14:21, 29 ноября 2017

Мобильный фишинг: скачал приложение – лишился денег

Специалисты по кибербезопасности предупреждают россиян о фальшивых банковских приложениях, которые маскируются под официальные мобильные банки. За последние месяцы с их помощью у граждан украли около миллиарда рублей. В Центробанке заявляют, что не успевают блокировать фальшивки. Как их выявлять, выяснял корреспондент “Вестей FM” Валерий Емельянов.
 
Киберзащита банков дала сбой. По Сети массово распространяются вирусы, которые имитируют работу официальных приложений. Люди скачивают их по ошибке, когда ищут мобильную версию своего интернет-банка или хотят обновить старую. В магазине Google Play таких вирусов нет, там действует фильтр - на каждый банк приходятся максимум несколько проверенных программ. Но в поисковом окне смартфона того же самого Google вполне можно подхватить заразу. Дело в том, что хакеры скупают рекламные ссылки по популярным запросам типа “мобильное приложение такого-то банка”. По правилам выдачи поисковиков они демонстрируются выше официальных сайтов. Если человек промахивается и нажимает на контекстную рекламу, то идет переадресация на сайт, внешне очень похожий на официальный ресурс банка, и там есть ссылка на фальшивое приложение, которое очень сложно отличить от настоящего. Далее ничего не подозревающий пользователь сам выдает вирусу данные своих счетов, рассказывает заместитель руководителя лаборатории по компьютерной криминалистике Group IB Сергей Никитин.

НИКИТИН: Приложение действительно выглядит как настоящее - один в один. И пользователь сам вводит туда логины, пароли, данные карт, то есть выглядит все совсем по-настоящему. Таким образом у человека узнают все, что им нужно, чтобы захватить управление его клиент-банком и распоряжаться его денежными средствами.

Вирус перехватывает СМС-сообщения, высылаемые банком, и скрывает их, поэтому понять, что вас грабят, невозможно. Времени, чтобы среагировать - позвонить в банк и заблокировать карту, практически нет. Попав в смартфон и получив исходные данные, программа сканирует счета, находит деньги и мгновенно отправляет их своему хозяину. Собственно, этим и объясняется колоссальный рост украденных через мобильные банки сумм, добавляет Сергей Никитин.

НИКИТИН: Сейчас злоумышленники смогли автоматизировать процесс хищения, то есть, грубо говоря, уже есть задание - куда и по каким реквизитам переводить денежные средства, и зараженный смартфон получает команду от управляющего сервера, сам узнает баланс, сам его полностью вычищает. Все без непосредственного участия злодея. В таком автоматизированном режиме размеры хищений растут очень быстро.

За последние 2 года роботы и хакеры украли у россиян около 50 миллионов долларов (это чуть менее 3 миллиардов рублей). Около половины этой суммы изъяли именно с карточек и со счетов и вкладов физических лиц. И в подавляющем большинстве случаев хакеры атаковали своих жертв через мобильную платформу Android. Специалисты по кибербезопасности регулярно выявляют в ней уязвимости, через которые можно украсть деньги пользователей. Впрочем, переходить на другие мобильные платформы не имеет смысла, говорит руководитель аналитического центра компании Zecurion Владимир Ульянов. Они все без исключения имеют свои “дыры”.

УЛЬЯНОВ: Я категорически не соглашусь с тем, что Android можно назвать “дырявой” системой и что с него нужно непременно мигрировать на другие операционки. Уязвимости существуют и на других платформах: на Windows, на iOS. При этом стандартный функционал Android достаточно неплох с точки зрения безопасности. Другое дело, что зачастую пользователь сам отключает защиту и разрешает устройству скачивать и устанавливать приложения из неофициальных магазинов.

Чтобы защититься от вируса, надо внимательно проверять адрес, с которого идет загрузка приложения. Также категорически не рекомендуется убирать в настройках телефона галочку,  запрещающую установку приложений из непроверенных источников: вирус после загрузки обязательно попросит это сделать. Как вариант - можно не пользоваться мобильным банком вообще. Но это не защитит на 100% от кражи денег. Так, можно словить “троян”, который работает даже на старых телефонах – например, через СМС-банкинг. Или “засветить” карту на фишинговой странице в момент оплаты в каком-нибудь интернет-магазине.