Особенности банковского обслуживания в Украине (и не только)

[Tabbycat]

Злоумышленники вскрывают интернет-банкинг через мобильные платежные системы
[Ссылки могут видеть только зарегистрированные пользователи. ]

Мошенники начали воровать деньги с банковских счетов украинцев через мобильные платежные системы. О новой авантюре с одной из таких систем - Vodafone Pay UBR.ua рассказал организатор форума G-news Сергей Горбачевский.

Схема состоит в следующем:
Злоумышленники специальными программами подменяют свой номер телефона на телефон жертвы (при звонке с одного номера высвечивается подставной).
Обращаются с call-центрами от имени клиента, узнают PUK-код сим-карты (он значится на пластиковом холдере, к которой прикреплена симка во время покупки или же его можно подсмотреть на холдере).
С помощью полученной информации мошенники перевыпускают карту абонента.
Если к номеру телефона привязана мобильная платежная система, а к ней в свою очередь банковские карты - со всех счетов деньги уводятся на карту мошенников, которая также подвязывается к системе.
Сначала деньги с карточных счетов переводят на мобильный счет (на припейде может быть не более 15 тыс. грн.), а потом на банковскую карту мошенников. И так пока не снимут все деньги с банковских и мобильного счета. Главная цель здесь, конечно же, именно банковские счета, поскольку на них хранится значительно больше денег, чем на балансе телефона.

Один из таких случаев приключился с абонентом Vodafone Украина. По словам Горбачевского, от рук мошенников в мае этого года пострадала девушка. У нее украли все деньги с карточек, которые были привязаны к Vodafone Pay, а также сняли средства с мобильного счета.

«Зная мобильный номер жертвы, мошенники звонят в call-центр оператора, и скорее всего узнают PUK-код. Там видят, что звонит клиент, который просит помочь с восстановлением кода, и ему его называют. Подменяют номер с помощью Skype или SIP (технология интернет-телефонии) - это ядро многих мошеннических схем. Так же звонят мошенники «из банка». Жертва видит номер поддержки банка и начинает доверять, отвечать на нужные вопросы. То же самое и здесь. Мошенники звонят от имени клиента, якобы с его номера. Каким-то образом завладевают PUK-кодом, дальше, удаленно восстанавливают реальный номер жертвы, получают дубликат сим-карты. После чего ставят на смартфон Vodafone Pay, к которому подвязана одна или несколько банковских карт», - говорит Горбачевский.

Сам же оператор ответил пострадавшей девушке на ее обращение, что карту перевыпустили правомерно, получив перед этим все необходимые подтверждения личности владельца симки (а именно, PUK-код).

Деньги с карточных счетов стали воровать через мобильники. Vodafone Pay взломали - фото 2

Правда, как заверили UBR.ua в пресс-службе Vodafone Украина, для подтверждения личности одного лишь звонка с номера телефона клиента недостаточно. Нужно назвать дополнительные данные, которые знает только абонент. Например, могут поинтересоваться куда он последние несколько раз звонил. Но этим перечень вопросов не ограничивается, заверили нас в Vodafone.

Чтобы не облегчать работу мошенникам, UBR.ua не будет оглашать возможный перечень вопросов для идентификации клиента. Также в Vodafone нас заверили, что разбираются с подробностями из указанного выше письма.

Что у других операторов
С другой стороны, эксперты отмечают, что сотрудники операторских центров не сильно дотошно расспрашивают клиентов о личных данных при замене симок. По их словам, вполне возможно восстановить номер зная последние пополнения и историю исходящих-входящих звонков. И если мошенник получает доступ к номеру, то PUK-код ему уже не нужен. Он просто восстанавливает доступ к Vodafone Pay.
Также мошенник может завладеть самим карт-холдером жертвы (на котором указан PUK).

