Петр Кузнецов: Мы переходим к первой теме. Мошенники в России становятся все изобретательнее. О новых способах обмана предупреждают на этой неделе сотрудники банков, причем крупных. Ольга Арсланова: Крупных банков. Вот что произошло. В соцсетях появилось предупреждение для владельцев банковских карт. Обнаружили это объявление в одном из отделений «Сбербанка». Распечатано было на бумаге это предупреждение – видимо, совсем новый способ мошенничества. Еще пока не успели подготовиться, но первую же информацию вывесили. Было написано следующее: «Сбербанк» предупреждает: всем, кому на телефон придет SMS якобы от службы судебных приставов о наложении ареста на имущество, ни в коем случае не открывать сообщение! Сразу списываются деньги с карты, привязанной к мобильному банку. Это новый вид мошенничества. Всех предупредите». Вот в таком буквально ручном режиме вынуждены банки предупреждать клиентов обо всех новых видах мошенничества, которые, такое ощущение, появляются буквально один за другим. И не всегда успевают службы безопасности на это отреагировать. Петр Кузнецов: Ну, по крайней мере, в таком виде – распечатанном – уже никто текст не взломает и не изменит что-то в нем. Еще к цифрам давайте перейдем. По данным Центрального банка, в 2018-м, то есть в прошлом году, из-за действий злоумышленников с карт граждан было списано почти 1,5 миллиарда рублей. Это на 44% больше, чем годом ранее. В банках утверждают: похитить деньги мошенникам удается только в 4% случаев. Но эксперты по информационной безопасности считают, что несанкционированное списание происходит намного чаще, а самое слабое место в защите банков – это человеческий фактор, именно он приводит к утечкам данных клиентов. Ольга Арсланова: В России, по данным Росстата, произошел рекордный за последние три года всплеск мошенничеств. В первом полугодии 2019-го в стране зарегистрированы 123 тысячи таких преступлений (и это только то, что удалось официально зарегистрировать), и это почти на 11% больше, чем год назад. Главным образом, рост мошеннических операций проявляет себя в банковской сфере. В 2018 году с банковских карт было украдено более 1 миллиарда 300 миллионов рублей. И было вынесено 49 судебных приговоров за слив персональной информации банковских клиентов. Петр Кузнецов: Сейчас телефонные мошенники освоили новую технологию. Для того чтобы снять деньги с чужой банковской карты, им больше не нужны ни ее номер, ни персональные данные владельца. Теперь они убеждают жертв просто установить на смартфон специальное приложение, а оно все сделает само. Жертв подобной махинации уже сотни. Ольга Арсланова: Давайте поговорим о новых видах мошенничества и о том, как не стать жертвой мошенников, прямо сейчас с нашим гостем. У нас в студии – глава Агентства кибер-безопасности, член экспертного совета Комитета Госдумы по информационной политике, информационным технологиям и связи Евгений Лифшиц. Здравствуйте. Петр Кузнецов: Здравствуйте. Ольга Арсланова: Расскажите, пожалуйста, какие технологии есть у мошенников, судя по всему, которые не доступны банковской службе безопасности? Получается, что они всегда на шаг впереди? Евгений Лифшиц: Сначала я, наверное, к вашей статистике. Все в десятки раз хуже, потому что в данную статистику попадают только заявленные случаи. А не каждый, у кого похитили 40 или 50 рублей с карточки, пойдет писать заявление, заявлять, даже банку заявлять про этот мошеннический случай. Поэтому цифры отличаются кратно, мы в этом может быть смело уверенными. Также банки зачастую скрывают и уменьшают эту статистику, потому что для них это в первую очередь репутационные потери. Понятно, да? То есть они отвечают за безопасность финансов клиентов, а подобные взломы или проблемы их клиентов отражаются на их репутации в первую очередь и приходе новых клиентов, на развитии отношений с нынешними клиентами У злоумышленников, действительно, очень много инструментов (и их становится все больше) для обмана добропорядочных граждан. К сожалению, эти инструменты мы сами с вами им добавляем. Можно любой