Глава 13: Одноразовый пароль — ключ к вашему счету

Если бы я попросил вас на улице отдать мне ключи от вашего дома, вы бы, вероятно, вызвали полицию или поспешили уйти. Если бы я попросил у вас секретный код вашей банковской карты рядом с банкоматом, вы бы сочли меня сумасшедшим. Нас с детства приучают оберегать физическую собственность, ключи, кошельки. Но в цифровом мире понятие «ключа» изменилось. Он больше не сделан из металла и не лежит в вашем кармане. Он состоит из шести цифр, которые приходят вам в SMS-сообщении, и называется OTP — One Time Password.

В этой главе мы рассмотрим самую критическую точку сбоя в современной цепочке безопасности. Одноразовый пароль — это последний рубеж обороны. Это врата, отделяющие мошенника от ваших денег, от захвата контроля над банковским счетом до его защиты. Но, как ни парадоксально, именно из-за того, что он является последним «стражем», он стал главной целью организаций цифровой преступности. За годы профессиональной деятельности мне не раз приходилось слышать фразу: «Но ведь я сам дал ему код. Я виноват, верно? У меня нет шансов вернуть деньги».

Ответ на этот вопрос гораздо сложнее, чем кажется на первый взгляд. Он кроется в глубинах психологии обмана и в положениях израильского законодательства, которое пытается сбалансировать ответственность клиента и обязанность банковской организации соблюдать осторожность. Давайте погрузимся в это.

Следующий сценарий является учебным примером, основанным на распространенных паттернах мошенничества. Персонажи и события приведены исключительно для иллюстрации.

История Эреза: когда уверенность в себе встречается с умелым мошенником

Эрез (имя изменено) — не тот человек, о котором можно подумать, что он попадется на удочку. Ему 42 года, инженер-программист, человек, который живет и дышит технологиями. Он осведомлен о фишинге, знает, что такое «сквозное шифрование», и всегда был тем, кто предостерегал своих пожилых родителей от перехода по подозрительным ссылкам. В один из вторников, в 18:30, когда Эрез пытался совместить приготовление ужина для детей с ответами на срочные письма, зазвонил телефон.

На дисплее высветилось: «Банк Леуми — отдел безопасности». Номер совпадал с номером на обороте его банковской карты (техника, о которой мы подробно рассказали в предыдущей главе, посвященной подмене номера звонящего). Эрез ответил.

«Здравствуйте, это Даниэль из отдела безопасности банка», — произнес авторитетный, спокойный голос, а на заднем плане были слышны фоновые шумы работающего колл-центра — звонки других телефонов, бормотание представителей. «Эрез, мы фиксируем необычную попытку снятия средств с вашего счета в отделении в Беэр-Шеве. Вы подтверждали перевод 8500 шекелей кому-то по имени «Мухаммед Ахмед»?»

Сердце Эреза забилось быстрее. «Что? Конечно, нет! Я дома, в Хайфе, я ничего подобного не подтверждал».

«Я понял, — ответил Даниэль успокаивающим тоном. — Не волнуйтесь, наша система временно заблокировала операцию, но чтобы окончательно ее отменить и защитить счет от дальнейших попыток, мне нужно провести верификацию через ваше приложение. Я сейчас отправлю вам сообщение от банка с временным кодом. Продиктуйте его мне, чтобы я мог ввести его в систему и заблокировать несанкционированный доступ».

Через несколько секунд телефон Эреза завибрировал. SMS-сообщение пришло в официальную цепочку сообщений от банка. В тексте было написано: «Ваш код для входа в систему — 449281. Не передавайте этот код никому». Эрез видел предупреждение, но Даниэль был на линии. Даниэль был «из банка». Даниэль был здесь, чтобы спасти его от вора из Беэр-Шевы.

«Получил, — сказал Эрез. — Код 44-92-81».

«Отлично, Эрез. Я вижу, что операция отменена. Теперь, чтобы быть уверенными на 100%, система требует дополнительного подтверждения для повторной синхронизации вашего устройства. Я отправляю еще один код».

Второй код пришел. В этот раз Эрез даже не прочел предупреждение. Он просто продиктовал цифры. «992103».

«Большое спасибо, Эрез. Ваш счет теперь под защитой. Представитель отделения позвонит вам завтра утром, чтобы выпустить новую карту. Хорошего вечера». Звонок прервался.

