Украинцам взламывают банковские счета через мобильные телефоны

Мошенники начали воровать деньги с банковских счетов украинцев через мобильные платежные системы. О новой авантюре с одной из таких систем — Vodafone Pay UBR.ua рассказал организатор форума G-news Сергей Горбачевский.

Схема состоит в следующем:

1. Злоумышленники специальными программами подменяют свой номер телефона на телефон жертвы (при звонке с одного номера высвечивается подставной).
2. Обращаются с call-центрами от имени клиента, узнают PUK-код сим-карты (он значится на пластиковом холдере, к которой прикреплена симка во время покупки или же его можно подсмотреть на холдере).
3. С помощью полученной информации мошенники перевыпускают карту абонента.
4. Если к номеру телефона привязана мобильная платежная система, а к ней в свою очередь банковские карты — со всех счетов деньги уводятся на карту мошенников, которая также подвязывается к системе.

Сначала деньги с карточных счетов переводят на мобильный счет (на припейде может быть не более 15 тыс. грн.), а потом на банковскую карту мошенников. И так пока не снимут все деньги с банковских и мобильного счета. Главная цель здесь, конечно же, именно банковские счета, поскольку на них хранится значительно больше денег, чем на балансе телефона.

Один из таких случаев приключился с абонентом Vodafone Украина. По словам Горбачевского, от рук мошенников в мае этого года пострадала девушка. У нее украли все деньги с карточек, которые были привязаны к Vodafone Pay, а также сняли средства с мобильного счета.

«Зная мобильный номер жертвы, мошенники звонят в call-центр оператора, и скорее всего узнают PUK-код. Там видят, что звонит клиент, который просит помочь с восстановлением кода, и ему его называют. Подменяют номер с помощью Skype или SIP (технология интернет-телефонии) — это ядро многих мошеннических схем. Так же звонят мошенники «из банка». Жертва видит номер поддержки банка и начинает доверять, отвечать на нужные вопросы. То же самое и здесь. Мошенники звонят от имени клиента, якобы с его номера. Каким-то образом завладевают PUK-кодом, дальше, удаленно восстанавливают реальный номер жертвы, получают дубликат сим-карты. После чего ставят на смартфон Vodafone Pay, к которому подвязана одна или несколько банковских карт», — говорит Горбачевский.

Сам же оператор ответил пострадавшей девушке на ее обращение, что карту перевыпустили правомерно, получив перед этим все необходимые подтверждения личности владельца симки (а именно, PUK-код).

Правда, как заверили UBR.ua в пресс-службе Vodafone Украина, для подтверждения личности одного лишь звонка с номера телефона клиента недостаточно. Нужно назвать дополнительные данные, которые знает только абонент. Например, могут поинтересоваться куда он последние несколько раз звонил. Но этим перечень вопросов не ограничивается, заверили нас в Vodafone.

Чтобы не облегчать работу мошенникам, UBR.ua не будет оглашать возможный перечень вопросов для идентификации клиента. Также в Vodafone нас заверили, что разбираются с подробностями из указанного выше письма.

Что у других операторов

С другой стороны, эксперты отмечают, что сотрудники операторских центров не сильно дотошно расспрашивают клиентов о личных данных при замене симок. По их словам, вполне возможно восстановить номер зная последние пополнения и историю исходящих-входящих звонков. И если мошенник получает доступ к номеру, то PUK-код ему уже не нужен. Он просто восстанавливает доступ к Vodafone Pay.

Также мошенник может завладеть самим карт-холдером жертвы (на котором указан PUK).

«Допустим, человек вышел из центра обслуживания клиентов и выбросил всю документацию из-под симки, в том числе холдер. Тем самым номер автоматически может быть подвергнут восстановлению со стороны мошенников. Он позвонит в call-центр или пойдем в центр обслуживания клиентов, скажет, что утеряна симка, а холдер сохранился. Так тоже можно без особого труда восстановить номер, особо ничего спрашивать не будут», — подчеркнул UBR.ua эксперт информационного сообщества «MZU — Мобільний зв'язок України» Олег Свистун.

Теоретически такие схемы возможны и у других операторов, говорят эксперты. У lifecell — через платформу PayCell, у Киевстар — это «Киевстар смарт деньги». Но алгоритмы работы у них могут быть разные и с другой степенью защиты. К тому же, если такие случаи и были, они, естественно, не афишируются. Но и бреши стараются закрывать максимально быстро. Остается надеется, что случаи с Vodafone Pay не будут массовыми.

Доказать сложно

Доказать, провел ли работник мобильного оператора полную процедуру идентификации клиента — очень сложно, говорят эксперты. Убедиться в этом можно лишь прослушав записи разговора или с камер наблюдения (если таковые были и фиксировали момент идентификации клиента).

«В ином случае имеет место слово против слова, а это простор для злоупотреблений со стороны сотрудников. Перенесли номер на другую карту без лишних вопросов, а при расследовании сказали, что заявитель ответил на все вопросы. Я допускаю, что никто и не называл PUK-код в действительности, а имел место сговор мошенников с сотрудником центра обслуживания абонентов. Еще один вполне возможный вариант — PUK-код с помощью приемов социальной инженерии выяснили у самой жертвы, о чем она либо забыла, либо предпочитает не вспоминать», — подметил UBR.ua телеком-эксперт Роман Химич.

Как защититься

Самое первое, что можно сделать для защиты от таких махинаторских схем — это регистрация номера на физлицо. Или же использовать контрактную форму подключения к оператору. Хотя и это не панацея, говорят экспертs.

Самим операторам стоит усиливать защиту доступа конкретно к мобильным платежным система. Здесь поможет 2-х факторная защита, кодовое слово, пин-код вместе с кодом из смс и т.д.

«Персонификация номера не является панацеей, поскольку есть техническая возможность подать паспорт с переклеенной фотографией или вовсе фальшивый, можно обратиться с доверенностью. Однако персонификация, в любом случае, означает сильную правовую позицию пострадавшей стороны. Тогда можно требовать от оператора компенсацию ущерба, вызванного неправомерным переносом номера на другую сим-карту. Сам факт персонификации означает для злоумышленников повышенные риски и дополнительные издержки. Поэтому риски противоправных посягательств на номер все же будут меньше», — резюмировал Химич.

Денис Вергун