пример рассмотреть. Самое популярное мошенничество в том году и в этом году – это звонки якобы от сотрудников банков, которые убеждали вас совершить ту или иную операцию, сказать те или иные данные. Причем это очень уверенно, когда вам, Ольга, позвонят и назовут вас по фамилии, имени и отчеству, скажут: «Вы две недели назад отдыхали в Турции, в таком-то отеле, вы кушали в таком ресторане. Вы знаете, по-моему, там возникла проблема с вашей транзакцией, с карточкой. Помните, вы отдыхали и кушали в таком ресторане?» Ольга Арсланова: А, то есть они знают точную информацию? Евгений Лифшиц: Ну конечно. Ольга Арсланова: И звонят они с телефона, который указан на карте… Евгений Лифшиц: Похож на банковский. Петр Кузнецов: Похож или он полностью отражает банковский? Евгений Лифшиц: Может отражать, потому что IP-телефония позволяет это делать. Петр Кузнецов: Я просто поясню. Люди, например, записывают в свою телефонную книжку именно номер банка, который обслуживает его карту. То есть у него даже высвечивается. Евгений Лифшиц: Высвечивается, да, что банк звонит. Ольга Арсланова: Они это говорят – и меня это совершенно не настораживает. Евгений Лифшиц: Потому что вы в Instagram отметились в этом отеле, вы отметились в этом ресторане и так далее. И этой социальной инженерии достаточно опытному мошеннику, чтобы убедить вас, что это сотрудник банка. Он же говорит как бы ваши данные. Вы же в этот момент не думаете, что в Instagram публиковали фото своего отеля или похвастались вкусным ужином в каком-то ресторане. Вам называют ваш отель, ресторан, сумму платежа и так далее, и так далее – те данные, которые убеждают вас в том, что вам звонит сотрудник банка. И он говорит: «Транзакция задублировалась. Нам бы проверить. А не могли бы вы сделать какие-то действия?» Ольга Арсланова: Хорошо. А сумму платежа откуда они знают? И откуда они знают мой номер? Вот что важно. Евгений Лифшиц: Смотрите. Для этого есть по сути «черный» рынок банковских данных в Даркнете, где мошенники могут купить за символические деньги – за 3–5 тысяч рублей – данные о ваших транзакциях, данные о ваших остатках на счетах, данные о ваших картах. Петр Кузнецов: И все это с участием сотрудников банков? Евгений Лифшиц: Ну естественно. Петр Кузнецов: Без них не обходится? Евгений Лифшиц: Зачастую большинство кибер-преступлений происходит при каком-то участии и содействии сотрудников банков. Ну, может быть просто операционист, у которого попросили данные и так далее. Естественно, банки, службы безопасности банков с этим борются. Службы информационной безопасности логируют полностью системы, задают вопросы сотрудникам, зачем они смотрели аккаунты того или иного клиента, если есть аккаунты. И менеджер, который ведет, я не знаю, тысячу клиентов, ему по должностным обязанностям положено следить за своими клиентами, за их аккаунтами и так далее. А то, что он какие-то данные продал куда-то в Даркнете – об этом, к сожалению, служба безопасности банка узнать не может. Петр Кузнецов: Уважаемые телезрители, обратим внимание – у нас голосование уже запущено. Звонили ли вам мошенники от имени банка – да или нет? Отвечайте на короткий, уже знакомый вам номер. Мы подведем итоги через 15 минут. Ольга Арсланова: Скажите, что должно насторожить человека, если ему поступает такой звонок? Ведь действительно ему могут позвонить из банка и уточнить какую-то информацию. Евгений Лифшиц: Банки неоднократно говорили, что они кроме как маркетинговыми акциями в телефонах не занимаются. Ольга Арсланова: То есть? Евгений Лифшиц: То есть никогда не просят вас подтвердить, сверить номер карты, а потом запросить у вас СVV-код, который сзади. То есть банки сами публикуют информацию: «Ни в коем случае не общайтесь с мошенниками, которые представляются сотрудниками банка». Банки предлагают только какие-то маркетинговые продукты. Петр Кузнецов: Ну, новые услуги. Евгений Лифшиц: Новые услуги, новую кредитную карту. Просят приехать в отделение, чтобы рассказать, что у вас расширенной лимит по кредитной карте, что у них новые условия по