
По мнению представителя службы безопасности МФК «Займер» (принадлежит Robocash Group), описанная схема слишком сложная для массового применения злоумышленниками. Он отметил, что мошенники в этой схеме используют настоящий номер жертвы, а не свой, для того чтобы было сложнее найти преступников, поскольку фактически договор займа подписан в электронном виде самим владельцем.
На рынке МФО отсутствует механизм сопоставления банковской карты и паспортных данных клиента, который был бы максимально эффективным для борьбы со всеми видами мошенничества, подчеркнул Корнилов: «Самый простой механизм, который позволит избежать реализации именно этой схемы, — указывать код в конце длинного СМС, а не вначале».
Мошенница пытается выманить код из смс для «подключения услуги»
Мы постоянно твердим, что код из смс никому говорить нельзя. Тем приятнее видеть, как это знание спасает деньги.
Вот несколько признаков, что звонок от мошенников:
Чтобы не слушать разговор — вот что там произошло
Читателю на мобильный поступил входящий звонок с неизвестного городского номера. Девушка представилась сотрудницей известного банка, обратилась по имени и отчеству и предложила рассказать про специальные предложения от банка.
Сначала она предложила бесплатно увеличить кредитный лимит по карте — читатель отказался. Сразу поступило второе предложение: подключить бесплатную услугу, которая уменьшает ставку по кредитной карте, если не погасить задолженность в беспроцентный период. На это предложение читатель согласился, и сотрудница начала «подключение» услуги.
После этого банк отправил на телефон клиента смс с кодом. Мошенница представила все так, будто это код для подключения услуги: она попросила сообщить этот код и произнести слово «подключить». Конечно, не ей, это небезопасно. Система переключит разговор на робота. Он-то уж точно не станет использовать полученную информацию во вред клиенту.
В результате мошенникам удалось выманить номер паспорта, но код из смс читатель не сообщил — это и спасло его деньги.
Как мошенники завоевали доверие
Во время разговора мошенники убедили читателя, что звонят из банка, и расположили его к общению. Вот как им это удалось.
Обратились по имени и отчеству. Мошенники в начале разговора обратились к нашему читателю по имени и отчеству и, по его словам, этим завоевали его доверие. Кроме того, они знали последние четыре цифры номера карты, которые упомянули в специальном предложении. У читателя создалось впечатление, что такая информация может быть только у банка — а значит, звонит настоящий сотрудник.
Но чтобы узнать эти данные о владельце карты, достаточно номера телефона. В 2019 году Банк России запустил систему быстрых платежей, СБП, которая позволяет переводить деньги между разными банками по номеру телефона. Перед отправкой платежа система подскажет имя получателя — для проверки, чтобы деньги ушли по адресу.
Но не всем можно перевести деньги через СБП. Чтобы выполнить перевод, оба банка — отправителя и получателя средств — должны подключиться к системе, а оба клиента должны разрешить перевод через систему в интернет-банке или мобильном приложении. Когда клиент банка подключил свой счет к СБП, узнать его имя по номеру телефона может любой пользователь системы, даже если их счета открыты в разных банках.
В приложении Тинькофф-банка при переводе по номеру телефона видны имя и первая буква фамилии. Видны счета и в других банках
Мошенница знала последние четыре цифры номера карты. Узнать номер карты сложнее, чем имя и отчество, но тоже возможно. Некоторые банки при переводе своему клиенту по номеру телефона сообщают больше информации. Например, при переводе по номеру телефона внутри Сбера приложение кроме имени покажет еще и часть номера карты. Полный номер таким способом узнать не получится, но последние четыре цифры приложение показывает.
Скорее всего, мошенники перебором номеров нашли данные читателя. Они не были нацелены на конкретного человека и собирали базу для обзвона из тех номеров, для каких смогут узнать данные владельца. Получив имя и отчество, мошенники звонят по этому номеру телефона от имени банка, в котором нашелся счет.
Есть и другие варианты. Возможно, мошенники воспользовались одной из нелегальных баз данных. Или у них есть свой человек в банке.
