Фішинг: шо це таке та як не стати жертвою шахраїв

Ваші персональні дані в глобальній мережі є ласим шматком для шахраїв. УНН зібрав для вас інформацію про те, що таке "фішинг" - один з найрозповсюдженіших методів дій шахраїв, та те як не потрапити у пастку. 

Упіймати рибу 

 "Фішинг" означає спробу вкрасти конфіденційну інформацію, як правило, у вигляді імен користувачів, паролів, номерів кредитних карток, інформації про банківські рахунки або інших важливих даних, щоб використовувати або продати вкрадену інформацію. Маскуючись під авторитетне джерело із привабливим запитом, зловмисник заманює жертву, щоб обдурити її, подібно до того, як рибалка використовує наживку, щоб упіймати рибу", - так визначають цей термін спеціалісти американської компанії Cloudflare, яка, зокрема, працює у сфері захисту даних. 

Фахівці поділяють "фішингові" атаки на декілька типів: 

• Шахрайство з передоплатою – це відома схема, яку часто також називають «нігерійський принц». Шахраї втираючись у довіру намагаються видурити з жертви відносно невелику суму коштів обіцяючи переказати пізніше значно більшу суму. Зазвичай шахраї розповідають якусь історію про заможну людину, яка втрапила у скрутне становище або ж можуть використовувати історію зі спадком від далекого родича з іншої країни. Перші випадки такого шахрайства з’явилися ще задовго до виникнення інтернету – у 19 столітті. Тоді це було відомо, як «афера іспанського в’язня» - шахраї видавали себе за людей, які нібито намагаються врятувати та вивезти заможного іспанського в’язня, який готовий сплатити щедру винагороду за допомогу у підкупі тюремної охорони. Найпростіший та найефективніший спосіб уникнути такої атаки – просто не відповідати на неї. Якщо щось видається вам надто гарним аби бути правдою – зазвичай так воно і є. 
• Шахрайство з деактивацією акаунту – це більш вигадливий спосіб змусити жертву передати свої персональні дані аби уникнути дезактивації нібито важливого акаунту. В таких випадках шахраї видають себе, наприклад, за співробітників банків чи інших фінансових установ і надсилають повідомлення, про необхідність підтвердження своїх даних для уникнення деактивації/блокування акаунту чи рахунку.  В таких випадка не варто поспішати – краще перейти безпосередньо на сайт служби чи установи від якої вам нібито надійшло повідомлення, переглянути інформацію, що стосується можливих запитів від них та/або зв’язатися зі службою підтримки. Важливо, що перехід на сайт компанії слід здійснювати не безпосередньо з повідомлення, а окремо. 
• Шахрайство з підробкою веб-сайту – зазвичай цей метод поєднується з попереднім. В цьому випадку шахраї створюють фейковий сайт, що майже ідентичний законному сайту, компанії, послугами якої користується жертва. Натрапити на такий сайт можна перейшовши з отриманого повідомлення, посилання на форумі та навіть через пошукову систему. Вся інформація, яку жертва вводитиме на такому сайті збирається для продажу чи іншого злочинного використання. Слід уважно перевірити URL (адресу сайту), якщо вона викликає сумніви, виглядає не так як зазвичай – не слід вводити дані. Підозру також мають викликати сайти, які браузер позначає як небезпечні, які не мають протоколу HTTPS – навіть якщо це легальний сайт компанії, то він, ймовірно, зазнав атаки. 

"Фішинг" може бути цільовим, тобто спрямованим на конкретних осіб чи компанії. Наразі це один з найрозповсюдженіших типів "фішингу" і він же є найбільш ефективним. 

Іноді шахраї вдаються до методики клонування, наприклад, імітуючи раніше отриманий жертвою легальний електронний лист, при цьому підміняючи безпечні посилання на шахрайські. Також шахараї можуть маскувати свої повідомлення під контент, що точно вимагатиме уваги потенційної жертви – наприклад повідомлення від керівництва, рахунки. Такий вид "фішингу" іноді називають "китобійний промисел". 