овердрафту или еще что-то. Ну, то есть какие-то банковские сервисы. И это служба маркетинга, такой их некий промоушен. Но никак не служба мониторинга финансовых операций будет звонить вам и спрашивать у вас СVV-код. Петр Кузнецов: Я прошу прощения. То есть если есть угроза блокировки, то они даже в этом случае… А это наиболее встречающийся вид, когда якобы звонит сотрудник банка и говорит: «Существует угроза блокировки, у вас спорная операция, блокируем без уведомления». Евгений Лифшиц: То вам нужно перезвонить в банк. Вам нужно сказать: «Хорошо», – положить трубку, перезвонить в банк и сказать: «Со мной сейчас связывался якобы менеджер банка. Существует ли такая угроза?» Вас через какой-то промежуток времени соединят непосредственно с аккаунт-менеджером, который вас ведет, с отделением. И этот вопрос практически моментально устранится, потому что служба финансового мониторинга работает 24/7, служба безопасности банков работает 24/7. Практически за две минуты вы разберетесь, мошенники с вами связывались или банк. Петр Кузнецов: Правда ли, что здесь дело все-таки нее в сложности приложений, которые совершенствуются, появляются новые, в их многообразии, а все-таки в человеческой наивности? Евгений Лифшиц: Ну конечно. Основной фактор, на который настроены мошенники, – это фактор человеческий. Именно поэтому в основном используется социальная инженерия. Помните первые мошенничества, которые были три года назад или пять лет назад, когда родители получали эсэмэску: «Вашему сыну плохо, он в аварии. Перечислите срочно что-то куда-то». Ольга Арсланова: То есть совсем примитивно. Петр Кузнецов: Сегодня то же самое. Евгений Лифшиц: Да. Но сейчас оно просто совершенствуется. Появились Instagram, Facebook, где вы сами публикуете данные о себе, которые используются потом против вас. Ну и множество других социальных сетей по интересам, неважно, по направлениям. И вы сами предоставляете эти инструменты для манипуляции вами и вашим сознанием. И действительно, очень тяжело человеку, тем более неподготовленному, правильно отреагировать, перезвонить в банк, как-то адекватно ответить этим мошенникам. Ольга Арсланова: А если человек попался в эти сети мошенников и у него какая-то сумма была украдена, то есть ли возможность ее вернуть? Идет ли банк навстречу клиенту? Евгений Лифшиц: Ну, бывает. То есть в первую очередь он должен обратиться в банк. Мы знаем много случаев, когда банк тут же шел навстречу, возмещал энную сумму, похищенную мошенниками. Вот смотрите. Буквально сегодня «Сбербанк» объявил о том, что он вводит биометрию – по отпечаткам пальцев и по Face ID совершение покупок. Это, скажем, новая степень идентификации и аутентификации пользователя, которая позволит сократить какое-то количество мошенничеств. И дополнительные барьеры… Да, хакеры будущего – это биохакинг, это создание прототипа ваших лиц для того, чтобы вашим лицом где-то заплатить за какую-то покупку. Но, еще раз, это создает дополнительные барьеры сложности для похищения у вас тех или иных денежных средств. Петр Кузнецов: Нам пишет Москва как раз, вот из последнего, Москва: «Звонили и сняли с вклада 100 тысяч рублей. Причем попыток было пять и больше. И служба безопасности не заблокировала». В данном случае могут ли быть претензии к службе безопасности, которая должна была увидеть эти пять попыток? Евгений Лифшиц: Ну, в любом случае клиент должен обратиться в банк. Но я не понимаю, как сняли, если было пять попыток. У них же там пароли подтверждающие приходят. Есть мошенники, которые дублируют SIM-карты, дублируют номера. То есть мы много знаем уже сложных и изощренных случаев. Или как вы рассказывали про приложения. То есть это тоже непростая задача на самом деле. Ну, в первую очередь – обратиться в службу банка. И я не понимаю, если пять попыток было, как с шестой получилось. Если человек не реагировал на пароли, которые ему приходили, никому их не говорил, не передавал… О чем в собственно самой эсэмэске всегда банк просит: «Никому не сообщайте, пожалуйста, пароль для совершения транзакции». Ольга