Эрез вернулся к приготовлению яичницы. Он почувствовал облегчение. К счастью, банк бдителен, подумал он. Только через час, когда он вошел в приложение, чтобы проверить, обновился ли баланс, он узнал горькую правду. Счет не был защищен. Наоборот. Он был опустошен. Два «золотых» перевода (RTGS) по 50 000 шекелей каждый были совершены с его счета через несколько минут после разговора. Кроме того, было добавлено новое постоянное поручение и совершены покупки за границей.

Чего Эрез не знал, так это того, что пока он говорил с «Даниэлем», мошенник сидел перед компьютером. Первый код, который дал Эрез, был кодом, подтверждающим вход мошенника в его счет с нового устройства. Второй код был подтверждением массивного перевода средств. «Даниэль» не был сотрудником банка; это был сам вор.

Анатомия мошенничества: что на самом деле происходит за кулисами?

Чтобы понять, почему одноразовый пароль является таким мощным инструментом для мошенников, мы должны понять современную банковскую систему. Банки перешли на метод «двухфакторной аутентификации» (2FA). Идея проста: для совершения чувствительной операции недостаточно знать что-то (пароль), нужно также владеть чем-то (вашим мобильным телефоном).

Мошенники поняли, что им не нужно взламывать серверы банка — это почти невыполнимая задача. Им нужно взломать самый слабый «сервер» в системе: человеческий мозг. Это социальная инженерия в ее лучшем проявлении. Одноразовый пароль — это последний барьер, и они получают его путем создания чувства срочности и тревоги.

Когда Эрез продиктовал код, он фактически совершил юридическое и техническое действие «подтверждения». С точки зрения компьютерных систем банка, операция была выполнена самим клиентом, так как код был отправлен на его аутентифицированное устройство и введен верно. Именно поэтому банки спешат снять с себя ответственность в таких случаях. Они утверждают, что речь идет о халатности клиента.

Но так ли это просто? Закрывает ли тот факт, что Эрез сообщил код, путь к возможности вернуть свои деньги? Здесь вступает в игру сложность юридического анализа.

Юридическое поле битвы: Закон о платежных услугах и тонкая грань «грубой халатности»

В Израиле основной правовой базой, регулирующей отношения между клиентом и банком в случаях мошенничества, является Закон о платежных услугах, 2019 года. Этот закон заменил старый Закон о кредитных картах и расширил защиту потребителей в цифровую эпоху.

Статья 14 закона касается «платежной операции, не подтвержденной владельцем». Базовое правило гласит, что если операция по счету была проведена без согласия клиента, банк (или компания, выпустившая карту) может быть обязан вернуть ему деньги. Однако есть существенное исключение: если клиент действовал с «грубой халатностью» (Gross Negligence), банк может быть освобожден от обязанности возмещения или хотя бы от его части.

Здесь начинается юридическая проверка. Представители финансовых организаций могут утверждать, что передача OTP-кода является «грубой халатностью» по определению, учитывая предупреждение, появляющееся в сообщении.

Однако юридический анализ общепринятых тенденций показывает, что «грубая халатность» — понятие относительное. Принято рассматривать всю совокупность обстоятельств:

• Изощренность мошенничества: использовал ли мошенник предварительно полученную личную информацию о клиенте, чтобы завоевать его доверие?
• Подмена номера телефона: когда звонок выглядит как звонок из официального источника, клиент может оказаться в ситуации оптического обмана, затрудняющего распознавание лжи.
• Состояние клиента: повлияли ли обстоятельства во время звонка на способность клиента принимать взвешенные решения?
• Обязанность банка по мониторингу: это ключевой момент. От банковской организации требуется использование систем мониторинга аномальной активности. Юридическая проверка изучит, правильно ли функционировали системы оповещения и можно ли было остановить операцию вовремя.

Во многих случаях можно аргументировать, что даже если клиент проявил халатность, существует определенная ответственность и финансовой организации, если она не распознала экстремально аномальную активность. Юридическая ответственность может быть распределена между сторонами в зависимости от обстоятельств дела.

