В ESET описали схему с перевыпуском мошенниками сим-карты жертвы для доступа к счетам

В России набирает обороты новый вид мошенничества с сим-картами, который позволяет хакерам получить доступ к номеру телефона и моментально переводить деньги из банковских приложений. В новой схеме скомбинированы несколько ранее известных , причем это тот случай, когда обман сложно доказать, следует из обзора компании ESET, занимающейся разработкой антивирусных решений (материалы распространило агентство "Пиархаб").

Первый этап работы мошенников — создание фейкового аккаунта. "На черном рынке покупаются неживые аккаунты, которые на первый взгляд не отличаются от настоящих: созданы несколько лет назад, есть фото, не засвеченные в поиске по картинкам Google и "Яндекса", контент редко, но обновляется. Создается видимость принадлежности аккаунта живому человеку", — указывают в ESET.

На следующем этапе злоумышленники подбирают жертв атаки социальной инженерии с помощью рекламного кабинета и поиска в Facebook и Instagram, причем ищут они не пенсионеров или блогеров с большим количеством подписок, а предпринимателей, владельцев бизнеса. У этой группы жертв есть деньги, и они не избалованы вниманием, поясняют эксперты.

Третий этап — попытка выяснить номер телефона. Выглядит это так: "Жертве пишет красивая и обязательно одинокая девушка. Нередко она живет в другом городе, но имеет с объектом обмана немного общего (заканчивала тот же вуз, у них совпадают хобби и пр.). Далее мошенник под аккаунтом дружелюбной собеседницы пытается выяснить номер телефона вступившего в переписку. Например, пытается перевести общение в WhatsApp, где всегда виден номер мобильного. Это нужно ради изготовления дубликата сим-карты".

На четвертом этапе изготавливается дубликат сим-карты жертвы. Злоумышленник, получив номер телефона и определив, какому оператору он принадлежит, делает необходимую для этого поддельную доверенность, причем чаще всего заявление на получение дубликата сим-карты подается в небольшом филиале оператора в другом конце страны и часовом поясе.

Заключительный этап — перевод средств. "Получив сим-карту, мошенник сразу обращается в банк, чтобы восстановить пароль от банковского приложения — через кол-центр или в скачанном мобильном банке. Последний рубеж обороны — аутентификация по личному номеру — пройден. Далее происходит перевод всех денег на другой банковский счет", — предупреждают в ESET.

По данным компании, в дополнение аферисты нередко пишут в мессенджерах друзьям и родственникам жертвы, что срочно нужны деньги. Если кто-то переводит средства по привычному номеру на знакомую карту, то их списывают еще раз.

" С точки зрения банков — это даже не мошенничество . Потому что двухфакторные авторизации на сим-картах являются подтверждением личности. Если перевели деньги с помощью вашей сим-карты, значит, это сделали вы. Выходит, что современная сим-карта оказывается важнее и весомее паспорта, а ее кража — опаснее утери основного документа гражданина страны. Все ваши аккаунты, все социальные сети, мессенджеры, банки, сервисы доставки и такси — буквально все завязано на личный номер телефона", — комментирует обозреватель ESET Станислав Жураковский.

Эксперты ESET рекомендуют предпринять несколько шагов , чтобы избежать подобного обмана и не дать мошенникам шанса заполучить сим-карту.

Так, в приложении мобильного оператора необходимо выпустить второй виртуальный номер. "Этот номер будет привязан к основному. СМС будут приходить на основной номер, как и звонки. Стоимость услуги минимальная, но она позволяет получить секретный для всех номер телефона, к которому можно привязать чувствительные сервисы, такие как банки и социальные сети", — рассказывают специалисты.

Кроме того, рекомендуется переключить во всех банках СМС-авторизацию на пуши в приложении: такой способ безопаснее и позволяет получать коды для операций через Интернет, даже если нет самой сим-карты.

Также в ESET советуют подготовить "запрет передоверенности" в офисе мобильного оператора. Такой документ позволяет запретить выдавать дубликат сим-карты без личного присутствия по доверенности. "Это самая уязвимая брешь в персональной безопасности, и стоит устранить ее как можно скорее. Понадобится регулярно продлевать срок действия документа", — подчеркивают в антивирусной компании.

"Не стоит давать номера телефонов малознакомым людям. Лучше вести переписку в зашифрованных мессенджерах, а также давать ссылки на аккаунты или никнеймы, которые не привязаны к номеру личного мобильного телефона", — добавляют в ESET.