Арсланова: Еще нам пишут из Белгородской области: «Звонки очень часто поступают безымянные, никогда не отвечаю». Люди жалуются, что высвечивается номер банка, берут трубку – там никто не отвечает, а потом списываются деньги за этот звонок. Как это происходит? Евгений Лифшиц: Это больше какое-то телефонное мошенничество. Если мы вспомним, когда раньше тарифицировались услуги, то это было очень распространено, когда вам звонили с какого-то непонятного номера, где тариф был привязан на стоимость входящего. И такое мелкое мошенничество было на этом – звонки, через тарифные планы звонков из дальних стран. Люди занимались подобным мошенничеством. Но сейчас я этого уже давно не слышал. Это, по-моему, ушло в очень далекое прошлое. Петр Кузнецов: Как можно все-таки себя в техническом смысле изначально обезопасить? Например, существует в том же самом приложении счет сберегательный и счет текущий. Если все-таки основная сумма лежит на сберегательном, мошенникам до нее добраться сложнее будет? Евгений Лифшиц: У вас же аккаунт, карточка привязана к одному счету – к текущему, которым вы пользуетесь. Петр Кузнецов: То есть они, по сути, зная четыре цифры, добираются? Евгений Лифшиц: Зависит от мошенников и их средств. Если мы с вами вернемся к приложению, о котором вы говорили две минуты назад, то приложение позволяет видеть все, что вы делаете на экране, когда вы ему дали доступ и установили. Мошенники могут видеть все. Как обезопасить себя? Ну, в первую очередь – не быть доверчивыми. А второе, что сейчас, наверное, очень важно – нужно понимать, что ваш паспорт, который мы всегда считали ценностью, который нам с детства прививали как ценность, которую нужно сберегать, хранить, убирать подальше, не дай бог, чтобы он никому в руки не попал, никому не отдавать, только показывать и так далее, – он несет сейчас, с точки зрения безопасности, гораздо меньшую ценность, чем данные в интернете, ваша почта… Ольга Арсланова: То есть, по сути, чем ваш смартфон со скачанными приложениями. Евгений Лифшиц: Да, и ваши устройства. То есть гораздо большую опасность для вас – и финансовую, и вообще социальную – несет то, как вы пользуетесь интернетом, что вы посещаете в интернете и так далее. Мы же знаем много случаев суицида, мы знаем много случаев вымогательств, когда за фотографии вымогают деньги. И эти случаи по миру. То есть в Америке суицидные случаи, когда хакер у девушки вымогал деньги за ее интимные фотографии. И так далее. К сожалению, это такой новый мир, в который мы очень быстро вошли, а правила пользования этим миром нам никто хорошо не объяснил. Мы сами себе их создавали и продолжаем создавать, ограничивая себя в каких-то плохих сайтах, сами для себя делим на плохие и хорошие. И тут большая роль государства должна быть – именно как фильтра и такого учителя. Были инициативы по созданию в школах соответствующих предметов, потому что мы все понимаем, что наши дети сейчас особо могут быть ранимы в той информационной среде, в которую они попадают посредством интернета и сетей. Ольга Арсланова: Послушаем наших зрителей. У нас на связи Елена из Санкт-Петербурга. Добрый вечер. Петр Кузнецов: Здравствуйте, Елена. Зритель: Здравствуйте, добрый вечер. Ольга Арсланова: Слушаем вас, вашу историю. Зритель: Мне звонили буквально один раз, и случилось это буквально месяца три назад. То есть представились от банка ВТБ, что мой счет хотят взломать, была попытка. Я объяснила, что… Немножко меня смутили тем, что раньше был счет, но он закрыт. И я проговорилась на этом моменте. Меня спросили: «А какого банка у вас карта?» Я сказала, что «Сбербанка». Тут же они сориентировались и сказали: «Сейчас мы соединим вас со специалистом «Сбербанка». И уже переключив меня якобы на специалиста «Сбербанка»… Ольга Арсланова: Гибкие такие ребята! Зритель: …девушка попыталась выманить у меня номер карты. То есть она как бы пугала меня тем, что если я ей быстро не скажу, то транзакция произойдет, списание. То есть пытаются взломать мою карту, и сейчас они могут это сделать, если я не скажу номер карты. Она