«Допустим, человек вышел из центра обслуживания клиентов и выбросил всю документацию из-под симки, в том числе холдер. Тем самым номер автоматически может быть подвергнут восстановлению со стороны мошенников. Он позвонит в call-центр или пойдем в центр обслуживания клиентов, скажет, что утеряна симка, а холдер сохранился. Так тоже можно без особого труда восстановить номер, особо ничего спрашивать не будут», - подчеркнул UBR.ua эксперт информационного сообщества «MZU - Мобільний зв'язок України» Олег Свистун.

Теоретически такие схемы возможны и у других операторов, говорят эксперты. У lifecell - через платформу PayCell, у Киевстар - это «Киевстар смарт деньги». Но алгоритмы работы у них могут быть разные и с другой степенью защиты. К тому же, если такие случаи и были, они, естественно, не афишируются. Но и бреши стараются закрывать максимально быстро. Остается надеется, что случаи с Vodafone Pay не будут массовыми.

Доказать, провел ли работник мобильного оператора полную процедуру идентификации клиента - очень сложно, говорят эксперты. Убедиться в этом можно лишь прослушав записи разговора или с камер наблюдения (если таковые были и фиксировали момент идентификации клиента).

«В ином случае имеет место слово против слова, а это простор для злоупотреблений со стороны сотрудников. Перенесли номер на другую карту без лишних вопросов, а при расследовании сказали, что заявитель ответил на все вопросы. Я допускаю, что никто и не называл PUK-код в действительности, а имел место сговор мошенников с сотрудником центра обслуживания абонентов. Еще один вполне возможный вариант - PUK-код с помощью приемов социальной инженерии выяснили у самой жертвы, о чем она либо забыла, либо предпочитает не вспоминать», - подметил UBR.ua телеком-эксперт Роман Химич.

Как защититься
Самое первое, что можно сделать для защиты от таких махинаторских схем - это регистрация номера на физлицо. Или же использовать контрактную форму подключения к оператору. Хотя и это не панацея, говорят экспертs.

Самим операторам стоит усиливать защиту доступа конкретно к мобильным платежным система. Здесь поможет 2-х факторная защита, кодовое слово, пин-код вместе с кодом из смс и т.д.

«Персонификация номера не является панацеей, поскольку есть техническая возможность подать паспорт с переклеенной фотографией или вовсе фальшивый, можно обратиться с доверенностью. Однако персонификация, в любом случае, означает сильную правовую позицию пострадавшей стороны. Тогда можно требовать от оператора компенсацию ущерба, вызванного неправомерным переносом номера на другую сим-карту. Сам факт персонификации означает для злоумышленников повышенные риски и дополнительные издержки. Поэтому риски противоправных посягательств на номер все же будут меньше», - резюмировал Химич.

[Bad]

Рекламные ссылки:

Сообщение от Tabbycat

узнают PUK-код сим-карты (он значится на пластиковом холдере, к которой прикреплена симка во время покупки или же его можно подсмотреть на холдере).

Яким чином, я вже не знаю де той холдер по будинку мігрує, сам би хотів підгледіть, але знову ж не знаю де він (холдер)

Сообщение от Tabbycat

Зная мобильный номер жертвы, мошенники звонят в call-центр оператора, и скорее всего узнают PUK-код.

Цікаво яким чином узнають PUK-код?

Сообщение от Tabbycat

Каким-то образом завладевают PUK-кодом

І все ж хотілося б дізнатися про цей "образ"

Сообщение от Tabbycat

карту перевыпустили правомерно, получив перед этим все необходимые подтверждения личности владельца симки (а именно, PUK-код)

Це не відбудеться без відповідей на вищевказані питання...

Сообщение от Tabbycat

Чтобы не облегчать работу мошенникам, UBR.ua не будет оглашать возможный перечень вопросов для идентификации клиента

смішно звучить - всі питання відомі для тих хто хоть раз відновлював сімку...

