Зная реквизиты карты как мошенники снимают деньги

Какие способы кардинга наиболее популярны, что делать, если мошенники узнали данные вашей банковской карты, как обезопасить себя от хищения и каковы шансы вернуть средства — в материале “Ъ”.

Самые распространенные способы хищения средств с банковских карт (кардинга) основаны на психологических методах убеждения, обмана или запугивания клиентов. По данным российского Центробанка, среди всех атак более 80% приходится на связанные с социальной инженерией. Наиболее популярен среди мошенников телефонный фишинг — так называют процесс выманивания персональных данных у банковских клиентов.

Как работают мошенники

• Представляясь банковскими сотрудниками («службой безопасности» или «службой финансового мониторинга»), сообщают о подозрительной активности и предлагают продиктовать данные карты, чтобы банк принял меры по защите средств.
• Убеждают перевести деньги на отдельный счет якобы для их защиты, сделать это можно онлайн либо сняв деньги в банкомате — в этом случае клиенту даже могут заказать до него такси.
• Просят установить специальное программное обеспечение для «защиты средств», с помощью которого мошенники могут украсть данные карты и оформить предодобренный кредит, после чего вывести средства.
• С начала пандемии мошенники активно эксплуатируют тему коронавируса, будь то «бесплатная» диагностика, медицинская помощь, пособия, компенсации, возврат средств за авиабилеты и другие предлоги, конечной целью которых является перевод денег.
• Сообщают пожилым людям о положенных выплатах от имени сотрудников Пенсионного фонда, в этом случае узнать номер банковской карты и другие данные им нужно якобы для перечисления денег. В некоторых случаях злоумышленники предлагают перевести деньги на сторонний счет для уплаты госпошлины за будущую компенсацию.

Важно! Не стоит сообщать третьим лицам данные карты, в том числе четырехзначный PIN-код и трехзначный CVC-код, указанный на обороте. При звонках от мошенников могут отображаться реальные номера банковских телефонов. Они могут представляться также полицейскими или работниками бюро кредитных историй.

По статистике около четверти владельцев карт готовы раскрыть посторонним трехзначный код безопасности, а также срок действия карты и код из СМС-сообщения (3DSecure), которые сообщать нельзя.

По последним данным Центробанка, за первое полугодие 2020 года было заблокировано почти 10 тыс. телефонов мошенников — почти в четыре раза больше, чем за аналогичный период 2019-го.

Почтовый фишинг, соцсети и поддельные сайты

Рассылаемые мошенниками письма могут содержать ссылки на поддельные сайты, имитирующие странички интернет-магазинов с большими скидками, а также отелей, сервисов по продаже авиабилетов, страховых компаний, различных ведомств. Письма приходят также под видом квитанций об оплате коммунальных платежей или в виде официальных уведомлений от банков и других организаций.

Еще один популярный способ мошенничества связан с продажами на сайтах объявлений, где покупатель по поддельной ссылке вводит данные для оплаты несуществующего товара.

В соцсетях мошенники делают рассылки по списку друзей со взломанного аккаунта с просьбой перевести денег на карту. Подобную информацию всегда необходимо перепроверять по другим каналам связи.

Важно! Не нужно переходить по ссылкам из подозрительных писем и загружать неизвестные программы. Остерегайтесь оплачивать покупки на подозрительных сайтах, не переводите деньги, если нет уверенности в получателе. Контролируйте все операции по счету и пользуйтесь антивирусными программами.

За первое полугодие 2020 года Центробанк заблокировал около 4,7 тыс. сайтов, созданных мошенниками. Из них более 500 страничек имитировали сайты банков.

Мошенничество с банкоматами

Краж с использованием специальных считывающих устройств (скиммеров) и накладок на пин-пады банкоматов становится все меньше из-за улучшения технической оснащенности банков. Им на смену приходит моделирование ситуаций с элементами социальной инженерии. В одном из сценариев мошенник (чаще пожилой) «забывает» карту в банкомате и затем просит извлечь ее человека, оказавшегося рядом. Получив карту обратно, злоумышленник вместе с сообщниками проверяет баланс по счету и утверждает, что деньги пропали, после чего требует их вернуть.