Иногда через приложение банка можно также узнать номер счета другого клиента по его номеру мобильного. В любом случае, если звонящий знает ваше имя и какие-то личные данные, это не гарантия, что вам звонит сотрудник банка.
Сбер по номеру телефона для своих клиентов показывает имя, отчество, первую букву фамилии и часть номера карты
Услугу для снижения ставки, на которую согласился наш читатель, назвали частью премиального пакета. Клиент может подумать, что такие пакеты предлагают только лучшим, — так мошенники усыпляют бдительность и отключают логику. При слове «бесплатно» бдительность отключается еще быстрее.
Скорее всего, в арсенале мошенников есть и другие «услуги», которые они предлагают в зависимости от ответов жертвы. Главное, чтобы разговор продолжился.
Для сообщения кода из смс переключают на «автоматизированную систему». По версии мошенницы, это нужно для безопасности: людям сообщать этот код нельзя, а роботам — пожалуйста. Конечно, это бред: перевод звонка на «робота» легко сымитировать, клиент никак такое не проверит. Мошенник продолжает слушать жертву, заходит с помощью кода в ее интернет-банк и крадет деньги.
Самозащита от мошенников
Что еще настораживает в разговоре
Читатель не почувствовал подвоха в начале разговора и спохватился только на последнем этапе — когда мошенники попросили код из смс. Это главный признак, по которому можно определить мошенников. Номер телефона тоже не так важен: сотрудники банка могут звонить с разных номеров, а мошенники научились подменять номера.
Но в разговоре нашлось еще несколько подозрительных признаков.
Посторонний шум. Сотрудники банков обзванивают клиентов с рабочих мест в офисе или из колцентра. Обычно при таких разговорах не слышно постороннего шума или чужой речи. Мошеннические колцентры часто выдает шум или голос соседнего оператора: банк вряд ли организует работу колцентра так, что клиент через телефон сможет услышать информацию о другом клиенте.
В случае с читателем мне показалось, что «сотрудница банка» звонила из детского сада: на фоне громкий детский голос и крики. Во время пандемии многие работодатели разрешили сотрудникам работать из дома, но банки обычно выдвигают требования к рабочему месту, особенно для общения с клиентами. Например, большинство операторов Тинькофф-банка и до пандемии всегда работали из дома, но по требованиям им нужна гарнитура с микрофоном и тишина в комнате.
Неграмотная речь собеседника. Сотрудников колцентра в банке учат правильно произносить слова, а руководители проверяют их работу по записям звонков. Банк вряд ли оставит на работе оператора, который неграмотно общается.
В записи разговора с читателем «сотрудница банка» говорила неуверенно: очень торопилась, часто оговаривалась и не знала, как отвечать на вопросы, поэтому придумывала ответы на ходу. А чего стоят «кредитные средства» с ударением на последний слог!
Запрос персональных данных. Когда сотрудник банка звонит клиенту, он уже знает его персональные данные, ему не нужно спрашивать. Кодовое слово, полное имя и номер паспорта могут спросить для идентификации, только если звонит сам клиент. А для подключения услуги или смены тарифа обычно хватает устного согласия.
Если не уверены, что разговариваете с сотрудником банка, попросите его добавочный номер и перезвоните по номеру банка, указанному на карте. Если связаться через добавочный невозможно, уточните информацию у оператора и примите решение позднее, а для подключения услуги перезвоните в банк.
Что делать, если сообщили код мошенникам
У героя этой статьи все кончилось хорошо: он не сообщил код из смс. Вместо этого он завершил звонок и перезвонил в банк по номеру с карты. Специалист проверил последние операции по карте и убедился, что мошенники не смогли получить доступ к деньгам.
Если сталкивались с другими разводами, пишите. Прищуримся.
Личный опыт: я отдала 300 тысяч ₽ мошенникам из «службы безопасности банка»
Количество звонков от мошенников не становится меньше, и они придумывают всё более изощрённые способы обмана. Наша героиня Олеся Цинская получила кредит по заявке, которую на самом деле не отправляла, и перевела его мошенникам, которые убедили её, что они — из службы безопасности банка.
