Антивирусная правДА!TM

seshanba, 31-yanvar, 2023

В этом выпуске «Антивирусной правды» мы хотим поделиться с читателями реальной историей о том, как один человек попался на очередную удочку сетевых мошенников. Технология этого обмана проста, но в то же время достаточно примечательна, чтобы посвятить ей отдельный материал. В наших выпусках мы часто поднимаем тему мошенничества в сети, так как, к сожалению, число подобных инцидентов остается стабильно высоким. Слишком доверчивые или неопытные пользователи — излюбленная мишень злоумышленников. При этом мошенники продолжают использовать по сути одни и те же приемы, меняя лишь декорации. Как говорится, зачем менять то, что работает? Но обо всем по порядку.

Чтобы выпуск получился более живым, будем вести повествование в хронологическом порядке, без явного указания на мошенничество. Лишь в конце мы прокомментируем основные приемы злоумышленников. Уверены, что большинство наших читателей обнаружит обман на первом же этапе. Но тем интереснее им будет наблюдать за развитием событий в деталях. Разрешение на обнародование рассказа от героя этой статьи получено, все имена изменены, а любые совпадения — случайны.

Этап первый. Неожиданное знакомство

Марк — далеко не глупый человек, который живет вполне обычной жизнью. С появлением накоплений у него возникло желание инвестировать, чтобы имеющиеся деньги начали приносить некоторую прибыль. Также у Марка есть свободное время для дополнительного заработка.

Однажды Марк получает СМС с китайского номера, в котором некая девушка по имени Марта по-русски сообщает, что ее сестра Элиза ищет друзей, так как совсем скоро приедет в Россию. Ниже Марта предлагает написать Элизе в Telegram и прикрепляет ссылку на профиль сестры в мессенджере. Обычно Марк не пишет незнакомым людям, но в этот раз ему стало любопытно — возможно потому, что девушка была из Китая. Стоит заметить, что изначальное сообщение было явно переведено с китайского на русский при помощи автоматического переводчика. На фотографии профиля Элизы красовалась девушка, лица которой не было видно, так как фото было сделано со спины.

Марк написал Элизе и был приятно удивлен, что та довольно быстро ответила. Завязалась переписка, при этом Элиза явно пользовалась онлайн-переводчиком. Иногда она по ошибке отправляла иероглифы, видимо забывая переводить текст на русский. Выяснилось, что она — успешный дизайнер из Гонконга, а в Россию прилетает по делам. Затем Элиза сообщила, что она очень неплохо зарабатывает, так как имеет свой магазин на китайской торговой платформе Shein. Ассортимент товаров в маркетплейсе был очень широким — от повседневной одежды до цифровой электроники. Судя по общению, Марк явно понравился девушке: она предложила ему попробовать свои силы и открыть свой магазин, так как платформа как раз начала сотрудничество с пользователями из России. По сути — это было индивидуальное предложение, и Марк очень порадовался, что ему удалось заручиться таким доверием. К тому же на словах условия были очень выгодными, а дополнительный заработок никогда не помешает. Элиза прислала ему ссылку на сайт маркетплейса, в котором нужно было вести дела, и показала, как пользоваться платформой. Все было готово к работе.

Этап второй. Начало работы

Элиза вкратце описала схему работы. Сперва Марку нужно было зарегистрироваться на сайте и открыть свой магазин. После этого он мог выставить на продажу доступные ему товары и ждать заказов. Покупатели заказывают тот или иной товар, а задача Марка — обработать заказ. Под обработкой подразумевался выкуп товара по стоимости примерно на 30% меньше номинальной. После того как посылка доходит до получателя, заказ закрывается, а на счет Марка поступает полная стоимость товара, который при получении оплачивает покупатель. Такая схема работы с клиентами была выбрана неслучайно — ведь нужно подогреть интерес покупателей к новой платформе. И в теории получается неплохая прибыль! Например, заработок с одного заказа в 20 000 рублей составлял 6000, так как Марк выкупал его за 14 000. Самое интересное, что заказов за один день может быть несколько. Имея уже накопленную сумму, с такой подработкой можно относительно быстро удвоить или даже утроить ее. Немного подумав, Марк согласился. Для регистрации магазина нужно было получить персональный идентификатор, поэтому необходим был подтверждающий личность документ. Элиза сказала, что для загрузки на сайт подойдет скан-копия российского паспорта. Когда все было готово, Марк начал работу, а его новая знакомая постоянно была на связи, чтобы помочь сделать первые шаги в этом бизнесе.