настойчиво так меня спрашивала… Петр Кузнецов: Я как раз хотел о методах взаимодействия спросить. То есть это агрессивно или все-таки вежливо и аккуратно подходят они? Зритель: Вежливо, аккуратно, но очень настойчиво, понимаете, очень. То есть пугала тем, что сейчас у меня произойдет списание. Петр Кузнецов: Счет на секунды. Зритель: Но я, в принципе, настойчиво сказала: «Я не буду этого делать. Я перезвоню в «Сбербанк» и уточню у специалиста». В это время они сказали мне, что я не успею, все равно произойдет списание. В общем, вот таким образом пугали. Петр Кузнецов: Спасибо. Ольга Арсланова: Да, спасибо. Петр Кузнецов: Самый действенный способ – это все-таки негативный сценарий, да? Они предлагают, что это штраф, что это угроза блокировки. Евгений Лифшиц: Задача любого мошенника – убедить, запугать и получить от вас то, что ему требуется, поэтому используют все методы. Я еще раз говорю: и социальная инженерия, запугивание, неважно что. То есть вы начинаете… Человек теряется, большинство теряется. Они же не понимают, действительно ли это. А когда человек знает вашу фамилию, имя и отчество, дату рождения, проверяет вначале все это с вами… «А подтвердите, в каком месяце вы родились», – и так далее. То есть человека вначале заманивают в это. Помните, как в 90-е были возле рынков незаконные игры, где люди выигрывали. Главное было – заманить кого-то. «Вот вы выиграли! Следующий приз…» – и так далее, и так далее. Петр Кузнецов: Наперсточники. Евгений Лифшиц: Наперсточники, да. Петр Кузнецов: Там же был подставной игрок. Евгений Лифшиц: Да, обязательно. И как бы такая история, которая должна убедить вас самому пойти навстречу. Петр Кузнецов: Просто в цифровом виде. Давайте послушаем Геннадия из Иркутской области. Геннадий, вас приветствуем, добрый вечер. Ольга Арсланова: Добрый вечер. Зритель: Добрый вечер. Ольга Арсланова: Слушаем вас. Петр Кузнецов: Пожалуйста. Зритель: Я поймал вирус на телефон, но я этого не заметил. Поступил звонок с номера 900, меня спросили: «Подтверждаете ли вы перевод?» Я не подтвердил. И так было раза три. Меня спросили кодовое слово, но его я забыл. После чего у меня телефон просто вообще выключился, и не смог я приехать в «Сбербанк» моментально или позвонить. А потом в течение дня у меня списало со счета, с моей кредитной карты. Например, мне же на сберегательный счет какая-то сумма, мне же на дебетовую карту какая-то сумма и мне же на баланс телефона. А с баланса телефона они пропали. Я написал в полицию заявление. Пришел в банк – не то чтобы вернуть мне деньги, а заморозить на время следствия этот кредит, кредитную карту. А мне ответили: «Нет, разбирайтесь с полицией. Мы вам ничем не можем помочь». Ольга Арсланова: Смотрите, вот еще о чем нам пишут: «Звонили из банка UniCredit. Хотя клиентом не являюсь, но у них при этом вся информация обо мне». «Виноваты банки, они должны за этим следить. Значит, ничего не делают». «Украли в банке, а не из кармана. Значит, возвращать должен банк», – считают наши зрители. И вообще считают, что в основном все зло идет от банков, потому что мошенники не могут самостоятельно получить эту информацию. Соответственно, разбираться нужно с теми сотрудниками, которые в банке работают. Какой отбор проходят эти сотрудники? И почему так получается, что люди доверяют деньги банку, а банк за своих сотрудников, по сути, не отвечает, и происходят утечки? Евгений Лифшиц: Давайте два пункта… Вот звонил телезритель, который рассказал… Петр Кузнецов: Атаковали по всем картам его. И даже телефон. Евгений Лифшиц: Да, по всем картам. Действительно, есть вирусы, есть трояны, есть масса приложений. Это одно из технических средств злоумышленников. Петр Кузнецов: Не сидите на андроидах! Евгений Лифшиц: И это тоже. Как показывает практика, много предустановленного ПО в новых телефонах, которое позволяет следить и так далее. Это действительно проблема. И тут много бы вам рассказали антивирусные компании про то, как они с этим борются. С этим бороться тоже очень сложно. Должен ли банк нести ответственность? Конечно, банк