«Приложите смартфон к терминалу» – и ваши деньги уплыли к хакерам. Реальная история

Знаете ощущение, когда вы подносите телефон к валидатору в метро или к терминалу в супермаркете, слышите «пип» — и оплата прошла? Удобство бесконтактных платежей (NFC) переоценить сложно. Но пару недель назад я наткнулся на сводку МВД, от которой у меня волосы встали дыбом.

Оказывается, в России орудует группа аферистов, которая приспособила эту технологию… для мгновенного обнуления вашего кошелька. Причём жертва сама, добровольно, с улыбкой на лице прикладывает телефон к банкомату. И её деньги уходят прямиком в карман злоумышленникам. Как так вышло? Давайте разбираться по полочкам.

Схема, которую придумали умники с Украины

По данным официального представителя МВД Ирины Волк, следствие вышло на группировку, которая работала в нескольких регионах страны. Куратор, как часто бывает в последнее время, находился на территории Украины. А исполнители «в поле» были свои, доморощенные.

В чём суть гениальной простоты? Людям рассылали сообщения — в мессенджерах, смс, может, через соцсети. И предлагали скачать «эксклюзивное банковское приложение». Якобы оно позволяет открыть виртуальную карту, с которой можно платить там, где обычные карты не работают.

Предлог, кстати, был подобран с дьявольским знанием нашей жизни:

«Ваша карта заблокирована из-за санкций зарубежной платформой? Мы поможем!»
«У вас арест счетов от приставов по долгам? Не беда! Виртуальная карта не видна приставам».

Люди, которые испытывают реальные проблемы с доступом к своим деньгам, хватаются за любую соломинку. И они велись. Скачивали приложение. А дальше начиналось шоу.

Как один «пип» отправляет ваши деньги мошенникам

Итак, приложение установлено. Жертва видит интерфейс, похожий на нормальный онлайн-банк. Вводит данные своей настоящей карты (или просто решает положить наличку через банкомат).

Дальше аферисты дают очень правдоподобную инструкцию: «Чтобы пополнить вашу новую виртуальную карту, поднесите смартфон к NFC-терминалу того банкомата, где у вас есть наличные. Система сама всё зачислит».

Что происходит на самом деле? Установленная программа — это не банковский клиент, а троян. Ваш телефон думает, что вы прикладываете его к терминалу, чтобы оплатить покупку. Но вместо того, чтобы зачислить деньги на ваш новый счёт, приложение перенаправляет платёж на подставные счета преступников.

Человек слышит «пип», видит на экране банкомата надпись «операция успешна», радуется. А свои кровные он только что отправил прямо в общак группировки. И никто не вернёт.

Кого поймали и что им грозит?

Силовики отработали как по учебнику. Вычислили квартиру, где жил предполагаемый IT-специалист — создатель этих приложений-обманок. Задержание проходило с участием ОМОН (да, шутить с этим не стали). У парня нашли переписку, где тот чётко координировался с украинским куратором: отчёты, обновления вирусов, доли.

На допросе задержанный раскололся. Признал, что участвовал в схеме. Сейчас против него и его подельников возбуждены уголовные дела по двум тяжёлым статьям: мошенничество (ст. 159 УК) и создание вредоносных программ (ст. 273 УК). Светит серьёзный срок. Остальных членов группы ищут.

Что делать, чтобы не стать жертвой? (Экспертный ликбез)

Я общался с ребятами из кибербезопасности. Их совет прост до идиотизма, но многие им пренебрегают.

Правило №1. Никогда не ставьте приложения по ссылкам из мессенджеров.
Даже если вам пишет «сотрудник банка». Даже если обещают золотые горы. Даже если у вас реально арестованы счета. Банковский софт — только из официальных магазинов (Google Play, App Store, RuStore, официальный сайт банка). Всё остальное — с вероятностью 99% фишинг или троян.
Правило №2. Смотрите, куда прикладываете телефон.
При оплате через NFC терминал банкомата должен показывать сумму и назначение. Если вы просто подносите телефон «для пополнения виртуальной карты» и не видите экрана с запросом — бегите.
Правило №3. Проверяйте, откуда ссылка.
Мошенники умеют подделывать номера и аватарки. Но никогда не умеют создавать официальный домен банка с сертификатом просто так. Ищите лишние буквы, странные окончания.
Правило №4. Если вам предлагают обход ареста счетов или санкций — это 100% лохотрон.
Государственные приставы не оставляют дыр в законе для «виртуальных карт». Банки работают строго по закону. Никакой секретной схемы не существует.

Сухой остаток

Эта история — не про слабую защиту NFC. Сама технология надёжна. Проблема в людях, точнее, в их доверии к левым приложениям. Мошенники играют на двух вещах: на желании сэкономить/обойти запреты и на панике («срочно переведите деньги, а то заарестуют!»).

МВД разоблачило конкретную группу. Но сколько ещё таких, которые продолжают рассылать свои ссылки? Пока мы не научимся проверять любой софт через официальный магазин, они будут зарабатывать.

Берегите свои смартфоны. И помните: «пип» от терминала — это не всегда победа. Иногда это звук уходящего поезда с вашими деньгами.