После того как Марк зарегистрировал свой магазин, Элиза дала ему контакт официальной технической поддержи Shein, которая помогает продавцам решать различные вопросы. Общение со специалистами также велось в Telegram. Очевидно, это тоже были граждане Китая, так как общались они аналогичным способом — через онлайн-переводчик.

Пришло время вносить первую порцию личных средств, чтобы обработать поступивший заказ. Тот был небольшой, так что и сумма оказалась незначительной. В техподдержке Марку подробно рассказали, как вносить деньги на свой баланс. Это делалось через личный кабинет на сайте через специальную форму оплаты. Сотрудник поддержки также проконсультировал Марка, как подавать запрос на вывод средств. Все входящие переводы для удобства осуществлялись прямо на карту.

Первая сделка прошла успешно, и на баланс Марка на сайте поступила обещанная сумма денег. Разумеется, как любой здравомыслящий человек, Марк решил попробовать вывести эти деньги, чтобы проверить работоспособность схемы. Проконсультировавшись с поддержкой, он выполнил все необходимые действия на сайте. И каково же было его облегчение, когда на счет его карты действительно пришла соответствующая сумма. «Схема работает!» — подумал Марк, и теперь уже с полной уверенностью, продолжил работу. Элиза тем временем продолжала подогревать его интерес, делясь своими успехами на поприще чудо-маркетплейса.

Этап третий. Первые сложности

Прошло уже две недели с момента начала сотрудничества с новым работодателем. Марк успел вложить немалую сумму личных средств, но и его виртуальный баланс пополнился весьма значительно. Заказы продолжали стабильно поступать, при этом каждый раз нужно было «обрабатывать» все более дорогие товары. Марк пытался грамотно управлять своим магазином, но в один момент ему стали доступны только дорогие товары, которые он уже не мог выкупать. Техподдержка сообщила Марку, что необработка заказов чревата жалобами от клиентов. В качестве решения предлагалось закрыть магазин, после чего вывести вложенные деньги и полученную прибыль, а затем открыть новый магазин и новый счет на сайте. Через сотрудника техподдержки Марк запросил закрытие магазина и вывод средств. Элиза, в свою очередь, продолжала интересоваться, как идут дела, и удалось ли ему получить свою первую крупную сумму денег от маркетплейса.

Предлагаю дождаться пока весь товар будет доставлен, вывести все средства на банковскую карту, а потом снова открывать магазин.

Здравствуйте, ваша посылка была полностью доставлена, и теперь вы можете инициировать снятие всех средств. Затем снова откройте магазин, я помогу вам закрыть старый магазин.

Финансовый персонал только что уведомил меня, что ваша заявка на вывод средств принята, и банк может перевести вам деньги после уплаты НДФЛ. НДФЛ по ставке 20% от прибыли.

Я попрошу финансового парня выслать вам идентификационный номер налогоплательщика позже. Тогда вы можете заплатить. Вам необходимо заплатить НДФЛ.

Выше процитированы некоторые сообщения (без указания конкретных сумм), которые получил Марк после запроса на закрытие магазина. Таким образом, он должен был заплатить значительную комиссию, чтобы получить не только прибыль, но и собственные деньги, потраченные на обработку заказов. В этот момент Марк впервые по-настоящему засомневался в тех, кому он отправляет свои деньги. Но делать было нечего, все уже случилось, и Марк решил рискнуть менее крупной суммой — ведь надежда умирает последней.