Важно! Не нужно извлекать из банкоматов чужие карты. В случае если карта уже извлечена и поступают угрозы, рекомендуется вызвать полицию.

БИН-атаки

Один из немногих действующих в 2021 году методов кардинга без выманивания данных у самого клиента. В этом случае мошенникам нужно выяснить первые шесть цифр номера карты (БИН — банковский идентификационный номер), и затем с помощью специальных программ попытаться сгенерировать оставшиеся цифры. В результат по карте проводятся онлайн-платежи, для совершения которых не требуется получение СМС-кода от банка. По данным исследования «Тинькофф», число БИН-атак в 2020 году выросло в три раза по сравнению с 2019-м.

Сколько денег украли мошенники

По данным Центробанка, за первое полугодие 2020 года мошенники провели около 360 тыс. несанкционированных операций, у клиентов было похищено около 4 млрд руб. В 2019 году мошенники совершили 577 тыс. операций на 5,7 млрд руб. ущерба.

По другим оценкам, масштаб проблемы серьезнее. К примеру, компания BrandMonitor оценивала сумму похищенных в 2020 году телефонными и онлайн-мошенниками средств россиян в 150 млрд руб.

Средний объем одного успешного хищения в 2020 году «Тинькофф» оценивает в 13,9 тыс. руб. — на 1,2 тыс. меньше, чем в 2019-м.

Что делать, если мошенники получили данные и сняли деньги с карты

1. Позвонить в банк, заблокировать карту, заявив о несанкционированном использовании средств

2. В офисе банка составить документ о несогласии с операцией

3. Подать заявление в полицию о краже денег с карты

Комментарий эксперта Дениса Калемберга, основателя и генерального директора компании SafeTech:

«Если реквизиты карты стали известны мошенникам, то в большинстве случаев они используют их для перевода на карты «дропов», выпущенные на поддельные или чужие паспорта. Обычно «дропы» снимают украденные средства в течение нескольких минут после перевода. Также для кражи нередко используются покупки техники в интернет-магазинах с последующей перепродажей.

Сделать покупку или перевод, зная только номер карты невозможно, но это не значит, что его можно сообщать кому угодно, ведь этот номер зачастую используется для восстановления доступа к мобильному банкингу. Для оплаты же запрашивается как минимум еще срок действия и имя владельца. Но в этом случае покупку можно будет оспорить и вернуть деньги, если не применялся код 3DSecure (обычно отправляется в СМС для подтверждения оплаты). Ответственность за принятие платежей без подтверждения лежит на интернет-магазине».

Можно ли вернуть похищенные средства

С 2014 года в России действует закон «О национальной платежной системе». Согласно ему, банк обязан вернуть похищенные деньги, но при соблюдении ряда условий со стороны клиента. В первую очередь клиент должен сообщить об операции не позднее суток с момента получения уведомления. По закону, банк должен вернуть деньги, если компрометация данных произошла не по вине клиента, то есть он соблюдал следующие условия:

• не сообщал мошенникам данные карты;
• не хранил пин-код вместе с картой / не записывал его на самой карте;
• не позволял фотографировать свою карту и т. д.

Служебное расследование банка может длиться не более 30 дней, а если операция международная — 60 дней. В случае доказанных нарушений со стороны клиента банк вправе не возвращать деньги. По статистике Центробанка за первое полугодие 2020 года, клиентам возместили лишь 12% похищенных средств. За 2019-й год — 15%.

«Если мошенники похитят все данные карты, плюс узнают код 3DSecure, то вернуть деньги будет крайне проблематично. Правила платежных систем в этом случае возлагают ответственность на клиента. Если же платеж прошел без подтверждения кодом, то шансы определенно есть. Также в последнее время получили распространение сервисы страхования от кражи с банковской карты.

Чтобы до минимума снизить риск потерять деньги, лучше не говорить никому по телефону реквизиты карт и коды из СМС, не вводить данные карт на сайтах, которым не доверяете на 100%, не скачивать мобильные приложения из непроверенных источников и пользоваться антивирусом. Но лучше всего — никогда не держать на пластиковой карте сумму больше той, с которой не жалко расстаться»,— советует Денис Калемберг.

