С днем рождения, вы ограблены

Первым, кто поздравил петербургского бизнесмена Игоря Новикова (имя и фамилия изменены) с днем рождения в середине февраля, стала компания МТС, абонентом которой он является около 20 лет. Вернее, Игорю показалось, будто это МТС: сообщение на электронную почту с логотипом сотового оператора пришло в 5:37 утра и стало первым, что он увидел, когда проснулся. Адрес отправителя mail@birthday.mts.ru сомнений не вызывал, а текст полностью соответствовал настроению: «Игорь, с днем рождения! Спецпредложение только для вас: пополни сегодня счет мобильного и получи в 2 раза больше!» Именинник нажал «пополнить данный номер телефона» и лишился 10 тыс. рублей.

Когда счет его телефона не увеличился, Игорь обратился в службу поддержки МТС с логичным вопросом: как же так? И получил непраздничный ответ: «Со стороны МТС таких рассылок не было». Далее шло разъяснение: «Рекомендуем прежде всего обращать внимание на способ оплаты или адрес перевода денег. В наших акциях мы используем только собственные сервисы для пополнения счета. Это приложение «Мой МТС», сервис «МТС Деньги», магазины МТС. Если для участия в акции МТС вам предлагают пополнить счет через сторонние сервисы, не стоит этого делать».

Трудно представить, что платеж предлагается совершить через сторонние сервисы, когда после нажатия кнопки «пополнить» попадаешь на страницу с символикой МТС и полным комплектом реквизитов банковской карты, с которой Игорь пополняет свой абонентский счет сотового оператора.

Ситибанк, услугами которого Игорь пользуется, рассказал ему о судьбе 10 тыс. рублей, так и не появившихся на счету его абонентского номера МТС.

«Мы завершили расследование по Вашему заявлению об оспаривании операции на сумму 10 тыс. рублей, совершенной февраля 2023 года в торговой точке «PAY.MTS.RU TOPUP 5722» Согласно документам, предоставленным торговой точкой, платеж был проведен с принятием абонентом оферты на номер, указанный в запросе Платеж зачислен на лицевой счет абонента своевременно. После этого денежные средства были выведены со счета в пользу третьих лиц», — написано в письме Ситибанка.

Проще говоря, с точки зрения банка, Игорь Новиков получил в свой день рождения предложение подарить какому-то другому абоненту МТС 10 тыс. рублей, что он и сделал. Номер целиком в пришедшей в 5:37 утра «оферте», напомним, был указан не полностью: «+7 911 0******» с уточнением «частично скрыт в целях безопасности».

«Я понимаю, что стал жертвой жуликов и, как говорится, сам дурак. К ним у меня претензий нет, преступники для того и существуют, чтобы совершать преступления. Но они использовали совокупность моих персональных данных, которые я доверил сотовому оператору: фамилию, имя, отчество, дату рождения, номер мобильного телефона. Хотелось бы понять, откуда они взяли эти данные», — говорит бизнесмен.

Претензии Игорь Новиков адресовал в петербургскую прокуратуру, по указанию которой 25 марта следственное управление ГУ МВД России по Выборгскому району Петербурга возбудило уголовное дело по части 2 статьи 159 Уголовного кодекса (мошенничество, совершенное группой лиц по предварительному сговору). Статья предусматривает до 5 лет лишения свободы, осталось только найти виновных.

Начальник отдела информационной безопасности «СёрчИнформ» Алексей Дрозд полагает, что это будет непросто. Эксперт объяснил, что на самом деле произошло, когда Игорь Новиков решил получить подарок на свой день рождения:

«Уже в самом письме был подвох — кнопка «пополнить данный номер телефона», которую не следовало нажимать. Она ведет на поддельный сайт. Это легко увидеть, если смотреть письмо на компьютере, навести курсор на эту кнопку, но не нажимать ее. Согласитесь, адрес в появившемся окне совсем не похож на mail@birthday.mts.ru, который виден в строке адреса отправителя интерфейса Gmail. Почтовые сервисы создавались давно, когда таких мошенничеств не было, поэтому сами по себе они плохо защищены. Сделать так, чтобы получатель письма увидел не тот адрес, с которого оно на самом деле отправлено, технически простая задача. Неудивительно, что Игорь Новиков нажал кнопку «пополнить данный номер телефона» не глядя, на что и рассчитывали мошенники.

