Xakep #305. Многошаговые SQL-инъекции
В Сбербанке рассказали, что злоумышленники продолжают изобретать новые способы обмана пользователей. Так как звонки из «службы безопасности банка» перестали воспринимать всерьез, теперь мошенники создают фейковые сайты, на которых якобы можно проверить, действительно ли звонящий является настоящим сотрудником банка или полиции.
Исследователи «Сбера» обнаружили один из таких сайтов — «Единый государственный реестр», который якобы принадлежит Банку России. Мошенники уверяют жертв, что это официальная база данных, содержащая сведения о сотрудниках российских банков. Сайт содержит фотографии реально существующих публичных деятелей из банковской сферы, а также ссылки на официальные сайты известных банков и портал «Госуслуги».
Новая схема обмана выглядит следующим образом: первый мошенник звонит жертве и представляется сотрудником Следственного комитета РФ, после чего сообщает, что деньги на ее счетах находятся в опасности. Якобы для их спасения нужно будет действовать по инструкции так называемого специалиста Банка России.
После этого фальшивый следователь переводит разговор на второго мошенника. «Специалист Банка России» предлагает жертве убедиться в достоверности сообщаемой информации, для чего предлагает зайти на сайт «Единого государственного реестра», где якобы можно проверить «личный идентификатор сотрудника».
После ввода на мошенническом сайте некоего номера, названного мошенником, жертва видит должность, информацию о квалификации и другие выдуманные характеристики фиктивного «работника Банка России». Чтобы усилить эффект, скамер предлагает ввести «идентификатор для проверки клиента»: после такого запроса клиент видит поддельную информацию о попытках мошенничества с его денежными средствами и рекомендацию следовать инструкциям сотрудника, который с ним связался.
После этого мошенник убеждает клиента оформлять кредиты в разных банках для того, чтобы «отменить займы, которые пытаются взять от его имени злоумышленники», и перевести взятые в кредит деньги на «безопасный счет», на самом деле, разумеется, принадлежащий самим преступникам.
«Когда вы получаете телефонные звонки о необходимости проведения каких-либо операций с вашими денежными средствами, будьте бдительны. От чьего бы имени вам ни звонили с сообщением о том, что с вашей картой или счётом проводятся подозрительные или несанкционированные операции, — сотрудника банка, ЦБ РФ, Следственного комитета, МВД, — не верьте этой информации. Сразу же положите трубку и перезвоните по телефону горячей линии — его можно найти на оборотной стороне карты или на официальном сайте организации. Помните, что сегодня можно сфабриковать любой ресурс в сети интернет. Обращаю внимание: настоящие сотрудники банков никогда не попросят отправить деньги на “защищенный счет” или оформить кредит для отмены мошеннического займа», — предупреждает заместитель председателя правления «Сбербанка» Станислав Кузнецов.