Закономерный итог

После оплаты комиссии Марк написал в техническую поддержку и ждал скорого входящего перевода на свою карту. В ответ он получил сообщение, что его перевод получен, и теперь надо подождать 24 часа. Элиза же продолжала оставаться на связи и говорила, что ему не о чем беспокоиться. На следующий день Марк вновь написал в поддержку, но ответа не получил. 24 часа истекли, при этом никаких движений по его карте так и не было. Элиза также перестала отвечать, хотя и не стала добавлять его в черный список. Личный кабинет на сайте продолжал предлагать заказы, равно как и отображать его виртуальный баланс. Через несколько дней сайт ожидаемо перестал открываться, а Элиза и техподдержка перестали заходить в мессенджер. Ловушка захлопнулась одновременно с первым входящим переводом с Qiwi-кошелька, имитирующим вывод средств. Далее все зависело от платежеспособности «клиента» мошенников.

Реализация и детали схемы

Да-да, вы не ослышались. Входящий перевод, представленный как вывод средств, был осуществлен с Qiwi-кошелька. На данном этапе можно было заподозрить неладное, но дело в том, что во всей схеме до этого момента были десятки признаков, буквально кричащих о том, что все это мероприятие — мошенничество. Описанный случай примечателен тем, что наш герой нарушил буквально все основные заповеди интернет-безопасности. Давайте разберем некоторые признаки — ведь лучше учиться на чужих ошибках. Это бесплатно.

Первое, что бросается в глаза — это, конечно же, спам-рассылка с китайского номера. В случае с Марком сработала социальная инженерия — все-таки мошенники не пошли напрямую в лоб с обещанием гигантского заработка прямо в СМС. Здесь мы можем наблюдать более «творческий» подход и более индивидуальную работу с жертвой. Разумеется, мошенники не были китайцами. Зарегистрировав несколько аккаунтов в Telegram на виртуальные китайские номера, злоумышленники подражали настоящим китайцам, с которыми вы могли общаться, например, на AliExpress. При этом, на наш взгляд, их выдавали знаки препинания, расставленные в том числе по типичным правилам русского языка (пусть и с ошибками). Самым правильным решением для Марка было бы на первом же этапе удалить сообщение, параллельно сообщив о спаме.

Второе — первичная работа с жертвой со стороны «Элизы». Перед «уникальным» предложением мошенник сперва создал иллюзию знакомства и завоевал расположение к себе. Интересным подходом видится копирование в чат случайных иероглифов. Таким образом укреплялась уверенность жертвы в том, что с ней общается настоящая Элиза из Китая. Марк доверился мошеннику в том числе потому, что не сомневался в незнакомой девушке. После этого предложение о работе воспринималось Марком не как очевидная уловка, а как своего рода удача. В этот момент жертва была уже на крючке. Правильно было бы сохранить критическое мышление и трезво оценить ситуацию.

Как только стало понятно, что с жертвой можно работать, мошенники прислали ссылку на фишинговый сайт, маскирующийся под торговую платформу Shein. Самый очевидный признак обмана — URL сайта: ussheim668[.]com. Здесь мы видим типичный адрес фишингового сайта. Но, как говорилось выше, на данном этапе жертва перестала мыслить критически. Кроме того, сказалось отсутствие базовых знаний интернет-безопасности. Перейдя по такой ссылке, Марк нарушил первое правило поведения в сети — не переходить по подозрительным ссылкам.

Теперь о самом сайте. Он маскировался под официальный сайт платформы Shein, но был сделан крайне топорно. Например, в разделе с политикой конфиденциальности фигурировал текст, украденный с сайта компании Adidas. Переключение языков работало неполноценно. Ссылка на якобы официальное приложение вела на отдельную страницу, которая маскировалась под каталог AppStore. При этом на странице пользователю предлагалось скачать APK-файл для установки фальшивого приложения на Android. Та же самая страница открывалась и при запросе приложения для устройств Apple, что является абсурдным.