Українські реалії 

В Україні одним з найрозповсюдженіших видів "фішингу" є шахрайство на торгівельних майданчиках. Як пояснюють спеціалісти Національного банку України, шахраї можуть видавати себе за покупців. Приклад такої ситуації – псевдопокупець повідомляє продавцю, що оформив покупку по OLX Доставка і для отримання коштів продавцю потрібно пройти за індивідуальним посиланням і вказати дані своєї картки.

Після того, як продавець переходить за посиланням та вводить усі реквізити картки, шахрай випитує у продавця залишок коштів на картці та смс-код від банку. Отримавши інформацію, привласнює кошти з рахунків.

Щоб ввести в оману продавців, шахраї також створюють шахрайські сайти, які візуально схожі на сайті торгівельних майданчиків (наприклад, ОЛХ). На таких підроблених сторінках також може бути форма спілкування в чаті, яка нічого спільного з реальною підтримкою OLX не має.

Щоб уникнути подібного шахрайства і безпечно продавати онлайн фахівці з проєкту #КібербезпекаФінансів радять:

•  обговорювати деталі угоди виключно в чаті торгівельної платформи або використовуючи додаток платформи, оскільки у сторонні месенджери (Viber, Telegram, WhatsApp) шахраї можуть надсилати фішингові посилання. Пам’ятайте, повідомляти можна лише 16-значний номер картки, цієї інформації достатньо, щоб отримати оплату за товар;

• не переходити за посиланнями від незнайомців. Спершу перевіряйте адресу, тільки потім переходьте за посиланням.

•  перевіряти адреси сайтів на яких вводите реквізити платіжних карток, логіни та паролі до інтернет-банкінгу.

Ще один тип шахрайських схем – "Фейкові опитування та голосування". Шахраї проводять фейкові опитування та голосування, за які нібито можна отримати винагороду, наприклад у сумі 500 гривень. Тема таких опитувань та голосувань може бути різна, наприклад, віддати свій голос на сайті, де проходить голосування за певний бренд косметики, для переконливості шахраї вказують відомий бренд.

Щоб пройти голосування, потрібно виконати дії згідно з інструкцією, де однією з обов’язкових умов є необхідність пройти авторизацію та вести логін і пароль до власної сторінки в соцмережах. Коли людина вводить ці дані, вони стають автоматично відомі шахраям, які отримують доступ до сторінки.

Отримавши доступ до сторінки, шахраї можуть:

• поширювати подібні пропозиції в соцмережах від імені власника акаунта, щоб отримати доступ до сторінок підписників власника сторінки;

• просити в борг та грошову допомогу в підписників сторінки. Трапляються випадки, коли шахраї використовують опубліковані на сторінці власника фото близьких та рідних та пишуть, що хтось із близьких потрапив у ДТП і терміново потрібні гроші. Для переконливості шахраї можуть додавати скріни медичних висновків лікарів та різні медичні довідки з печатками, які можуть виглядати досить правдоподібно.

Як вберегтися від шахраїв?

•  Не довіряйте пропозиціям відповідно до яких можна в кілька кліків отримати гроші. Легкі гроші, як правило, пропонують шахраї.

• Перевіряйте інформацію на офіційних сайтах, якщо йдеться про відомий бренд.

•  Не переходьте за посиланнями від незнайомців та будьте уважними до посилань, які вам надсилають друзі. Пам’ятайте, шахраї могли зламати сторінку вашого друга.

Ще одна схема - "Повідомлення від імені компанії Meta".

Шахраї від імені компанії Meta пишуть в особисті повідомлення (Direct) у фейсбуці та інстаграмі та виманюють паролі від сторінок у соцмережах. Повідомлення можуть насилати англійською мовою. Зміст повідомлення полягає в тому, що нібито співробітники Meta повідомляють власника сторінки в порушеннях правил спільноти. Шахраї можуть також писати, що після перегляду вашої сторінки було визначено, що ви порушили авторські права кілька разів. Якщо ви вважаєте, що це помилка, вам слід це оскаржити, інакше ваш обліковий запис буде деактивовано протягом 24 годин. І дають посилання на форму оскарження, водночас, коли власник сторінки переходить за посиланням, шахрайський ресурс просить ввести власний логін та пароль у соцмережах. Після того, як людина вводить ці дані, вони автоматично стають відомі шахраям.

