что такое резервирование счета в втб мошенники
Функционал официального сайта, который потворствует мошенникам
Меня пытались развести на деньги мошенники, но это мне удалось предотвратить, но многие люди могли и теоретически могут попасться.
Но что мы видим когда спускаемся к низу этой же страницы:
«Для клиентов в Северо-Западном федеральном округе и Кировской области реализована форма онлайн-заявления».
Чем это клиенты СЗФО и Кировской области отличаются от остальных, что можно прям тут на сайте написать заявление в обход личного кабинета?
Дальше там же есть ссылка для онлайн-заявления через официальный сайт. Переходим по ссылке и видим форму, где достаточно выбрать юр. лицо или физ. лицо, выбрать населенный пункт, вписать ФИО и телефон и всё! После этого высылается код подтверждения на указанный телефон.
Какая же уязвимость у этого функционала?
Мошенник находит открытые ФИО и телефон человека в интернете. Им это не так трудно, или спросить у самой жертвы в ходе какого-нибудь сценария «развода на деньги». Дальше мошенник вручную вписывает данные в эту форму и отправляет банку. Функционал работает в обход личного кабинета. Жертве приходит убедительное официальное СМС-уведомление от имени ВТБ, чем и пользуется мошенник.
Формат сообщения такой:
Nikomu ne govorite etot kod, dazhe sotrudniku banka! Kod, XXXXXX dlya rezervirovaniya scheta.
Вполне себе верный. Да, слово «резервирование» может смущать, но кто ж его заметит сразу даже в спокойной обстановке, когда сказали, что код для валидации и страхования счёта.
Как это исправить?
Уберите этот бэкдор и улучшите безопасность! Спасибо!
Мошенница пытается выманить код из смс для «подключения услуги»
Мы постоянно твердим, что код из смс никому говорить нельзя. Тем приятнее видеть, как это знание спасает деньги.
Вот несколько признаков, что звонок от мошенников:
Чтобы не слушать разговор — вот что там произошло
Читателю на мобильный поступил входящий звонок с неизвестного городского номера. Девушка представилась сотрудницей известного банка, обратилась по имени и отчеству и предложила рассказать про специальные предложения от банка.
Сначала она предложила бесплатно увеличить кредитный лимит по карте — читатель отказался. Сразу поступило второе предложение: подключить бесплатную услугу, которая уменьшает ставку по кредитной карте, если не погасить задолженность в беспроцентный период. На это предложение читатель согласился, и сотрудница начала «подключение» услуги.
После этого банк отправил на телефон клиента смс с кодом. Мошенница представила все так, будто это код для подключения услуги: она попросила сообщить этот код и произнести слово «подключить». Конечно, не ей, это небезопасно. Система переключит разговор на робота. Он-то уж точно не станет использовать полученную информацию во вред клиенту.
В результате мошенникам удалось выманить номер паспорта, но код из смс читатель не сообщил — это и спасло его деньги.
Как мошенники завоевали доверие
Во время разговора мошенники убедили читателя, что звонят из банка, и расположили его к общению. Вот как им это удалось.
Обратились по имени и отчеству. Мошенники в начале разговора обратились к нашему читателю по имени и отчеству и, по его словам, этим завоевали его доверие. Кроме того, они знали последние четыре цифры номера карты, которые упомянули в специальном предложении. У читателя создалось впечатление, что такая информация может быть только у банка — а значит, звонит настоящий сотрудник.
Но чтобы узнать эти данные о владельце карты, достаточно номера телефона. В 2019 году Банк России запустил систему быстрых платежей, СБП, которая позволяет переводить деньги между разными банками по номеру телефона. Перед отправкой платежа система подскажет имя получателя — для проверки, чтобы деньги ушли по адресу.
Но не всем можно перевести деньги через СБП. Чтобы выполнить перевод, оба банка — отправителя и получателя средств — должны подключиться к системе, а оба клиента должны разрешить перевод через систему в интернет-банке или мобильном приложении. Когда клиент банка подключил свой счет к СБП, узнать его имя по номеру телефона может любой пользователь системы, даже если их счета открыты в разных банках.