Вместе с тем, по меркам подобных сайтов, мошенникам удалось создать достаточно правдоподобный ресурс. Работали каталог товаров с базовой навигацией, корзина, регистрация, а также личный кабинет. Следует помнить, что, как правило, на фишинговых сайтах работают только те функции, которыми жертва действительно будет пользоваться. В нашем случае расчет злоумышленников был на то, что текст политики конфиденциальности читать никто не будет, а также на то, что, переходя по столь подозрительным ссылкам, жертва уже висит на длинном крючке. Следует отметить, что по данным сервиса whois, сайт был зарегистрирован на малазийское юридическое лицо, не на частное. На момент начала «сотрудничества» с Марком фишинговый ресурс работал около двух недель.

В случае с Марком мошенникам удалось украсть не только деньги, но и данные паспорта жертвы. Как рассказывалось выше, для регистрации магазина Марку нужно было загрузить некий документ, якобы для создания персонального идентификатора. Поскольку «Элиза» непосредственно помогала жертве пройти регистрацию, она подчеркнула, что Марк должен загрузить свой настоящий документ и что это может быть паспорт. Более того, в созданном профиле жертва могла указать ссылки на свои социальные сети. В итоге получался значительный набор данных, собираемых злоумышленниками. Стоит отметить, что в поле для загрузки документа можно было загрузить любой «мусорный» текстовый файл. Проверка загружаемого файла на сайте отсутствовала, равно как и проверка остальных вводимых данных, вроде адреса электронной почты. Это говорит о том, что «случайных» людей на платформе не должно было быть — всех жертв мошенники вели персонально.

Примечательна и схема работы в личном кабинете. Все жертвы направлялись по одному и тому же сценарию — от дешевых товаров к дорогим. На сайте работал однотипный скрипт, который со временем генерировал все более дорогие товары. Решение «изящно» тем, что заработок мошенников зависел от платежеспособности жертвы. Параллельно с Марком вели работу «Элиза» и «техподдержка», чтобы тот не успел заподозрить неладное.

Особого упоминания заслуживает механизм пополнения виртуального баланса. Для этого жертва перенаправлялась на отдельный сайт, который маскировался под платежный шлюз. На самом деле это была статичная страница, подконтрольная злоумышленникам. Жертва вводила сумму пополнения, после чего страница генерировала номер карты и предлагала перевести эту сумму по номеру карты частному лицу через свой банк. Тем самым Марк нарушил второе правило — не отправлять денежные переводы неизвестным лицам. При этом для каждого запроса генерировались разные номера карт, а после перевода номера карт были уже недоступны в платежных документах банка.

В своей схеме мошенники также применили типичную уловку — для затравки позволили жертве вывести некрупную сумму денег. Убедившись, что все работает, Марк отправлял злоумышленникам свои деньги с большей уверенностью. Разумеется, все последующие переводы он терял, а заработок никогда не подразумевался.

Наконец, Марк нарушил третье правило — перевел деньги для оплаты комиссии, чтобы «спасти» вложенные деньги. Мошенники знали психологию и намеренно давали понять, что неоплата комиссии приведет к «сгоранию» денег на виртуальном балансе. Тем самым они поторапливали жертву. В данной сложной ситуации также очень тяжело проявить критическое мышление и вспомнить о том, что комиссия должна быть учтена в самом переводе. Кроме того, Марк оказался в ситуации «пан или пропал» и решил рискнуть. Поэтому такой прием можно назвать классической уловкой злоумышленников, которая, увы, по-прежнему отлично работает.

Мошенническая схема с использованием фальшивых маркетплейсов в последнее время стала очень распространена. В этой статье мы описали настоящий кейс, чтобы в деталях показать, как происходит обман жертвы. О масштабах подобных киберпреступлений остается только догадываться. На фоне экономической ситуации можно спрогнозировать дальнейший рост сетевого мошенничества, так как многие активно ищут пути для дополнительного заработка, чем и пользуются злоумышленники, предлагая легкие способы преумножить капитал.