1 июня 2021 года мне позвонили с незнакомого номера. Мужчина представился сотрудником банка, где у меня открыт регулярный основной счёт. Он сказал, что кто-то изменил мой номер телефона в учётной записи. Спросил, знаком ли мне новый номер телефона из моего профиля. Номер был мне неизвестен, кто и как его поменял — тоже.
Как сообщил мне сотрудник банка, от моего имени была оформлена заявка на кредит в размере 300 тысяч ₽ на доверенное лицо. Я никаких заявок не оставляла, тем более на крупные суммы. Тогда он перевёл меня на службу безопасности этого же банка, где со мной начала общаться уже девушка.
Она сказала, что мне придётся приехать в конкретное отделение их банка, потому что произошла утечка персональных данных, и сделал это кто-то из сотрудников этого отделения. Им нужно было вычислить специалиста, который этим занимается.
Во время разговора мне стали звонить на вторую линию, я поставила девушку на удержание и переключилась на новый разговор.
Новый собеседник представился сотрудником следственного комитета. Он стал рассказывать, что это уже тринадцатый случай в Москве, когда сливают банковские данные. Проинформировал, что мне нужно действовать по указаниям службы безопасности банка. А на следующий день приехать в следственный комитет и дать показания.
юрист портала 9111
В случае если вам звонят из службы безопасности банка, нужно попросить назвать номер отделения банка и пообещать перезвонить. А затем положить трубку и позвонить на реальный номер банка, указанный на обороте вашей карты. Мошенники всеми силами будут пытаться удержать звонок, будут говорить, что номер службы безопасности называть нельзя. Это обман. Номер отделения они назвать не смогут, а при звонке на реальный номер любого банка подтвердится, что реальные представители банка с вами не связывались.
Я переключилась назад к разговору с девушкой якобы из службы безопасности банка. Она сказала, что мне сейчас нельзя отключаться — идёт внутренняя проверка банка. Затем спросила, сколько времени мне потребуется, чтобы добраться до названного ею отделения. Мне нужно было около двух часов.
Девушка предложила мне вызвать такси за счёт банка, и я согласилась. Правда, платить за такси пришлось мне (в приложении была выбрана оплата наличными), но мне обещали, что всё компенсируют позже. Так как такси заказывала девушка, я решила, что у них есть все документы для компенсации стоимости.
Всю дорогу до банка я продолжала разговаривать с девушкой. Пока я ехала в машине, одновременно со звонком мне писал в WhatsApp «сотрудник банка». Он так же давал указания, как нужно действовать. Я не обратила внимания на ошибки в тексте сообщений, подумала, что это опечатки и что специалист торопится.
Пока я ехала, мне трижды звонили с разных номеров, но я оставалась на линии с девушкой. Она говорила, что мне могут звонить те же люди, которые слили мои данные, поэтому не нужно брать трубку.
То, что со мной одновременно оставались на линии и писали в WhatsApp, не показалось странным только потому, что меня отвлекали разговорами и не давали положить трубку.
Как я получила кредит в банке
Перед тем как я зашла в банк, мне дали подробные инструкции о том, как себя вести и как действовать:
Я зашла в банк, взяла талон и попала к первому освободившемуся менеджеру. Он сказал, что на моё имя есть заявка на кредит в 300 тысяч ₽. Мы его оформили, и на мой счёт сразу поступили эти деньги.
старший управляющий партнёр юридической компании PG Partners
Изменить данные клиента банка в его профиле можно двумя способами. Либо на стороне клиента (используя его логин и пароль), либо на стороне банка (когда изменения вносит его сотрудник).
Если клиент обнаружил в своих данных изменения, которые он не вносил, то либо доступ к его профилю был взломан, либо это сделал нечистый на руку сотрудник банка.
Мошеннические действия со стороны банка встречаются крайне редко — сотрудников постоянно проверяют. Скорее всего, мошенники взломали почту героини, зашли через почту в профиль на сайте банка и заменили контактные данные.
