Глава 12: Подмена номера вызывающего абонента: номер, который кажется настоящим

Мы живем в эпоху, когда наши глаза являются главными вратами для доверия. Когда мы видим логотип банка в приложении, мы доверяем ему. Когда мы получаем SMS-сообщение, которое попадает в официальную цепочку сообщений от кредитной компании, мы предполагаем, что оно аутентично. Но самая изощренная ловушка, в которую попадаются даже самые подозрительные из нас, находится на экране нашего телефона в тот момент, когда устройство начинает вибрировать. На экране отображается знакомый номер. Иногда это точный номер нашего отделения банка, а иногда — центральный номер службы поддержки клиентов. Название «Банк Леуми», «Банк Апоалим» или «Мизрахи Тфахот» мерцает крупными буквами.

На этом этапе наш мозг совершает опасное когнитивное сокращение. Он говорит нам: «Если номер верный, значит человек на другом конце именно тот, за кого себя выдает». Это суть технологии спуфинга (подмены номера вызывающего абонента), и это самый мощный инструмент в арсенале современного мошенника. В этой главе мы проанализируем, как эта технология выбивает почву из-под ног потребителей и как правовая и банковская системы справляются с реальностью, в которой цифровая действительность является абсолютной ложью.

Следующий сценарий является учебным примером, основанным на распространенных паттернах мошенничества. Персонажи и события предназначены только для иллюстрации.

Мирьям (имя вымышленное), пенсионерка-учительница из Хайфы, никогда не считала себя «легкой добычей». Она пользуется приложениями, совершает онлайн-покупки на защищенных сайтах, и даже ее внуки иногда советуются с ней по базовым вопросам технологий. В тот вторник, в четыре часа дня, Мирьям сидела на балконе с чашкой чая, когда зазвонил ее мобильный телефон. На экране высветился номер, идентифицируемый как номер центра безопасности банка.

— Алло, Мирьям слушает, — вежливо ответила она.

— Здравствуйте, Мирьям, это Даниэль из отдела безопасности и борьбы с мошенничеством банка, — ответил мужской голос, властный и невероятно спокойный. — Прошу прощения за беспокойство, но наша система только что зафиксировала попытку необычного снятия средств с вашего счета в отделении в Хайфе. Вы совершали в последние минуты перевод на сумму 12 000 шекелей?

Сердце Мирьям пропустило удар. — Что? Конечно нет! Я дома, я не прикасалась к счету.

— Я так и опасался, — ответил Даниэль профессиональным вздохом. — Похоже, прямо сейчас идет активный взлом вашего счета через приложение, установленное на другом устройстве. Не волнуйтесь, Мирьям, я с вами. Мы заблокируем доступ и переведем деньги на временный защищенный счет, пока не выпустим для вас новые коды. Вы же видите номер, с которого я звоню, верно? Вы узнаете его как центр обслуживания банка?

Мирьям снова взглянула на экран. Номер выглядел абсолютно правильно. — Да, я вижу. Это ваш номер.

В этот момент последние защитные барьеры Мирьям рухнули. Она не знала, что Даниэль не сидит в кондиционированном офисе, а использует технологию, позволяющую ему вводить любой номер по своему выбору в качестве «отображаемого номера». Для Мирьям номер на экране был достаточным доказательством. В течение следующих получаса Даниэль инструктировал ее, как «обезопасить» свои деньги. Он попросил ее продиктовать ему коды, которые пришли ей в SMS — коды, которые на самом деле были ключами для подтверждения банковских переводов в режиме реального времени. Мирьям, будучи уверенной, что спасает свои сбережения, диктовала цифры одну за другой.

Когда разговор закончился, Даниэль пообещал ей, что «все под контролем» и что завтра утром с ней свяжется представитель. Мирьям вздохнула с облегчением. Лишь через час, когда она попыталась войти в учетную запись, чтобы убедиться, что все в порядке, и обнаружила, что заблокирована, она начала понимать, что что-то не так. Она позвонила по номеру, который высветился на экране — настоящему номеру банка — и там настоящая сотрудница сообщила ей горькую весть: «Госпожа Мирьям, мы вам сегодня не звонили. Ваш счет обнулен».