Сообщение от Tabbycat

Что у других операторов
С другой стороны, эксперты отмечают, что сотрудники операторских центров не сильно дотошно расспрашивают клиентов о личных данных при замене симок. По их словам, вполне возможно восстановить номер зная последние пополнения и историю исходящих-входящих звонков. И если мошенник получает доступ к номеру, то PUK-код ему уже не нужен. Он просто восстанавливает доступ к Vodafone Pay.

До Vodafone Pay можна підключиться і з другого оператора окрім Vodafone?

Сообщение от Tabbycat

Также мошенник может завладеть самим карт-холдером жертвы (на котором указан PUK)

Аплодую стоя, бравісімо!!!

Сообщение от Tabbycat

«Допустим, человек вышел из центра обслуживания клиентов и выбросил всю документацию из-под симки, в том числе холдер. Тем самым номер автоматически может быть подвергнут восстановлению со стороны мошенников. Он позвонит в call-центр или пойдем в центр обслуживания клиентов, скажет, что утеряна симка, а холдер сохранился. Так тоже можно без особого труда восстановить номер, особо ничего спрашивать не будут», - подчеркнул UBR.ua эксперт информационного сообщества «MZU - Мобільний зв'язок України» Олег Свистун.

В натурі Свистун, пацталом від таких "умозаключений"

ІМХО якась нісенітниця, а не схема...

[Tabbycat]

Сообщение от Bad

Цікаво яким чином узнають PUK-код?

Шляхом дзвінка в кол-центр. Була ситуація: далеко від дому глюканув телефон дружини. Витягнув акумулятор, вставив, а дружина забула пін-код. Я зі свого телефона дзвоню в кол-центр Лайф, пояснюю ситуацію. Було лише два запитання: 1 - сума останнього поповнення і 2 - номери останніх викликів.
Відповідаю - поповнив (приблизна дата), останні 5 дзвінків лише на мій номер.
Продиктували пін-код і PUK-код.
Шахраї можуть і поповнити телефон жертви, і ініціювати дзвінок жертви на певний номер (наприклад смс-кою).

[Okuma]

Не надо узнавать никаких PUK кодов. Просто перевыпускаете на себя новую симку онлайн вместо якобы утерянной, старая симка жертвы блокируется. Там все очень просто и со стороны операторы работает через задницу. Просто ставите себе приложение водафона и в настройках запрещаете удаленный перевыпуск симки.

[Tabbycat]

Серж Гатилов (Facebook)
Разводка «лохов» продолжается ...
/Одна из историй из чата в WhatsApp/

Банкомат в уличном стеклянном «скворечнике». Я стою на улице, жду, когда освободится терминал. Тетка выходит — я захожу. Вижу, что она карту забыла в терминале, я ее окрикиваю.

Т: Достаньте карту пожалуйста.
Я: Пройдите возьмите сами.
Т: Здесь тесно, мне не пройти.

Я выхожу из этого скворечника.
Я: Пожалуйста, проходите и забирайте карту. У вас мало времени.
Т: Тебе трудно что ли было карту подать?
Я молчу. Банкомат уже пиликает последние секунды.

Т: Ну иди принеси мне кату, у меня нога болит, мне тяжело ходить.
Я молчу. Заходит, нехотя сама забирает. Выходит и чего-то бурчит матерными словами.

Из-за угла выходят пара мужичков и спрашивают все ли у нас хорошо.
Я: Все хорошо, полиция уже едет.

Схема развода как с найденным кошельком. Только вместо кошелька забытая карта в банкомате. Дальше разводка лоха по стандарту:
«На карте было больше денег, ты последний ее в руках держал, на ней твои отпечатки». Мужички — свидетели, которые «все видели». В общем, ничего нового.

Что делать?

Если увидели забытую карту в банкомате — не доставайте её. Дождитесь, пока он ее не съест, или пусть владелец сам ее вытащит. Не нажимайте кнопок отмены. Компания мужичков-свидетелей будут давить на то, что вы перед банкоматом стояли, на клавиатуру нажимали, отпечатки ваши есть, они все видели.