КриминоГена

​​Обнаружена новая схема кражи денег при покупке товаров онлайн

Мошенники научились подделывать страницы подтверждения платежей, которые раньше считались наиболее эффективными для обеспечения безопасности данных карты. За полгода у россиян могли украсть более 400 млн руб.

Суть мошенничества

Сначала жертва заходит на страницу фальшивого интернет-магазина, такие уже давно существуют в арсенале мошенников. Для убедительности злоумышленники теперь научились создавать и поддельные страницы подтверждения платежей, которые проводятся с помощью технологии 3-D Secure. Легитимные страницы 3-D Secure используются для ввода данных карт и проверочного кода из СМС-сообщения.

При оплате товара жертва перенаправляется с фейкового интернет-магазина на поддельную страницу 3-D Secure для подтверждения оплаты, где покупателю показывается фейковая информация о магазине. На мошенническом ресурсе жертва вводит данные своей карты, а также код из СМС-сообщения, после чего деньги уходят на карту мошенника.

Параллельно с этим с сервера мошенника инициируется обращение к легитимному серверу 3-D Secure. Для банка это выглядит так, как если бы пользователь собственными руками переводил средства через сервис банка для переводов с карты на карту. В результате банк отправляет держателю карты СМС-код для подтверждения платежа, который пользователь следом вводит на фишинговой 3-D Secure странице, после чего его получают мошенники и вводят на легитимной странице 3-D Secure для подтверждения мошеннического перевода. Таким образом злоумышленники обходят фактически все проверки, реализованные сегодня на стороне банков для борьбы с такого рода мошенничеством.

Опасность схемы

Поддельные 3-D Secure страницы сложно распознать пользователю, так как они часто содержат логотипы платежных систем Visa, Mastercard, «Мир» и не вызывают подозрений у покупателей, стремящихся быстро оформить покупку онлайн, предупреждают специалисты. При этом для банка-эмитента платеж его клиента выглядит легально, и он может отказать в возврате средств клиенту, поскольку это «добровольный» платеж, подтвержденный СМС-кодом.

Снизить вероятность реализации подобных инцидентов позволит использование банками новой версии 3DS 2.0, в которые заложены не только технологии аутентификации по коду из СМС, но и биометрическая аутентификация, например проверки по отпечатку пальца или FaceID. Но речь идет именно о снижении вероятности, так как биометрические данные тоже можно перехватить.

Ключевым моментом здесь является попадание потенциальной жертвы на фишинговые ресурсы. Нужно понимать, что как только это происходит, жертва уже находится в большой опасности и у злоумышленника всегда будет масса возможностей использовать конфиденциальные и банковские данные жертвы.

Будьте внимательны и осторожны.

Ваш
@kriminogena

www.tgoop.com/kriminogena/144

1.2K viewsJul 9, 2021 at 06:00

​​Обнаружена новая схема кражи денег при покупке товаров онлайн

Мошенники научились подделывать страницы подтверждения платежей, которые раньше считались наиболее эффективными для обеспечения безопасности данных карты. За полгода у россиян могли украсть более 400 млн руб.

Суть мошенничества

Сначала жертва заходит на страницу фальшивого интернет-магазина, такие уже давно существуют в арсенале мошенников. Для убедительности злоумышленники теперь научились создавать и поддельные страницы подтверждения платежей, которые проводятся с помощью технологии 3-D Secure. Легитимные страницы 3-D Secure используются для ввода данных карт и проверочного кода из СМС-сообщения.

При оплате товара жертва перенаправляется с фейкового интернет-магазина на поддельную страницу 3-D Secure для подтверждения оплаты, где покупателю показывается фейковая информация о магазине. На мошенническом ресурсе жертва вводит данные своей карты, а также код из СМС-сообщения, после чего деньги уходят на карту мошенника.

Параллельно с этим с сервера мошенника инициируется обращение к легитимному серверу 3-D Secure. Для банка это выглядит так, как если бы пользователь собственными руками переводил средства через сервис банка для переводов с карты на карту. В результате банк отправляет держателю карты СМС-код для подтверждения платежа, который пользователь следом вводит на фишинговой 3-D Secure странице, после чего его получают мошенники и вводят на легитимной странице 3-D Secure для подтверждения мошеннического перевода. Таким образом злоумышленники обходят фактически все проверки, реализованные сегодня на стороне банков для борьбы с такого рода мошенничеством.

Опасность схемы

Поддельные 3-D Secure страницы сложно распознать пользователю, так как они часто содержат логотипы платежных систем Visa, Mastercard, «Мир» и не вызывают подозрений у покупателей, стремящихся быстро оформить покупку онлайн, предупреждают специалисты. При этом для банка-эмитента платеж его клиента выглядит легально, и он может отказать в возврате средств клиенту, поскольку это «добровольный» платеж, подтвержденный СМС-кодом.

Снизить вероятность реализации подобных инцидентов позволит использование банками новой версии 3DS 2.0, в которые заложены не только технологии аутентификации по коду из СМС, но и биометрическая аутентификация, например проверки по отпечатку пальца или FaceID. Но речь идет именно о снижении вероятности, так как биометрические данные тоже можно перехватить.

Ключевым моментом здесь является попадание потенциальной жертвы на фишинговые ресурсы. Нужно понимать, что как только это происходит, жертва уже находится в большой опасности и у злоумышленника всегда будет масса возможностей использовать конфиденциальные и банковские данные жертвы.

Будьте внимательны и осторожны.

Ваш
@kriminogena

BY КриминоГена