Анатомия иллюзии: как работает спуфинг?

Чтобы понять сложность темы, мы должны сначала понять технологию. В прошлом телефонные сети были закрытыми и защищенными. Когда номер телефона переходил от коммутатора к коммутатору, он находился под контролем крупных телекоммуникационных провайдеров. Сегодня, с переходом на технологию VoIP (передача голоса по IP) — звонки, передаваемые через Интернет — правила изменились. Протокол связи позволяет отправителю звонка вручную задавать ID вызывающего абонента. Это поле данных, которое легко редактируется.

Основная проблема заключается в том, что наши смартфоны запрограммированы доверять этому полю данных. Если данные, поступающие из сети, — это номер телефона, который есть в нашем списке контактов или который в базе данных связан с известным бизнесом, телефон отобразит название этого бизнеса. Мошеннику не нужно взламывать АТС банка; он просто транслирует в сеть ложные данные.

С юридической точки зрения, здесь начинается главная драма. Банки могут утверждать, что они не несут ответственности за то, что третья сторона подделала их номер, так как это брешь в технологии телефонии. С другой стороны, клиент стоит беспомощным перед информацией, которая была представлена ему на экране устройства. Вопрос ответственности в случае подмены номера является одним из самых сложных профессиональных вопросов в банковском праве сегодня.

Правовая борьба: ответственность между клиентом и банком

Когда подобный случай рассматривается с правовой точки зрения, первый вопрос, который возникает: является ли это «несанкционированной платежной операцией» в значении Закона о платежных услугах от 2019 года. Согласно закону, если была совершена операция по счету без разрешения клиента, можно рассмотреть обязанность банка вернуть ему деньги, если не была доказана «грубая халатность».

Финансовые организации могут утверждать, что передача одноразового кода (OTP) постороннему лицу представляет собой грубую халатность. Однако случай подмены номера (спуфинг) меняет уравнение халатности. Можно ли определить как «грубую халатность» тот факт, что человек доверился официальному номеру телефона своего банка? В профессиональном юридическом анализе существует понимание того, что изощренное технологическое введение в заблуждение может снизить уровень вины клиента.

Приступая к рассмотрению ответственности банка, мы должны проверить несколько параметров:

• Обязанность проявления осторожности и мониторинга: зафиксировала ли система аномальный паттерн действий? Если клиент, который обычно не совершает крупные переводы, внезапно совершает серию переводов на новые счета, можно рассмотреть, должна ли была банковская система остановить операцию.
• Осведомленность об опасности: был ли банк осведомлен о том, что совершается мошенничество методом спуфинга с использованием его номера телефона, и не принял ли он достаточных мер предосторожности или предупреждения?
• Отображение информации в SMS: Закон о платежных услугах устанавливает требования к четкости подтверждающих сообщений. Если сообщение расплывчато и не разъясняет, что речь идет о подтверждении денежного перевода, можно утверждать, что клиент был введен в заблуждение, полагая, что это мера безопасности.

Трещины в стене банковской защиты

На протяжении многих лет, в ходе профессиональной деятельности адвоката Циона Бахлуля, наблюдались случаи, когда существует разрыв между технологическими возможностями финансового учреждения и фактической защитой «человеческого фактора». Мошенники инвестируют в «социальную инженерию» на высоком уровне, используя репутацию учреждения.

С правовой точки зрения можно рассмотреть довод о том, что на банках лежит повышенная обязанность защищать своих клиентов от выдачи себя за их официальные номера, например, путем использования передовых технологий подтверждения звонков. Фидуциарная обязанность банка перед клиентом является фундаментальным принципом, и можно проанализировать, несет ли банк, позволяющий третьей стороне использовать свою цифровую идентичность, ответственность за причиненный ущерб.

