Информация
Positive Technologies
Новости тг-канал
Купить MozgovikБлог компании Positive Technologies | Береги симку смолоду
- 09 декабря 2022, 12:48
- |
- positivetechnologies
Недавно стало известно, что со счетов бывшего чиновника, находящегося в СИЗО, неожиданно пропали 25 миллионов рублей.
Как выяснилось, злоумышленники предъявили поддельный паспорт в офисе «Билайн» и заказали дубликат сим-карты. Ну, а дальше дело техники! Получив доступ к номеру, мошенники зашли в личный кабинет онлайн-банка и в течение двух недель планомерно выводили средства со счетов жертвы. Улов киберпреступников составил почти 25 миллионов рублей. Похищенные средства затем обналичивались в банкоматах.
Как не стать жертвой угонщиков сим-карт
В настоящее время сим-карта не только дает доступ к сети мобильного оператора. Номер телефона, зашитый в сим-карте, является ключом к многочисленным онлайн-сервисам и приложениям (электронной почте, мессенджерам, социальным сетях, сервисам электронных и банковских платежей). И этот ключ надо беречь!
Имея на руках вашу сим-карту, злоумышленники могут получить доступ к детализации переговоров (в личном кабинете оператора связи), вашим перемещениям (в сервисах Google и Apple), денежным средствам (как в случае с экс-чиновником Митволем), переписке, контактам и т.д.
Но сначала давайте разберемся, каким образом ваша сим-карта может оказаться в руках киберпреступника. Произойти это, чаще всего, может в двух случаях: при краже мобильного телефона или при осуществлении перевыпуска вашей сим-карты в офисе оператора связи.
Минимизируем последствия от кражи мобильного телефона
Чтобы минимизировать последствия от кражи мобильного телефона, установите запрос PIN-кода сим-карты. Кроме того, установите запрос пароля телефона при его включении. Только не забудьте, что пароль должен быть надежным, и идентификация по отпечатку пальца или лицу его не заменит.
Как мошенники перевыпускают чужие сим-карты
В случае перевыпуска чужой сим-карты возможны две мошеннические схемы.
Киберпреступник может перевыпустить вашу сим-карту по договоренности с коррумпированным сотрудником салона сотовой связи. Стоит отметить, что сотрудники салона связи не уполномочены выявлять поддельные паспорта и доверенности. Более того, у них довольно часто отсутствует четкая процедура идентификации клиента.
Во втором случае, мошенник сначала выясняет паспортные данные владельца сим-карты. После этого он подделывает доверенность от лица владельца сим-карты или его паспорт. С указанными документами злоумышленник приходит в салон сотовой связи, где осуществляет перевыпуск сим-карты.
Как узнать, что вашу симку подменили
На мошенничество с подменой сим-карты может указывать ряд тревожных сигналов. Если вы заметили что-либо из нижеперечисленного, немедленно обратитесь к своему оператору сотовой связи.
- Bас заблокировали в онлайн-аккаунтах, привязанных к вашему номеру телефона.
- Ваш телефон постоянно теряет связь, или вы не можете принимать звонки или текстовые сообщения даже при хорошем сигнале.
- На телефон приходят уведомления о действиях, которые вы не совершали.
Минимизируем последствия от перевыпуска сим-карты
Запрет на перевыпуск сим-карты без личного присутствия
В первую очередь следует установить запрет на перевыпуск сим-карты без вашего личного присутствия. Уточните у вашего оператора сотовой связи, каким образом происходит данная процедура. Ряд операторов позволяет установить запрет на перевыпуск сим-карты дистанционно через USSD-запрос. Однако, в некоторых случаях все же потребуется посетить офис и написать заявление.
Личный пароль для перевыпуска сим-карты
Кроме этого заявления, операторы связи предлагают пользователям создать личный пароль, зная который можно будет перевыпустить сим-карту. Такой пароль является аналогом кодовому слову при идентификации клиента в банках.
