Технология подмены телефонного номера на идентичный номеру кол-центра банка позволила злоумышленникам успешно выдавать себя за сотрудников служб безопасности и под видом блокировки подозрительных транзакций похищать деньги со счетов жертв, говорится в отчете ФинЦЕРТа Банка России (Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере). В последнее время она стала дешевой, а программное обеспечение для нее - доступным.
Злоумышленники применяют протокол передачи данных SIP (разновидность IP-телефонии), с помощью которого у пользователя может отображаться фактически любой установленный ими входящий номер, поясняет антивирусный эксперт "Лаборатории Касперского" Дмитрий Галов. Технология позволяет мошенникам звонить и из интернет-браузера, и с мобильного телефона (во втором случае стоимость разговора для них будет дороже, но с лихвой компенсируется украденным).
Для борьбы с подменой номеров Банк России и минкомсвязь сейчас обсуждают введение определенных технических мер, рассказал глава ФинЦЕРТа Артем Калашников. По его словам, такой мерой может стать контроль трафика, который идет через сеть общего пользования, чтобы "невозможно было подставить номер конкретной организации на этапе подключения", сообщает РИА Новости. Он не исключил, что для борьбы с подменой номеров может понадобиться и новая законодательная база. В минкомсвязи подтвердили работу над проектом "совместно с другими федеральными органами исполнительной власти".
Одним из законодательных решений проблемы подмены номеров могут стать поправки в Закон "О связи", сообщал в октябре первый замглавы департамента информационной безопасности Банка России Артем Сычев. Он указывал, что ряд операторов связи отказываются блокировать телефонные номера мошенников. По его словам, у операторов должны появиться определенные обязанности по регулированию обмена трафиком. В том числе должны быть урегулированы правила прохождения сигнала между IP-сетями и обычной телефонией, отмечал Сычев.
Подмена номеров - один из видов мошенничества с применением социальной инженерии. Это метод получения информации, основанный на когнитивных особенностях психологии людей. В зависимости от того, что именно говорит злоумышленник на другом конце провода, клиент банка либо боится потерять деньги (ему, например, сообщают, что его деньги прямо сейчас кто-то выводит с карты), либо, наоборот, хочет заработать (мошенник говорит о выплатах). Во всех случаях цель - выудить из клиента информацию, достаточную, чтобы вывести деньги с карты (CCV-код с обратной стороны карты, проверочный код из СМС-сообщений). Формально "реальный" номер банка подогревает доверие жертвы к собеседнику на другом конце провода.
В Банке России социальную инженерию считают одной из главных угроз для информационной безопасности. По данным регулятора, больше 97% хищений со счетов физлиц и 39% хищений со счетов юрлиц были совершено с использованием подобных приемов. Источники утечки персональных данных, которыми пользуются мошенники, многочисленны - от интернет-магазинов до настоящих и бывших банковских сотрудников.
В следующем году уровень таких угроз, скорее всего, сохранится, считает Галов. "Злоумышленники будут искать новые "легенды", чтобы ввести пользователей в заблуждение и выманить у них деньги. Более того, они продолжат применять для этого технические средства, например использовать автодозвон, предлагать ввести номер в тоновом режиме, получать информацию из социальных сетей или украденных баз данных", - говорит аналитик.
Пользователям стоит всегда очень скептически относиться к звонкам с просьбой предоставить любые персональные данные или информацию, связанную с финансами, рассказывает Галов. Если есть ощущение, что это действительно легитимный звонок из банка, то единственный способ проверить, действительно ли номер принадлежит упомянутой организации, - положить трубку и перезвонить с другого телефона, например городского, на официальный номер, указанный на банковской карте, советует он. Также важно всегда очень внимательно относиться к любым предложениям перевести деньги, даже если после этого обещают выгоду или большой доход в будущем, добавляет Галов.