Затем оформили заявку на кредит, указав в качестве контактов новую почту или телефон, которые принадлежали им. Когда заявка была одобрена, позвонили девушке и уговорили приехать в отделение, чтобы оформить кредит до конца.
Героиня статьи оформила кредит, самостоятельно подписала документы и ответила на вопросы сотрудника банка. Она лично получила деньги на свою карту. До этого момента она ничем не рисковала. После этого ответственность перешла на неё.
Как я получила новую карту
После того как деньги поступили на мой счёт, я вышла из отделения, чтобы получить новые инструкции от девушки по телефону. Она попросила снять с карты все 300 тысяч ₽. Я не могла этого сделать, так как оставила свою карту дома. На что мне сказали, что тут же можно оформить новую карту и прикрепить к этому же счёту. Что я и сделала.
Новую карту мне выдали неименную, сразу и без конверта. Я рассказала об этом своей собеседнице по телефону. Она ответила, что так быть не должно, и карта в целях безопасности должна выдаваться в конверте. Тогда я уточнила у менеджера в банке, почему так произошло. Оказалось, что теперь конверт не нужен.
Почему карту выдают без конверта
Карты действительно выдаются теперь без конверта. Сотрудники банка тщательно соблюдают банковскую тайну. Компрометация данных карты исключена. Ранее в конверте был ПИН-код от карты. Теперь владелец карты может сразу придумать свой ПИН-код, введя его в банкомате или обратившись к менеджеру банка.
Далее звонившая девушка сказала, что нужно снять все деньги с карты, чтобы закрыть кредит и не платить проценты. Снять деньги можно было в том же отделении банка, что я и сделала.
Как я перевела деньги мошенникам
После этого мне заказали такси, и я поехала к банкомату этого же банка, но по другому адресу. Якобы так было нужно сделать, чтобы внести деньги для закрытия кредита, но при этом не вызывать подозрений, ведь идёт внутренняя проверка банка. За такси и в этом случае я платила сама, и мне тоже обещали компенсировать стоимость.
Банкомат по другому адресу на попытку внести средства по их указаниям выдал техническую ошибку. Тогда мне сообщили, что у них в системе технический сбой и погасить кредит через банкомат их банка не получится, но можно попробовать это сделать через банкомат партнёра.
В итоге мне пришлось ездить на такси за свой счёт с обещанием будущей компенсации к трём банкоматам разных банков. Ни один из них не сработал. Теперь я подозреваю, что таким образом меня специально запутывали, гоняя по разным местам и не давая опомниться.
Затем девушка переключила меня якобы на специалиста технической поддержки, который назвал работающий банкомат в торговом центре. Он сообщил, что надо внести все 300 тысяч ₽ на «страховые ячейки» по номерам телефона «Теле2», по 15 тысяч ₽ на каждую «ячейку». На самом деле это было просто пополнение разных счетов «Теле2», но тогда всё казалось логичным. Специалист говорил, что деньги будут замораживаться и идти в счёт долга.
Все номера телефонов диктовал специалист технической поддержки. Каждый раз оплата проходила с комиссией в 500 ₽, но сотрудник меня успокаивал и говорил, что банк берёт комиссию на себя.
Я внесла по 15 тысяч ₽ на 5 разных номеров, а потом телефон стал садиться. Я сказала об этом сотруднику банка, но он успокоил меня и предложил купить блок зарядки тут же в торговом центре, пообещав, что эти деньги тоже пойдут в счёт погашения кредита.
Так я купила зарядку (примерно за 1300 ₽), и в этот момент у меня стали появляться сомнения, началась паника. Я попыталась позвонить на реальный номер банка, который есть на обороте карты. Но прошли только два гудка, потом звонок почему-то сбросился, и мне тут же позвонила та же девушка «из службы безопасности». Я решила, что общаюсь с банком, и успокоилась. С реальными сотрудниками банка я так и не связалась.
Девушка снова перевела меня на технического специалиста. Я вернулась к банкомату и внесла все оставшиеся деньги на номера, которые мне диктовал мужчина. Когда я закончила переводить деньги, он попросил меня отправить фотографии чеков за внесение средств на тот же номер WhatsApp, с которого ранее велась переписка.
