Глава 20: Фальшивое SMS: сообщение, открывающее дверь

Мы проживаем свои жизни внутри маленького кусочка стекла и металла весом не более двухсот граммов. Наш смартфон — это сейф, фотоальбом, ежедневник и кошелек. И, как у любого сейфа, у него есть уязвимое место. Оно находится не в коде Apple или на серверах Google, оно находится у нас в руках. В мире информационной безопасности SMS (или смишинг — сочетание SMS и фишинга) считается одним из самых эффективных «троянских коней», когда-либо созданных. Это просто, дешево и эксплуатирует самый базовый человеческий инстинкт: немедленную реакцию на звук «динь», возвещающий о новом сообщении.

В то время как электронная почта воспринимается большинством из нас как шумное пространство, полное рекламы и спама, требующее тщательной фильтрации, SMS по-прежнему пользуется ореолом срочности и надежности. Когда мы получаем текстовое сообщение, мы склонны полагать, что оно адресовано нам лично. Это может быть код подтверждения от банка, обновление от службы доставки или сообщение из детского сада. Это доверие — как раз та дверь, которую стремятся открыть мошенники. В этой главе мы проанализируем, как короткое текстовое сообщение, иногда состоящее менее чем из десяти слов, умудряется обойти все защитные механизмы обычного человека и привести к возможности финансового и психологического ущерба.

Анатомия мошенничества: история Эреза

Следующий сценарий является учебным примером, основанным на распространенных паттернах мошенничества. Персонажи и события предназначены только для иллюстрации.

Эрез, 45-летний бухгалтер из Раананы, считается осторожным человеком. Он никогда не сообщал свои данные кредитной карты по телефону, меняет пароли каждые полгода и именно он устанавливает антивирусное программное обеспечение для всей семьи. Но в один вторник, в семь часов вечера, когда он одновременно пытался приготовить ужин для троих голодных детей и отвечать на письма по работе, его телефон завибрировал на столешнице.

Отправитель отображался в верхней части экрана как «Bank_Security». Не номер телефона, а официальное имя. Сообщение было коротким и лаконичным: «Обнаружен подозрительный вход в ваш аккаунт с неизвестного устройства в регионе Грузия. Если это были не вы, вам следует немедленно перейти по следующей ссылке, чтобы обезопасить аккаунт и предотвратить его блокировку». Под текстом находилась сокращенная ссылка: https://bit.ly/bank-protect-il.

«Черт возьми», — пробормотал Эрез. Его пульс участился в одно мгновение. Его логический мозг, тот самый, что анализирует балансы компаний, был вытеснен в пользу мозга выживания. Он не подумал о том, что банк никогда не присылает сокращенные ссылки. Он не остановился, чтобы задать вопрос, почему сообщение от его банка приходит от отправителя с английским именем. Он лишь увидел слова «подозрительный вход» и «блокировка».

Эрез нажал на ссылку. Браузер в телефоне открылся и отобразил страницу, которая выглядела точно — именно точно — как страница входа в его банк. Те же цвета, тот же логотип, те же успокаивающие слова о «безопасном просмотре». Он ввел свое имя пользователя и пароль. Сразу после этого на экране появилось сообщение: «Для окончательного подтверждения вам будет отправлен код в SMS. Пожалуйста, введите его здесь».

Через несколько секунд пришло еще одно сообщение. «Ваш код для выполнения действия: 882931. Не передавайте этот код никому». Эрез, будучи уверенным, что находится в процессе проверки безопасности, ввел код на сайте. Экран загружался несколько секунд, а затем показал обнадеживающее сообщение: «Ваш аккаунт успешно защищен. Спасибо, что выбрали наши услуги».

Эрез вздохнул с облегчением и вернулся к нарезке салата. Только полчаса спустя, когда он зашел в банковское приложение (на этот раз через официальное приложение, а не через ссылку), он обнаружил горькую правду. Его аккаунт не был защищен. В то время как он вводил код, мошенники использовали его, чтобы настроить «нового бенефициара» для денежных переводов. Значительная сумма денег исчезла со счета. Средства ушли на другой счет, а оттуда были сняты в течение нескольких минут.

В этот момент кухня Эреза словно начала кружиться. Чувство самопредательства было тяжелее, чем потеря денег. «Как я мог быть таким глупым?» — спрашивал он себя снова и снова. Ответ заключается в том, что Эрез просто действовал под давлением и стал жертвой точной социальной инженерии.

Психология «клика»: почему это работает?

Чтобы понять, почему фальшивое SMS является столь смертоносным инструментом, мы должны понять технологию и психологию, которые в нем сочетаются. В отличие от сложных кибератак, взламывающих серверы, здесь «взлом» осуществляется в сознании пользователя.

1. Подмена идентификатора отправителя (Sender ID Spoofing)

Одна из причин, по которой можно попасться в ловушку, — это тот факт, что отправитель отображается под официальным именем. Технология SMS позволяет отправителям задавать «буквенно-цифровой идентификатор». Это легитимный инструмент, используемый компаниями, однако мошенники используют эти услуги, чтобы выдавать себя за банки, официальные органы или государственные структуры. Когда сообщение встраивается в предыдущую и реальную цепочку сообщений, уровень доверия возрастает.

2. Инженерия срочности и страха

Фишинговые сообщения призваны побудить к быстрому действию с помощью слов, активирующих немедленный импульс, таких как «счет заблокирован» или «срочный долг». Когда оказывается давление, часть мозга, ответственная за критическое мышление, может ослабнуть, и побуждение действовать немедленно берет верх.

3. Маленький экран как союзник мошенника

На экране телефона гораздо труднее заметить подделки. Ссылки малы, адресная строка в браузере иногда скрыта или сокращена, а минималистичный интерфейс смартфона иногда служит целям мошенников.