должен нести ответственность. Но он же не может нести ответственность за ваш смартфон, за ваше устройство, в которое вы непонятно что устанавливаете. И тут начинается пограничная история. Должен ли банк отвечать за сотрудников? Да, банк отвечает за своих сотрудников. Но нет же прямого доказательства, что сотрудник банка продал информацию. Если есть служба безопасности банка, она должна его найти и передать правоохранительным органам, потому что он нарушает очень много законодательства, начиная от персональных данных и заканчивая… То есть это просто мошенничество. То есть продажа информации, мошенничество и так далее. Он же извлекает из этого прямую выгоду, продавая данные клиентов. Соответственно, банки этим занимаются, службы безопасности банков занимаются. Какой уровень специалистов, которые занимаются рекрутингом в банке, то есть HR и набором персонала? Ну, тяжело судить. Нужно понимать, что если мы говорим про тот же «Сбербанк», то это самая большая и обширная сеть с тысячами сотрудников, с десятками тысяч сотрудников, за которыми… Ну, наверное, за всеми уследить сложно. Есть нормы и правила. Понимаете, очень большая проблема, когда сотрудник банка устраивается каким-то оператором, он подписывает массу документов – о том, как он несет коммерческую тайну. Ну, для понимания, это десятки, а может, и сотни страниц. Инструкции, которые он должен выполнять, не должен. И зачастую, мягко сказать, не вчитываются. Информационной безопасности у нас еще пока не предается столь значимое значение, которое, наверное, требуется для сохранения всех наших финансов. Вы начали со статистики. Если к ней вернутся, то она точно в десятки раз хуже, потому что и банки занижают эту статистику, и люди не все обращаются с заявлениями и жалобами. Петр Кузнецов: И она, судя по всему, растет, увеличивается. Евгений Лифшиц: Ситуация ухудшается. Ну, опять же появляются новые технические средства, о чем я уже говорил (биометрия, отпечатки пальцев), которые как-то усложняют на какое-то время. Ольга Арсланова: Распознавание голоса. Петр Кузнецов: Apple Pay тот же, бесконтактный платеж. Евгений Лифшиц: Да-да. Петр Кузнецов: «Вам когда-нибудь звонили мошенники от имени банка?» – этот вопрос наши корреспонденты задавали на улицах разных российских городов. Давайте посмотрим, что там получилось. ОПРОС Петр Кузнецов: И продолжают нам писать. «Карты отказываюсь до сих пор оформлять принципиально, – Волгоградская область. – Кошелек за 56 лет у меня ни разу не украли. Тьфу-тьфу, чтобы не сглазить». Новосибирская область: «После подозрительного звонка пытался дозвониться в банк, но там автоответчик долго, потом вопросы долго. Только про баланс, все, ничего не могла сказать». Тоже есть проблема. Пока дойдет до конкретного оператора, уже лицензионного и официального, и терпения не хватит, и состояние расшатанное. Ольга Арсланова: Уже можно и всех денег лишиться. Евгений Лифшиц: Сложность коммуникации с банками. Ольга Арсланова: То есть это тоже то, над чем банкам есть смысл поработать? Евгений Лифшиц: Нет, технически банкам есть много над чем поработать. Вот смотрите. Огромная проблема, что когда звонят даже с какого-то номера непонятного… Петр Кузнецов: Если можно, очень коротко. Евгений Лифшиц: О’кей. Отследить невозможно. Практически как телефонный терроризм с этими эвакуациями. Понимаете? Так бы можно было вычислить по номеру, найти конкретную точку, но поскольку трассировка может касаться 20 стран, то человека, мошенника идентифицировать очень сложно и поймать практически невозможно. Петр Кузнецов: Надежда только на себя, все. Ольга Арсланова: Мы спрашивали, звонили ли нашим зрителям мошенники от имени банка: «да» – ответили 85%, а «нет» – 15% всего лишь. Вот так. Распространенная история. Евгений Лифшиц: Вот статистика. Ольга Арсланова: Большое спасибо нашему гостю. У нас в студии был глава Агентства кибер-безопасности, член экспертного совета Комитета Госдумы по информационной политике, информационным технологиям и связи Евгений Лифшиц. Большое спасибо. Петр Кузнецов: Спасибо.