Отключение смс-оповещений с кодами авторизации после перевыпуска сим-карты
Некоторые банки и операторы связи также предлагают опцию временного отключения смс-оповещений с кодами авторизации после перевыпуска сим-карты. Если злоумышленнику, получившему дубликат вашей симки, не будут приходить коды авторизации, он не сможет получить доступ к вашим сервисам или приложениям.
Отключение возможности оплаты через SMS
Злоумышленники могут снять деньги с вашей карты путем отправки SMS-сообщений на короткий номер банка. Чтобы предотвратить данный вид мошенничества, следует позвонить в банк и отключить возможность оплаты через SMS. Оставьте возможность отплаты только через мобильное приложение банка или онлайн-сервис. Чтобы ими воспользоваться мошеннику потребуется дополнительно знать данные вашей банковской карты, а это не всегда возможно.
Отдельный номер телефона для банковских продуктов
Используйте для мобильных банков отдельный номер телефона, который вы не используете при телефонных звонках, общении в мессенджерах и соцсетях. Мошеннику будет сложно связать номер для банковских продуктов с вашей личностью.
Двухфакторная аутентификация без СМС-кодов
Используйте двухфакторную аутентификацию везде, где это возможно. Двухфакторная аутентификация — это использование второго фактора защиты, помимо обычного пароля. Вторым фактором может быть смартфон, коды из СМС, пароли из приложения-генератора, физический токен и другие. Наименее надежными считаются коды из СМС, которые в случае перевыпуска сим-карты сразу попадут к злоумышленникам. Поэтому лучше не использовать СМС-коды, отдавая предпочтения альтернативным факторам аутентификации.
Пользуйтесь банками, которые заботятся о безопасности клиентов
Изучите отзывы о банках в интернете. Отдавайте предпочтение тем банкам, которые используют современные методы противодействия мошенничеству и ответственно относятся к безопасности средств клиентов.
Безопасное хранение средств
Узнайте в своем банке о способах безопасного хранения средств, установите необходимые лимиты для снятия наличных и операций в интернете. Держите на карточных счетах ровно столько средств, сколько требуется на повседневные нужды. Тогда вы не лишитесь всех накоплений из-за действий кибермошенников.
Не сомневайтесь – блокируйте!
Наконец, если вам кажется, что ваша банковская карта (ее коды), возможно, была скомпрометирована – не бойтесь ее заблокировать. Лучше потом перевыпустить карту, чем потерять свои деньги.
Оставайтесь в безопасности!
теги блога positivetechnologies
- Direct Listing
- IPO
- M&A
- Positive Technologies
- акции
- вымогательство
- Годовой отчет
- Группа Позитив
- Кибербезопасность
- МосБиржа
- финансовые показатели
вор у вора дубинку украл
Маркиз Лафайет, изучил сам тему «русского Илона» и с юристом пообщался, получается он имел дело с крупным оборон заказом и имел за это сотни миллионов рублей при это не хотел делиться с организаций из 3 букв + у него была секретная инфа вот и порешила его организация из 3 букв. Дело куда он вязался и как себя вел уже априори суицидальное учитывая в какой он стране жил. Пытки в тюрьмах и сизо слышал, но вот насмерть это впервые и как понимаю это очень далеко не рядовой случай .
Резюме :
имеешь сотни миллионов
или выполняешь оборон заказ тебе следует очень хорошо просчитать ириски. .
Нал это зло. Только воры любят тишину.
Ну и курьер цифровой рублт в кармане не унесет
в нашем случае этот пострадавший Олег Митволь — ктож его прессовать то решится....
а вот маякнуть на волю дружкам типа есть маза — могли запросто
ну и копию паспорта добыть тоже несложно
----------
Ранее чиновник заключил досудебное соглашение со следствием и был готов возместить материальный ущерб в полном объеме.
1ярд возместить готов!!!
---------
и об этом вся страна знала, кстати подозреваемого задержали — но это все как в описанном мною кейсе
smart-lab.ru/blog/380098.php
рядовые сотрудники билайна не видят ни владельца, ни какой либо инфы вообще.