Пам’ятайте, інстаграм та фейсбук ніколи не пише щодо безпеки облікового запису в повідомленнях у Direct. Електронні листи від Meta (інстраграм та фейсбук) щодо безпеки вашого облікового запису та входу до нього, які було надіслано протягом останніх 14 днів, можна знайти в розділі "Безпека".

Шахрайська схема "Прохання підписати петицію".

Шахраї поширюють прохання підписати петицію про присвоєння звання Героя України посмертно, розповсюджуючи фішингові посилання. Для цього можуть надсилати подібні прохання в особисті повідомлення в месенджерах та робити відповідні публікації в соцмережах.

Прохання аферистів виглядають переконливо, оскільки шахраї створюють правдоподібний текст петиції, візуальне оформлення, зазначають прізвище, ім’я, по батькові військового та можуть вказувати справжній номер петиції тощо.

Яка мета шахраїв?

Так аферисти намагаються дізнатися логін та пароль до сторінок у соціальних мережах, щоб надалі отримати до них доступ. Адже, коли людина переходить за шахрайським посиланням, щоб підписати петицію, шахрайський сервіс просить ввести дані для входу на сторінку в соцмережах нібито для авторизації.

Як уникнути шахрайства?

Не переходьте за посиланнями від незнайомців, навіть з такими важливими проханнями, як підписання петиції. Посилання на петицію має виглядати ось так: https://petition.president.gov.ua/petition/ (+ номер петиції), всі інші посилання є шахрайськими, на які не варто переходити.

Якщо отримали подібне прохання від знайомої людини в соцмережах, допомагайте, але будьте обачними. Не переходьте за посиланнями навіть від друзів, адже шахраї можуть зламувати сторінки в соцмережах та писати від їхнього імені. Щоб підписати петицію, знайдіть її на офіційному сайті

Президента України: https://petition.president.gov.ua/ за її номером. Також в пошуку (в Google) можна ввести прізвище, ім’я та по батькові Героя та звідти перейти на офіційний сайт.

Щоб підписати петицію, необхідно дійсно авторизуватися, але в жодному разі не через соцмережі. Щоб підписати справжню петицію, необхідно підтвердити свою особу, використовуючи електронний підпис чи BankID.

Щоб захистити власні сторінки в соцмережах:

•  установіть багатофакторну автентифікацію. Ця функціє є в налаштуваннях вашого акаунту та може мати назву двоетапна перевірка – це, коли для входу до акаунту, крім логіна та пароля, потрібно ввести код підтвердження, що приходить на смартфон, електронну скриньку або у відповідний додаток;

•  не вводьте свої логіни та паролі від акаунтів на незнайомих та підозрілих сайтах;
•  створюйте складні та унікальні паролі для кожного акаунту.
  

Шахрайська схема "Оформлення грошової виплати".

Через соціальні мережі та месенджери шахраї поширюють повідомлення про можливість отримання грошової виплати для кожного українця. Повідомлення містить активне посилання на фішингову сторінку-приманку, яка може бути стилізована з використанням айдентики благодійної та/чи міжнародної, державної організації. На цій сторінці шахраї розміщують інструкції щодо проходження ідентифікації, а також активні посилання на шахрайські фішингові ресурси, які маскуються під сторінки авторизації банків.

Щоб оформити грошову виплату, шахрайський ресурс пропонує ввести номер мобільного телефону, пароль від особистого кабінету, номер платіжної картки, CVV, пін-код та поточний баланс картки для підтвердження входу в особистий кабінет. Отримані дані шахраї використовують для "прив'язки" акаунта користувача до нового пристрою або для онлайн авторизації на порталі відповідного банку, що дає їм змогу вивести кошти з рахунку жертви.

Подібні схеми шахрайства є дуже поширеними.

• Перевіряйте будь-яку інформацію про грошові виплати, яку побачили в інтернеті чи в повідомленнях через офіційні джерела.

• Не переходьте за посиланням, зазначеним у таких повідомленнях. Перейдіть на офіційний сайт відповідної організації, від імені якої пропонується грошова допомога через пошукову систему, ввівши назву необхідного сайту.

Нижче зображення шахрайського ресурсу.