Какими способами мошенники похищают деньги с карт. Как не стать жертвой

При хищении средств с банковских карт и счетов вернуть деньги сложно: за первое полугодие 2020 года возвращено только 12% украденного. Какие виды мошенничества распространены и как избежать кражи, разбирался РБК

За первое полугодие 2020 года мошенники украли у банковских клиентов с их карт и счетов 4 млрд руб., совершив более 360 тыс. несанкционированных операций. Из этой суммы банки смогли вернуть пострадавшим только 12,1% (около 485 млн руб.), а общий объем похищенных средств больше показателей аналогичного периода прошлого года на 39%.

Какие схемы мошенничества получили наиболее широкое распространение и как не стать их жертвой — в обзоре РБК.

Способы хищения денег с банковских карт

Самым распространенным способом мошенничества является социальная инженерия — методы обмана и введения клиентов в заблуждение с целью кражи денежных средств. По данным ЦБ, в первом полугодии 2020 года на нее пришлось 83,8% случаев от общего числа атак. Традиционно мошенники звонят банковским клиентам под видом «службы безопасности банка» или «службы финансового мониторинга» и сообщают о том, что по карте якобы совершена подозрительная операция. Под предлогом спасения денежных средств они заставляют клиента совершить ряд действий, чтобы украсть деньги с его счета. Контактную и персональную информацию о клиентах злоумышленники получают, покупая «слитые» базы в даркнете (теневой сегмент интернета. — РБК) либо находя их там же в свободном доступе. Также для убедительности они могут звонить с подменных номеров банков и других структур. Далее схема мошенничества развивается по нескольким сценариям.

• Мошенники выманивают платежные данные карты (16-значный номер, имя владельца, срок действия и трехзначный код на обратной стороне, а также код из СМС от банка) либо обманом узнают данные для входа в личный кабинет.
• Иногда мошенники в процессе звонка просят установить на телефон специальное приложение якобы для лучшей защиты — им оказывается программа удаленного доступа и управления, с помощью которой можно зайти в личный кабинет онлайн-банка жертвы и перевести оттуда деньги на свой счет.
• Программы удаленного доступа помогают не только украсть все имеющиеся деньги, но и оформить в мобильном приложении предодобренный кредит, если такой продукт предлагается клиенту, а затем вывести и заемные средства.
• Также во время звонка мошенники убеждают своих жертв снять деньги в банкомате и зачислить их на специальный счет для «спасения средств». Некоторые злоумышленники, «заботясь» о клиенте, заказывали своим жертвам такси до ближайшего банкомата.

В последнее время стали появляться более сложные схемы: к звонкам от «банковских работников» добавились звонки от «правоохранительных органов», которые «подтверждают», что кто-то пытается украсть деньги клиента, поэтому их надо спасти путем перевода на «безопасный» счет. Также злоумышленники начали звонить от имени бюро кредитных историй и сообщать, что обнаружили попытки оформления кредитов с использованием паспорта жертвы.

• Злоумышленники могут перевыпускать сим-карты, воспользовавшись ошибкой или недобросовестностью сотрудников салонов связи: для этого достаточно знать Ф.И.О. и номер телефона потенциальной жертвы. «Злоумышленник приходит в салон сотовой связи и просит перевыпустить сим-карту, в качестве документа предъявляет подделанные копию паспорта или доверенность. Получив желаемое, он устанавливает карту в телефон и пытается привязать этот номер к мобильному банкингу. Обычно для этого необходимо ввести одноразовые коды несколько раз», — описал типичный сценарий ведущий эксперт «Лаборатории Касперского» Сергей Голованов.

Во время пандемии и перехода многих процессов в онлайн-формат киберпреступники также активизировались в интернете, предупреждал ЦБ. По данным регулятора, за первое полугодие 2020 года мошенникам удалось украсть в интернете свыше 2 млрд руб., то есть более 50% из общего объема похищенных за этот период средств.