заплатить на него тоже правда непросто — Опсс под санкциями — через сбер только и то криво
fso.gov.ru/struct/sssi/
гражданская версия этого дела представлена вот этой компанией
sbis.ru/contragents/7735538045/770101001
лет 20 уже — но особе не афишируется
Самое основное заключается в том, что никто не будет перевыпускать симки всем подряд. Точка входа — это банк. Ну иногда ОПСОС (который продает данные сомнительным контент-провайдерам) или почтовый ящик (в последнее время крайне редко). Менеджер сливает нужным людям информацию о лоховатом нуворише (кто разжился деньгами, но не знаниями о том, что в СНГ банках их не безопасно хранить), а дальше дело техники. Могут и симку перевыпустить, и доверенность сделать и так далее. В целом, переход расчетов в онлайн даже снизил уровень наиболее опасной преступности. Теперь клиента можно ограбить без острой необходимости бить его по голове, и при этом не светиться перед камерами. Усиление мер ИБ (запрет перевыпуска сим карты без сдачи анализов в офисе опсоса и в присутствии банкира и т.д.) скорее приведет к обратному: придется чаще выезжать за клиентом или кем-то годящимся в заложники, чтобы встреть около дома. И с этим тоже ничего не поделать.
Вот про это кстати не знал, спс.
Но главное, что убережет деньги и нервы — это просто не хранить в банках сумму, которая привлечет людей, которые и симку могут перевыпустить, и с паяльником прийти («себестоимость» таких услуг довольно низкая по сравнению с добычей). Очень приблизительно — уровень риска — от 5 млн руб., высокого риска — от 10 млн. Обо всех таких счетах рано или поздно станет известно охотникам, и, если клиент, предварительно пробитый, не представляет опасности для них — то за него возьмутся. Банки и опсосы, разумеется, стараются минимизировать риски (проверка сотрудников, ограничение доступа, усложнение процедур по переводу средств и т.д.), но, если коротко, мяч в этой игре, увы, на стороне плохих парней.
З.Ы.
Напишите еще отдельную статью про телефоны. Там вообще беда, особенно сейчас, когда поставки почти все серые. Прошивки огромного количества телефонов (хоть кнопочных) содержат зловредов, которые скрытно воруют коды из СМС, пуши, контакты, данные… В общем, если есть возможность — старайтесь приобретать телефоны у производителей и поставщиков, которые в плохом не замечены. Даже те производители, которые ушли из России, ограничения на регион пока не ставили и кириллицу из прошивки не выпилили. Покупка айфона или самсунга у официального дилера в турции сильно снижает риски ИБ.
что он написал что вызывает у вас отторжение?
все буквально китайские телефоны идут с дырами безопасности с авито.
это для вас новость?
разве что сумма 5 мио… для москвы довольно низкая, но для региона вполне.
тот же сбер не регистрирует отказ от установки приложения.
чтобы приложение банковское нельзя было в принципе установить и авторизироваться.
казалось бы все просто — пишешь заявление и авторизация через телефон НЕ РАБОТАЕТ.
но нет)
отвязать номер телефона от счета в банке НЕЛЬЗЯ).
вообще оставить без номера телефона.
можно только ПОМЕНЯТЬ на другой)
Единственное решение — покупать симку у банка, тогда ответственность только его.
Совет: «Узнайте в своем банке о способах безопасного хранения средств, установите необходимые лимиты для снятия наличных и операций в интернете. Держите на карточных счетах ровно столько средств, сколько требуется на повседневные нужды.» ну так себе. Лимиты меняются в интенет банке, а карточный счет также пополняется со вклада.
Некоторые банки при смене симки не дают пользоваться интернет банком, пока с новой картой лично банк не посетишь.
Но почему то банки так не говорят!!! Элементарно, когда я получал карту, сотрудница банка держала её в руках, а значит она знает её номер, имя владельца, дату и cvv код. Потенциально она может воспользоваться этими данными в 3 часа ночи 9 месяцев спустя, оплатив товар на сайтах без 3дсекьюра и подтверждения оплаты смс.