Зайдем в свойства письма (кнопка «показать оригинал» в инструментах Gmail). Там огромное количество специальных символов, в которые лезть не нужно — достаточно посмотреть вторую строчку. Это маршрут возврата письма на случай, если что-то пойдет не так. Взгляните на неё, я специально выделил, очень уж она не похожа на доменное пространство МТС. Мошенники могли бы напрячься и спрятать адрес, но, надо полагать, не стали заморачиваться, поэтому тут мы видим настоящий адрес, с которого пришло их письмо.

Чуть ниже можно увидеть уникальный идентификатор, который показывает сервер, обслуживающий этот почтовый адрес. Расследующие уголовное дело сотрудники полиции должны выяснить, где он хостится, и запросить у владельца хостинга данные пользователя, включая платежные документы, с помощью которых он с ним расплачивался. Нажав кнопку «пополнить данный номер телефона», Игорь Новиков перешел на страницу какой-то непонятной созданной мошенниками платежной системы, которую, благодаря интерфейсу, легко принять за платежную систему МТС. Но посмотрите внимательно на адрес в браузере, я выделил его. К МТС он точно никакого отношения не имеет. Это некая зона с расширением .online, владельцу хостинга которой полиции также придется отправить запрос. Нажав на кнопку «оплатить», Игорь Новиков попал на реальную платежную систему, которая благополучно отправила его 10 тыс. рублей на счет какого-другого абонента МТС. Вот этого абонента российская полиция, скорее всего, сможет найти — как минимум установит его данные.

Не удивлюсь, если оба хостинга располагаются за границей, причем в недружественных странах, а их владельцы попросту проигнорируют интерес российской полиции».

По словам Алексея Дрозда, следует различать действия преступников, похитивших деньги потерпевшего, и получение ими его персональных данных.

«Да, мошенники могли получить персональные данные Игоря Новикова от недобросовестного сотрудника МТС, но это вовсе необязательно. Они могли собрать их и из разных утечек. Только по официальной статистике за 2022 год в России утекло 2 млрд записей персональных данных. Всего киберпреступники обнародовали 168 баз данных российских компаний», — говорит эксперт.

Ознакомившись с выводами эксперта, Игорь Новиков уточнил: социальными сетями он не пользуется, поэтому очень рассчитывает, что расследующие уголовное дело сотрудники полиции найдут источник утечки его персональных данных.

Специализирующаяся на уголовной практике адвокат Марина Белинская удивлена самим фактом возбуждения такого уголовного дела.

«Это стопроцентный «глухарь». Предположим, полиция найдет абонента МТС, на чей счет пришли похищенные деньги, и даже найдет третье лицо, кому они оттуда отправились. Эти люди скажут, что киберпреступники использовали их втёмную. Даже если не так, обратное не доказать. Поиск же источника утечки персональных данных вообще бесперспективен. Теоретически за их утечку из любой компании ответит лицо, если оно будет установлено, но после первого же прецедента заявления в прокуратуру полетят миллионами. Я не представляю себе, чтобы это дело дошло до суда», — говорит адвокат.

По словам Марины Белинской, российское законодательство в сфере защиты персональных данных несовершенно, за сам факт утечки персональных данных компании несут символическое наказание — до 500 тыс. рублей штрафа по статье 13.11 КоАП РФ. Это несущественная сумма для крупной корпорации.

Впрочем, 30 марта Национальный совет финансового рынка (НСФР) совместно с представителями кредитных организаций разработали и направили председателю комитета Госдумы по финансовому рынку Анатолию Аксакову законопроект о борьбе с фишинговыми сайтами. Документ вводит понятие «подменный ресурс» и предполагает включение в процесс борьбы с мошенническими сайтами государственной информационной системы, предназначенной для противодействия фишинговым ресурсам (ГИС «Антифишинг»). Предлагается разрешить жаловаться на фишинговые сайты всем желающим, а ответственный федеральный орган должен будет проверить жалобу за один день. По словам участников рынка, эта мера может ускорить блокировку мошеннических сайтов, но не может сделать ее мгновенной, чтобы избежать ошибок и злоупотреблений.