В приложении Тинькофф-банка при переводе по номеру телефона видны имя и первая буква фамилии. Видны счета и в других банках
Мошенница знала последние четыре цифры номера карты. Узнать номер карты сложнее, чем имя и отчество, но тоже возможно. Некоторые банки при переводе своему клиенту по номеру телефона сообщают больше информации. Например, при переводе по номеру телефона внутри Сбера приложение кроме имени покажет еще и часть номера карты. Полный номер таким способом узнать не получится, но последние четыре цифры приложение показывает.
Скорее всего, мошенники перебором номеров нашли данные читателя. Они не были нацелены на конкретного человека и собирали базу для обзвона из тех номеров, для каких смогут узнать данные владельца. Получив имя и отчество, мошенники звонят по этому номеру телефона от имени банка, в котором нашелся счет.
Есть и другие варианты. Возможно, мошенники воспользовались одной из нелегальных баз данных. Или у них есть свой человек в банке.
Иногда через приложение банка можно также узнать номер счета другого клиента по его номеру мобильного. В любом случае, если звонящий знает ваше имя и какие-то личные данные, это не гарантия, что вам звонит сотрудник банка.
Сбер по номеру телефона для своих клиентов показывает имя, отчество, первую букву фамилии и часть номера карты
Услугу для снижения ставки, на которую согласился наш читатель, назвали частью премиального пакета. Клиент может подумать, что такие пакеты предлагают только лучшим, — так мошенники усыпляют бдительность и отключают логику. При слове «бесплатно» бдительность отключается еще быстрее.
Скорее всего, в арсенале мошенников есть и другие «услуги», которые они предлагают в зависимости от ответов жертвы. Главное, чтобы разговор продолжился.
Для сообщения кода из смс переключают на «автоматизированную систему». По версии мошенницы, это нужно для безопасности: людям сообщать этот код нельзя, а роботам — пожалуйста. Конечно, это бред: перевод звонка на «робота» легко сымитировать, клиент никак такое не проверит. Мошенник продолжает слушать жертву, заходит с помощью кода в ее интернет-банк и крадет деньги.
Самозащита от мошенников
Что еще настораживает в разговоре
Читатель не почувствовал подвоха в начале разговора и спохватился только на последнем этапе — когда мошенники попросили код из смс. Это главный признак, по которому можно определить мошенников. Номер телефона тоже не так важен: сотрудники банка могут звонить с разных номеров, а мошенники научились подменять номера.
Но в разговоре нашлось еще несколько подозрительных признаков.
Посторонний шум. Сотрудники банков обзванивают клиентов с рабочих мест в офисе или из колцентра. Обычно при таких разговорах не слышно постороннего шума или чужой речи. Мошеннические колцентры часто выдает шум или голос соседнего оператора: банк вряд ли организует работу колцентра так, что клиент через телефон сможет услышать информацию о другом клиенте.
В случае с читателем мне показалось, что «сотрудница банка» звонила из детского сада: на фоне громкий детский голос и крики. Во время пандемии многие работодатели разрешили сотрудникам работать из дома, но банки обычно выдвигают требования к рабочему месту, особенно для общения с клиентами. Например, большинство операторов Тинькофф-банка и до пандемии всегда работали из дома, но по требованиям им нужна гарнитура с микрофоном и тишина в комнате.
Неграмотная речь собеседника. Сотрудников колцентра в банке учат правильно произносить слова, а руководители проверяют их работу по записям звонков. Банк вряд ли оставит на работе оператора, который неграмотно общается.
В записи разговора с читателем «сотрудница банка» говорила неуверенно: очень торопилась, часто оговаривалась и не знала, как отвечать на вопросы, поэтому придумывала ответы на ходу. А чего стоят «кредитные средства» с ударением на последний слог!