Как взломать ЛК?!.. Лично я вариантов не вижу. Но мне не нравится, когда банк позволяет вместо логина вводить номер карты! Как минимум он упрощает видевшему этот номер жизнь. Далее, у многих при вводе 3 кратно неверного пароля блокируется ЛК на 30 минут. Вопрос: почему в таких случаях не приходит смс о попытке несанкционированного доступа?! Вопрос риторический! Допустим номер карты знаем, пароль в виде татухи на плече абонента рассмотрели в бане… Остаётся 1 барьер — смс код. И вот тут непонятно как без помощи ОБСОСА решить задачку! А если именно ОБСОС сольёт нужные мошеннику данные, то надо вызывать полицию, писать заявление на банк, который проворонил деньги и пусть он разбирается сам с ОБСОСАми лично, это уже его проблемы, потому что ответственность за сохранность денег несёт он, ОБСОС здесь посредник. Формально банк должен тоже подать иск на ОБСОСА, и тот должен возместить всё хозяину симки, если тот не компроментировал смс пароль от банка (а он не должен это доказывать, это должна доказывать полиция).
Но есть ещё такая фигня как мобильные приложения, которых я лично сторонюсь. Причина банальна: облегчённый вход без смс. А когда уже вошёл в это дерьмо, то формально любые действия банк признает как от имени владельца. Вот здесь и зарыты горшочки с золотом для реальных леприконов! Банк в случае любой пропажи денег отделается стандартным «вы скомпроментировали персональные данные» и вам останется с полицейским-робокопом искать призрак Киева в надежде их вернуть.
Поэтому, пока банки не вышли с заявлением о 100% безопасности двухфакторной идентификации, лучшим доказательством которой является отсутствие жертв с момента её появления… не храните больших сумм с использованием информационных технологий! Делайте по-старинке, офис, договор, вклад, чек, тогда никакие ОБСОСЫ не смогут до этих денег добраться, а если и смогут, виноват всегда будет банк и суд вы выиграете за 5 сек.
потому что ПАРОЛЬ СБРАСЫВАЕТСЯ по номеру телефона и СМС.
Так что нет второго фактора в виде пароля.
А есть его профанация — симулякр.
так что да но нет
С другой стороны, тут же пример комичной ситуации… Перевожу сотку через СБП с банка в банк по одному и тому же номеру телефона в личном кабинете банка через комп. После подтверждения операции через смс, блокируется личный кабинет и отменяется операция, выскакивает сообщение что «вам позвонит оператор для установления личности»… Глупость процедуры состоит в том, что я скидывал деньги на тот номер телефона по которому он позвонит, и получается операция происходит между своими счетами, просто банки разные, и в чём тут мошенничество остаётся только догадываться))) Но мне такая осторожность банка даже импонирует
А по поводу восстановления пароля, глупость конечно, что его можно восстановить через смс, тогда и входить в кабинет можно через смс просто набирая вместо логина номер телефона клиента… Косяк банка.
Надо чётко выставить требования для всех банков: ввод своего пароля (неизвестного никому кроме владельца) и ввод смс кода для подтверждения. И исключить возможность восстановления пароля без обращение в отделение банка с паспортом и мобильником — вот тогда верняк!
А ещё ЦБ РФ пора принять закон, по которому банки несут всю ответственность за сохранность и пропажу денег. Но они и там найдут выход из положения, введя страховку от потери денег (условные 100 рублей с каждого), но систему безопасности оставят прежней))))
и это означает что фактор один — владение номером телефона и получение sms.
единственный способ это иностранный оператор для банка.
сим карта иностранная.
отдельная только для банка-банков.
ее сложнее в РФ подделать.
гораздо сложнее чем на симку выпущенную в РФ.
сложнее — дороже, дольше, и больше риск не удачи.
в случае этой атаки смс придет и владельцу.
и у него останется время что-то предпринять.
а не как в топике 2 недели не в курсе.