Точка перелома: личный аспект пострадавших

Многие пострадавшие описывают, что самая болезненная часть — это не только потеря денег, но и чувство утраты доверия. Когда человек видит номер банка на экране, он предполагает, что учреждение, которому доверены его средства, связывается с ним для его защиты. Эта утрата доверия является значительным ущербом, который сопровождает пострадавших долгое время.

При изучении подобных случаев иногда выясняется, что мошенники обладают дополнительной личной информацией о жертве, что усиливает достоверность ложного представления. Когда сочетают спуфинг с реальной личной информацией, создается крайне сложная ловушка, которую трудно распознать без предварительной осведомленности.

Юридический анализ: есть ли основания для иска?

При изучении возможности принятия правовых мер в случае подмены номера вызывающего абонента необходимо рассмотреть полную фактическую картину. Шансы на успех в суде зависят от обстоятельств, но вот основные вехи для анализа дела:

1. Тест «разумного человека» при данных обстоятельствах: Ожидалось ли бы от разумного человека, что он заподозрит звонок, поступающий с официального номера его банка? Во многих случаях глубокого введения в заблуждение обычные механизмы проверки могут не сработать.

2. Нарушение обязанности по раскрытию информации и предупреждению: Предприняло ли финансовое учреждение активные и четкие шаги для предупреждения об этом конкретном методе спуфинга?

3. Сбой в системах мониторинга (Anti-Fraud): Проверка того, разрешили ли системы аномальную активность без дополнительной проверки, что может создать основание для довода о халатности.

4. Закон о платежных услугах — распределение ответственности: Закон определяет распределение ответственности между клиентом и банком. Судебная практика может интерпретировать передачу кода в условиях изощренной подмены как халатность, которая не является «грубой», что может возложить значительную часть ответственности на банк.

Предупреждающие знаки: как определить, что это спуфинг?

Несмотря на то, что номер выглядит настоящим, с годами были выявлены паттерны, которые могут указывать на мошенничество:

• Срочность и давление: создание ощущения чрезвычайной ситуации, побуждающего к быстрому действию без раздумий.
• Запрос секретного кода: финансовые учреждения не имеют обыкновения просить клиента диктовать код, полученный в SMS. Код предназначен только для личного ввода.
• Перевод на «безопасный счет»: предложение перевести средства на другой счет для «защиты» их — это явный предупреждающий знак.
• Использование необычной терминологии: использование языка или выражений, которые не приняты в мире банковского дела.

Что делать немедленно, если возникло подозрение, что вы стали жертвой?

Время — критический фактор. Можно рассмотреть следующие варианты для быстрого реагирования:

1. Прерывание связи и проверка: в случае подозрения необходимо прервать разговор и инициировать самостоятельную связь с банком только по официальным и известным каналам.
2. Немедленное сообщение: установление контакта с центром борьбы с мошенничеством банка и кредитной компании для проверки возможности замораживания операций.
3. Документирование: сохранение журнала звонков, SMS-сообщений и любой другой релевантной информации.
4. Сообщение властям: подача жалобы в полицию как часть документирования инцидента.
5. Рассмотрение правовых возможностей: рекомендуется изучить обстоятельства дела в свете положений закона и актуальной судебной практики.

Правовой аспект: итог ответственности банка

Правовая система рассматривает каждый случай индивидуально, с тенденцией к защите потребителя как более слабой стороны сделки. В случаях спуфинга можно проанализировать, предоставило ли финансовое учреждение достаточные инструменты для защиты от подделки его собственной идентичности.

В ходе профессиональной деятельности адвоката Циона Бахлуля наблюдались случаи, когда тщательная проверка систем мониторинга и профиля активности клиента приводили к выводу, что ущерб можно было предотвратить. В возможном сценарии, после изучения доказательств и проведения юридического процесса, стороны могут прийти к мировому соглашению о возврате части денежных средств, в зависимости от обстоятельств дела.

Помните: номер на экране — это цифровые данные, которые поддаются манипуляции. В нынешнюю эпоху рекомендуется доверять только тем звонкам, которые вы инициировали сами по защищенным каналам. Осведомленность о паттернах действий является главным инструментом предотвращения попадания в эти ловушки.