Запрос персональных данных. Когда сотрудник банка звонит клиенту, он уже знает его персональные данные, ему не нужно спрашивать. Кодовое слово, полное имя и номер паспорта могут спросить для идентификации, только если звонит сам клиент. А для подключения услуги или смены тарифа обычно хватает устного согласия.
Если не уверены, что разговариваете с сотрудником банка, попросите его добавочный номер и перезвоните по номеру банка, указанному на карте. Если связаться через добавочный невозможно, уточните информацию у оператора и примите решение позднее, а для подключения услуги перезвоните в банк.
Что делать, если сообщили код мошенникам
У героя этой статьи все кончилось хорошо: он не сообщил код из смс. Вместо этого он завершил звонок и перезвонил в банк по номеру с карты. Специалист проверил последние операции по карте и убедился, что мошенники не смогли получить доступ к деньгам.
Если сталкивались с другими разводами, пишите. Прищуримся.
ВТБ: мошенники списывают деньги под предлогом возврата пенсионных накоплений
ВТБ зафиксировал новые случаи мошенничества с применением социальной инженерии — злоумышленники массово рассылают клиентам письма с предложением вернуть пенсионные накопления. Для этого предлагается ввести на фишинговой странице данные платежной карты, которые в будущем используются мошенниками для списания средств пострадавших.
По данным экспертов ВТБ по противодействию мошенническим операциям, злоумышленники рассылают электронные письма и для убедительности ссылаются на якобы последние изменения в пенсионное законодательство. Мошенники сообщают, что клиенту начислен возврат страховых накоплений, но он не прошел в автоматическом режиме, поэтому его требуется «подтвердить» в специальной онлайн-форме. Пользователь получает якобы уникальный номер перевода и по кнопке «Оформить возврат» переходит на страницу с формой для указания данных карты. После этого злоумышленники получают данные банковской карты пострадавшего и могут списывать с нее средства.
«В преддверии новогодних праздников количество мошеннических атак на счета клиентов традиционно возрастает. Мы напоминаем клиентам о необходимости проявлять бдительность: государственные органы для коммуникации с населением используют официальные интернет-ресурсы. А чтобы клиенты могли обезопасить свои средства от хищений с помощью социальной инженерии, мы предлагаем им страховку карт и счетов от мошенничества — она в большей части тарифов не только покрывает потери от незаконных списаний, но и включает юридическую помощь от специалистов при оформлении необходимых документов. Ее можно оформить дистанционно в ВТБ Онлайн, и она защищает счета и карты клиента во всех российских банках», — комментирует Дмитрий Пугашкин, начальник управления «Страхование» ВТБ.
Право на накопительную пенсию возникает одновременно с правом на получение страховой пенсии по старости.
«Вступившие в силу изменения в пенсионном законодательстве не поменяли правила назначения и выплаты пенсионных накоплений. Пенсионный возраст, который дает право на их получение, остался прежним — 55 лет для женщин и 60 лет для мужчин. Это распространяется на все виды выплаты пенсионных накоплений без исключения. В нашей стране есть возможность выйти на пенсию досрочно, например, им могут воспользоваться многодетные матери или граждане предпенсионного возраста без работы, но даже в этом случае все коммуникации будут вестись не с поддельных почтовых ящиков. Мы призываем своих клиентов быть осторожными и внимательно относиться к своим персональным данным», — говорит Лариса Горчаковской, генеральный директор ВТБ Пенсионный фонд.
ВТБ в январе-сентябре этого года зафиксировал увеличение мошеннической активности: за девять месяцев число атак на средства клиентов выросло в 1,5 раза. Каждый седьмой случай носит «гибридный» характер, когда злоумышленники одновременно используют методы социальной инженерии и фишинга.
ВТБ повышает уровень безопасности средств своих клиентов и за девять месяцев отразил более 850 тысяч атак злоумышленников, сохранив 12 млрд рублей клиентских средств и предотвратив хищения у 70 тысяч своих клиентов.
