Старший брат следит за тобой. Как защитить себя в цифровом мире

Смишинг[280] – аналог фишинга посредством электронной почты, только в данном случае злоумышленники используют SMS-службы и мессенджеры для рассылки фишинговых сообщений. Важно отметить, что мошенники могут использовать специальное программное обеспечение и службы, позволяющие подделывать номер или имя отправителя сообщения, в том числе могут быть указаны специальные и короткие номера, используемые, к примеру, банками и службами поддержки компаний. Обычно мошенники отправляют сообщения с номеров, имитирующих настоящие, например в случае Сбербанка это может быть номер 9ОО вместо 900, но в некоторых случаях, обладая техническими возможностями, злоумышленники могут использовать идентичные номера. Это могут быть как целенаправленные атаки, так и массовые рассылки со скоростью свыше 10 000 сообщений в минуту, осуществляемые, к примеру, через SIP-протокол.

КЕЙС В 2018 г. в Красноярске одному из абонентов сети «Мегафон» пришло SMS-сообщение с номера 900 (попав в ленту с настоящими сообщениями Сбербанка) об оформлении заказа в одном из магазинов города и с требованием подтвердить покупку с помощью ответного SMS-сообщения. Абонент обратился в магазин и выяснил, что такого заказа не существует, после чего заблокировал банковскую карту. На следующий день абонент подвергся флуд-атаке – бесчисленным звонкам с различных скрытых и открытых телефонных номеров. Абонент обратился в офис «Мегафона» с претензией, а через несколько часов получил голосовой вызов с официального номера поддержки этого оператора сотовой связи. По телефону сообщили о том, что претензия обрабатывается, и предложили установить приложение для корректной работы телефона, отправив в SMS-сообщении ссылку на программу в магазине Google Play. Абонент скачал приложение, доверив ему в числе прочих полномочия на чтение SMS. С этого момента все уведомления о банковских транзакциях стали перехватываться злоумышленниками. История закончилась благополучно, так как абонент успел вовремя заблокировать банковскую карту[281].

Фишинговые SMS-сообщения внешне неотличимы от настоящих. К тому же злоумышленники могут использовать некоторые персональные данные о жертве из открытых источников (социальных сетей, государственных структур и т. п.) и утекших баз данных, чтобы притупить ее бдительность, указывая в сообщении такие сведения, как имя и фамилия, список последних операций по карте или ее баланс, паспортные данные и т. п.

Примерами таких сообщений могут служить оповещения о выигрыше от имени известной компании, о блокировке банковской карты или подозрительном платеже, об аресте счета службой судебных приставов, предложение об обмене (например, если жертва выставила какой-нибудь товар на продажу на электронной доске объявлений) и др. Жертве могут предложить ответить на полученное ею сообщение, перейти по ссылке или позвонить по указанному номеру. Если она отвечает на подобное сообщение, то злоумышленник начинает вытягивать из нее персональную информацию или любыми способами пытается заставить перевести деньги на свой счет. При переходе по ссылке, вероятнее всего, откроется фишинговая страница, имитирующая легитимную и созданная для хищения вводимых пользователем данных, либо загрузится вредоносное приложение (см. раздел «Вредоносное программное обеспечение»)[282].