Я отправила чеки и поинтересовалась, что мне делать дальше. Мне ответили, что можно просто возвращаться домой. Это было очень странно: не нужно было ехать в банк, мне не предлагали забрать там никакие документы и даже никак не подтвердили погашение кредита.
В итоге я позвонила на реальный номер банка, указанный на обороте карты, и рассказала о происходящем. Сотрудник банка проверил информацию и сказал, что никакие деньги на счёт не поступали, а все последние действия — мошеннические. Он посоветовал звонить в «Теле2» и в полицию, чтобы успеть вернуть деньги.
Как я обратилась в полицию
Я позвонила в «Теле2», но оказалось, что деньги уже выведены, и помочь мне теперь ничем не смогут. После этого я обратилась в полицию. Позвонила по номеру 112, за мной приехала полицейская машина, и мы отправились в ближайшее к месту преступления отделение полиции.
В отделении я написала заявление о мошенничестве и прикрепила к нему все документы:
Следователь подробно расспросил меня о произошедшем и завёл уголовное дело. Со мной обещали связаться, как только будет что-то известно.
Как я пыталась вернуть украденные деньги через банк
Я зашла в личный кабинет на сайте банка и выяснила, что там была изменена моя личная почта: мой профиль кто-то взломал.
Через день, когда удалось осознать произошедшее, я написала в банк на их официальную электронную почту претензию. Изложила все события и задала им вопросы: как мошенники смогли поменять мою почту и откуда они вообще знают мои данные. Попросила провести внутреннее расследование, выявить причины нарушения банковской тайны и компенсировать мне моральный и материальный вред в размере взятого кредита. Упомянула, что нигде свои данные не оставляла.
В ответ мне сообщили, что соблюдают банковскую тайну, и никаких утечек информации не было. Как изменили мою электронную почту, мне не ответили. Просто посоветовали обратиться в полицию для установления виновных лиц.
По словам Петра Гусятникова, мошенники всегда были креативными. Они могут загрузить на телефон вредоносное программное обеспечение, которое получает доступ к почте, к сообщениям, даже к банковским приложениям. Чтобы этого не допустить, необходимо контролировать, что устанавливается на телефон (например, не открывать неизвестных ссылок из сообщений), а также поставить на устройство антивирус.
«Ещё один способ заменить почту — взломать привязанный к профилю e-mail и войти через него в мобильный банк. Затем поменять в профиле почту на новую и сохранить. Чтобы этого не допустить, нужно иметь надёжный пароль из больших и маленьких букв, цифр и точек», — рассказывает старший управляющий партнёр юридической компании PG Partners.
Спустя три дня после обмана мошенники снова мне написали, спрашивали, как дела, и предлагали вернуть деньги на счёт. Я ничего не ответила, а сразу позвонила в полицию и рассказала об этом. Следователь, который ведет моё дело, обещал перезвонить. Но так до сих пор и не позвонил. Думаю, на самом деле мошенники писали, чтобы попробовать украсть у меня ещё денег.
Что делать, если вы перевели деньги мошенникам
главный юрисконсульт компании Правокард
Невозможно определить, кто виновник в этой ситуации — банк или мошенники. Вернуть деньги можно только через суд или через банк:
· изложить произошедшие события;
· указать данные пострадавшего;
· прикрепить документы, которые могут подтвердить произошедшее.
Отправить его можно заказным письмом с уведомлением или отнести в банк, попросив принять его и указать входящий номер обращения. Также можно отправить его на официальную электронную почту банка.
Банк обязан предоставить ответ в течение 10 рабочих дней. Если он признаёт утечку данных или незаконное обогащение, то деньги клиенту возвращаются. Если не признаёт, а утечка очевидна, нужно обращаться в следственный комитет с заявлением — требованием провести проверку деятельности. Если банк игнорирует происходящее — тоже обращаться в следственный комитет или ЦБ.
Вернуть деньги в этой ситуации будет непросто. Это зависит от того, установят ли виновника и как поведёт себя банк.
Если вам действительно нужен кредит