Между человеческой слабостью и институциональной ответственностью: правовые аспекты

Когда клиент обращается в банк с просьбой изучить возможность возврата своих денег, он может столкнуться с утверждением, что передача кода является грубой неосторожностью, освобождающей банк от ответственности. Однако правовой анализ этих случаев более сложен.

Правовой отправной точкой в Израиле является Закон о платежных услугах, 2019 года. Этот закон призван урегулировать ответственность в случаях использования платежных средств. Статья 26 закона определяет ответственность клиента и платежной компании в случае «несанкционированной транзакции».

Это «несанкционированная транзакция» или «мошенничество»?

Это центральная правовая тема. Можно рассмотреть, может ли в случаях с фальшивым SMS уровень изощренности мошенничества доходить до лишения клиента свободной воли, и тем самым повлиять на определение действия как «неправомерного использования».

При правовом анализе подобных случаев рассматриваются несколько ключевых вопросов:

• Тест разумного человека: Было ли SMS достаточно убедительным, чтобы ввести в заблуждение рядового человека? Если сообщение пришло по каналу связи, который выглядит как официальный, можно рассмотреть степень ответственности финансового учреждения в защите своих каналов.
• Системы обнаружения мошенничества: Выявила ли система необычную активность? Можно рассмотреть, должно ли действие, существенно отличающееся от обычных паттернов активности клиента, зажечь «красный свет» в банковских системах.
• Обязанность проявления осторожности: У банка существует доверительная обязанность перед своими клиентами. В меняющейся технологической реальности можно рассмотреть, должны ли финансовые учреждения нести часть рисков, сопутствующих использованию цифровых средств.

Вопрос грубой неосторожности

Закон устанавливает, что ответственность клиента может измениться, если он действовал в условиях «грубой неосторожности». Важно отметить, что обычная неосторожность не обязательно достаточна, чтобы освободить финансовое учреждение от ответственности. Правовой анализ рассматривает, было ли поведение экстремальным или же это была человеческая ошибка в обманчивых обстоятельствах.

Изучение возможностей возврата средств

В сценарии, когда клиент обнаруживает, что стал жертвой мошенничества, возврат средств не гарантирован и не является автоматическим процессом. Он требует тщательного изучения обстоятельств дела. Финансовые учреждения могут чинить препятствия, однако существуют правовые и регуляторные инструменты, использование которых можно рассмотреть.

В случае с фальшивым SMS временной разрыв является значимым фактором. Если клиент обнаружил мошенничество и быстро сообщил о нем, можно рассмотреть, действовало ли финансовое учреждение с разумным мастерством, чтобы остановить деньги до того, как они были переведены дальше.

Кроме того, необходимо рассмотреть процедуры двойной аутентификации. Можно утверждать, что лаконичное сообщение с кодом, которое не указывает характер операции или ее сумму, может ввести клиента в заблуждение, заставив его думать, что он совершает обычную операцию по безопасности.

Знаки предупреждения: как распознать SMS-ловушку?

Предотвращение — самый эффективный инструмент. Ниже приведены несколько признаков, требующих тщательной проверки:

• Создание спешки: Сообщения, ставящие ультиматум для срочного действия, часто являются признаком мошенничества.
• Подозрительные ссылки: Незначительные изменения в адресе сайта или использование сокращателей ссылок не являются распространенными в официальных сообщениях.
• Косноязычная формулировка: Бедный язык, орфографические ошибки или машинный перевод могут свидетельствовать о поддельном сообщении.
• Запрос конфиденциальных данных: Официальные финансовые учреждения обычно не просят вводить полные пароли или секретные коды через ссылку в SMS.
• Неожиданное сообщение: Получение сообщения об услуге, которой не пользовались, должно вызвать подозрение.

Первичные действия в случае подозрения на мошенничество

В случае подозрения, что данные были переданы на фальшивом сайте, скорость критична:

1. Немедленный контакт с финансовым учреждением: Обращение в центры экстренной помощи, работающие круглосуточно, с просьбой заблокировать платежные средства.
2. Документирование: Сохранение скриншотов сообщения и подозрительного сайта.
3. Смена паролей: Выполнение смены паролей для жизненно важных сервисов с другого устройства.
4. Отчет властям: Подача жалобы в полицию в рамках процесса выяснения обстоятельств.
5. Проверка операций по счету: Изучение списка бенефициаров и выполненных переводов.

Правовой и профессиональный анализ

В ходе многолетней профессиональной работы адвоката, сопровождающего подобные дела, каждый случай рассматривается индивидуально. Центральный вопрос заключается в том, выполнило ли финансовое учреждение свою обязанность по минимизации ущерба от мошенничества.

Возможные точки для правового анализа:

• Общие предупреждения: Опубликовало ли финансовое учреждение конкретные предупреждения об известных волнах мошенничества?
• Мониторинг активности: Выявила ли система и предупредила ли о необычных действиях на крупные суммы?
• Выявление исключительных обстоятельств: Было ли действие выполнено в условиях, вызывающих подозрение, таких как иностранное географическое положение?
• Формулировка сообщений аутентификации: Можно рассмотреть, существует ли правовое основание для утверждения о введении клиента в заблуждение, если сообщение с кодом было недостаточно ясным.

Важно помнить, что правовая борьба требует ресурсов и тщательного документирования. В определенных обстоятельствах можно рассмотреть перспективы иска о возврате средств, и это зависит от конкретных обстоятельств дела и изучения доказательств. Закон призван обеспечить защиту в обстоятельствах, когда клиент пострадал, и профессиональная юридическая консультация может помочь в реализации прав.

В следующей главе мы продолжим и рассмотрим паттерны мошенничества через фальшивую электронную почту и способы противодействия сетевым ловушкам.