За рамками кода: как построить психологическую и юридическую стену защиты

Одноразовый пароль — это лишь симптом. Проблема заключается в способности мошенников выстраивать «альтернативную реальность», в которой сообщение кода кажется единственным логичным действием. Как общее правило, важно помнить, что банковская организация не должна запрашивать код, отправленный по SMS, для отмены операции или обеспечения безопасности счета в ходе инициированного ею телефонного разговора.

OTP-код предназначен для совершения операций. Передача кода третьей стороне может позволить ей выполнять операции от вашего имени.

Что делать, когда давление во время разговора огромно? Рекомендуемый профессиональный ответ — прервать контакт. Можно положить трубку и самостоятельно позвонить по официальному номеру финансовой организации, чтобы уточнить состояние счета.

С юридической точки зрения, документация имеет решающее значение. В случае подозрения на мошенничество рекомендуется зафиксировать время звонка, номер телефона, текст SMS-сообщения и любую другую деталь. Эти детали могут послужить инструментами при юридическом рассмотрении дела и при попытке вернуть средства.

Сторожевой пес, ставший троянским конем

Технология, призванная защитить нас, иногда может использоваться как оружие в руках мошенников, совершающих «мягкий взлом» через пользователя. Существуют более сложные методы захвата средств коммуникации, о которых мы подробно расскажем далее.

Важно помнить: юридическая борьба в таких случаях требует глубокого понимания. Финансовые организации подкреплены обширными юридическими консультациями и будут склоняться к тому, чтобы возложить ответственность на клиента. Профессиональный анализ попытается показать сложность картины, представленной пострадавшему, и уровень изощренности враждебной стороны.

Современный юридический анализ признает, что феномен телефонного мошенничества распространен, и необходимо проверять, можно ли ожидать от гражданина распознавания любой попытки изощренного мошенничества в любой момент времени. Иногда наряду с личной ответственностью рассматривается и институциональная ответственность.

Предупреждающие знаки (Red Flags)

• Чрезмерная срочность: создание давления для совершения немедленных действий под предлогом того, что деньги находятся в опасности.
• Просьба кода для отмены операции: запрос на получение OTP-кода для отмены сделки или обеспечения безопасности счета.
• Инициированный звонок в нерабочее время: попытки подтверждения операций по телефону в то время, когда обычные центры обслуживания не работают в полном объеме.
• Неспособность представителя предоставить идентифицирующие детали: трудность звонящего предоставить информацию, которую должен знать только банк.
• Язык и синтаксис: опечатки или необычные формулировки в SMS-сообщениях от финансовой организации.

Что делать немедленно (Action Plan)

1. Отключение и проверка: прерывание звонка и самостоятельное обращение в официальный центр банка.
2. Документирование: создание снимков экрана сообщений, запись номеров телефонов и имен, как они были представлены.
3. Блокировка: в случае передачи кода рекомендуется предпринять действия по смене паролей или немедленной заморозке карт.
4. Сообщение в банк: уведомление отдела безопасности финансовой организации и запись номера обращения.
5. Подача заявления в полицию: необходимый шаг для выяснения фактов и возможного требования возмещения.
6. Юридическая консультация: можно изучить возможности возврата средств посредством консультации с профессионалом в этой области, чтобы проверить, соблюдал ли банк требуемую обязанность проявлять осторожность.

Юридический аспект: резюме ответственности

При рассмотрении случая мошенничества с одноразовым паролем юридический анализ сосредоточится на оценке ответственности каждой стороны. Согласно Закону о платежных услугах, бремя доказывания грубой халатности лежит на финансовой организации. Это существенное юридическое бремя.

За годы профессиональной деятельности принято анализировать каждый случай индивидуально: были ли предупреждения ясными? Распознали ли технологические системы активность как аномальную? Имеются ли индикаторы сбоев в системе защиты финансовой организации?

Помните: передача кода — это действительно ошибка, но при определенных обстоятельствах можно проверить, дотягивает ли она до уровня «грубой халатности», лишающей вас прав. Финансовая система основана на доверии, и при определенных обстоятельствах, после изучения доказательств, стороны могут прийти к пониманию или соглашениям относительно возврата средств. Шанс зависит от конкретных обстоятельств каждого дела.

В следующей главе мы рассмотрим один из самых сложных инструментов в арсенале цифрового мошенника: удаленный захват контроля над оконечными устройствами.