• Мошенники рассылают поддельные письма от магазинов, предлагая скидки на различные товары, или создают копии сайтов известных брендов. Таким образом они получают платежные данные карт, если клиент вводит их на мошенническом сайте. При переходе по ссылке в таком письме есть риск заразить устройство вирусом, который даст доступ ко всей информации на нем.
• Мошенники обещают интернет-пользователям крупную сумму выигрыша или выплаты, но перед этим просят заплатить небольшую «комиссию» либо осуществить «закрепительный платеж» (такой тип мошенничества называют скамом). Самыми распространенными видами таких преступлений в 2020 году, по данным «Лаборатории Касперского», стали рассылка сообщений на тему различных социальных выплат, в том числе связанных с коронавирусной инфекцией; создание сайтов с досками объявлений, сервисами доставки или заказа еды; сайты с опросами от имени якобы крупных компаний и брендов с обещанием вознаграждения. Размер фейковых выплат в объявлениях преступники не завышают, чтобы предложение казалось реалистичным. Когда человек проходит все этапы опроса или анкеты, его просят перевести «закрепительный платеж» (около 300 руб.) — никаких денег он не получает, а «комиссия» уходит злоумышленникам.
• Мошенники создают поддельные сайты банков, чтобы узнать данные для входа в личный кабинет.

По данным «Лаборатории Касперского», в 2020 году активно росли объемы телефонного мошенничества и скама. С января по ноябрь компания обнаружила почти 86 тыс. скам-ресурсов, из них 62,5 тыс. были заблокированы во втором полугодии. Особенно распространено такое явление в русскоязычном сегменте интернета. По подсчетам компании, потенциальный ущерб от мошенничества мог бы превысить 13 млрд руб., если бы каждая заблокированная попытка перехода пользователя на подобный ресурс повлекла за собой обман хотя бы одного человека.

В России в этом году среди всех входящих звонков с неизвестных номеров доля спама составила 63%, а доля звонков с подозрением на мошенничество — 5,9%. При этом злоумышленники активно пользовались технологией подмены номера. Чаще всего они указывали телефоны финансовых организаций, государственных учреждений или юридических лиц. «Люди проводят все больше времени с телефоном под рукой и чаще берут трубку. Но при этом возможность принять взвешенное решение в разговоре у них есть не всегда. Часто злоумышленники использовали актуальную новостную повестку, чтобы вызвать доверие у жертвы», — объясняет Голованов.

Как не стать жертвой мошенников

• В случае звонка от «сотрудника банка», который просит предоставить персональную информацию или совершить какие-либо действия, рекомендуется сбросить вызов и перезвонить в свой банк по телефону, указанному на банковской карте или на официальном сайте. Банки не звонят с просьбой предоставить персональные данные или номера карт, не просят коды из СМС для отмены операции или подтверждения транзакции. Не предлагают перевести деньги «для сохранности» на специальные счета или установить программы удаленного доступа и управления устройством (TeamViewer, AnyDesk, RMS, RDP, Radmin, Ammyy Admin, AeroAdmin).
• Для безопасности в интернете рекомендуется пользоваться антивирусными программами, не переходить по ссылкам в сообщениях, содержащих щедрые предложения или присланных незнакомцами, при входе в интернет-банк обращать внимание на наличие в адресной строке https:// и значка закрытого замка (это означает безопасное соединение). При оплате товара в интернете необходимо обращать внимание на страницу платежной системы, на которую должен перенаправлять сайт продавца для ввода платежных данных.
• Если вы обнаружили, что стали жертвой мошенников, необходимо сообщить об этом банку (в течение суток с момента получения уведомления о совершении перевода) и заблокировать платежные средства, к которым мошенники могли получить доступ. Затем надо обратиться в полицию с заявлением о совершении в отношении вас противоправных действий. После того как обращение было направлено клиентом, кредитная организация обязана рассмотреть его в течение 30 дней, если транзакция совершена внутри страны, или 60 — если списание произошло за ее пределами, говорит управляющий партнер юридической компании «Иккерт и партнеры» Павел Иккерт.

Однако вернуть деньги, которые были украдены с помощью социальной инженерии, сложно, так как потерпевший добровольно подтверждал операции по своему счету и у банка есть основания отказать в возврате средств, предупреждает юрист. Клиент может обратиться в банк с требованием заблокировать мошенническую операцию, но, как показывает практика, в подавляющем большинстве случаев в отсутствие документов, подтверждающих факт совершения мошеннических действий, банк, скорее всего, ответит отказом. «Этот отказ можно оспорить в суде, но опять же, как показывает практика, если вы подтвердили операцию списания сами в порядке, установленном банком, шансы минимальны», — добавляет Иккерт.