Вся информация о банковских картах и счетах является конфиденциальной и не может передаваться третьим лицам. Банк на постоянной основе предупреждает своих клиентов о новых угрозах со стороны злоумышленников. На сайте ВТБ действует специальный раздел по финансовой безопасности с описанием основных видов мошенничества и советами по минимизации потенциальных рисков для клиентов.
Мошенники стали присылать коды для регистрации счета ИП
В кол-центре «Сбера» сообщили, что на сайте банка есть раздел, где ИП или юрлицо может подать заявку на открытие расчетного счета. Без кода, указанного в СМС, завершить регистрацию невозможно. После этого на сайте необходимо заполнить информацию об организации (в том числе ИНН), выбрать офис для обслуживания, подтвердить заявку, и на последнем этапе фирма получит реквизиты счета, пояснили в банке. Лицу, желающему открыть расчетный счет, в любом случае придется лично встретиться с представителем банка, предоставить документы и подтвердить личность.
В «Лаборатории Касперского» фиксировали схему обмана с направлением кода «регистрации в гостевой зоне для юрлиц». Обычно его присылают, чтобы вызвать доверие жертвы и доказать, что звонит действительно сотрудник банка — уведомления могут приходить, если любой пользователь Интернета попробует зарегистрировать на сайте банка любой номер телефона. Возможно, дальше злоумышленники воспользовались бы стандартной тактикой и попытались выманить другие одноразовые коды, перевести средства на якобы безопасные счета или убедить установить на свой телефон какое-либо ПО, предположили в компании.
СМС отправляется, чтобы произвести на жертву впечатление: в ее глазах мошенник легитимизируется, сообщили в «СерчИнформ». Судя по встречающимся в открытом доступе жалобам, мошенники уже воспользовались лазейкой, чтобы оформить на человека кредит. На номер человека хотели бы открыть расчетный счет для ИП или самозанятого, предположили в Infosecurity a Softline company. В дальнейшем мошенники могли бы убедить человека в необходимости перевести на него деньги. Также счет может быть открыт с целью дальнейшего обналичивания средств или получения кредита, добавили эксперты. Возможно, направление СМС о регистрации в «гостевой зоне для юрлиц» — это первый шаг двухступенчатой схемы обмана, сделал предположение эксперт из крупной компании, которая занимается кибербезопасностью. По его словам, через какое-то время злоумышленники могут позвонить снова и убедить клиента в том, что аккаунт взломан и деньги в опасности. Для защиты средств гражданину потребуется назвать либо данные карты, либо сведения для входа в настоящий личный кабинет.
Банки пока не фиксировали подобных попыток атак на клиентов. Для комплексной антифрод-системы не составит труда выявить и предотвратить такие попытки, пояснили в кредитных организациях. Также оформить расчетный счет юрлица полностью дистанционно невозможно вне зависимости от того, обслуживался ли ранее клиент в банке. Подтвердить личность гражданин может как непосредственно в офисе банка, так и на встрече с курьером.
ВТБ предупреждает о новом виде мошенничества в области закупочной деятельности
В последнее время ВТБ фиксирует рост активности мошенников в области закупочной деятельности.
Злоумышленники, представляясь сотрудниками подразделения закупок банка, направляют на почту потенциальным контрагентам приглашения принять участие в закрытом конкурсе на поставку производимой ими продукции. Мошенники убеждают контрагентов, что конкурс имеет внесистемный характер, в связи с чем сведения собираются по почте. После получения уставных документов от участника ему предлагается ряд опций, которые гарантированно приведут к победе в закрытом конкурсе. Чаще всего злоумышленники предлагают услуги третьих лиц по получению дополнительных разрешений, допусков и прочей разрешительной документации. После перевода денежных средств от контрагента за оказанные услуги представитель лжезаказчика пропадает, а обманутый контрагент обращается в банк с просьбой подтвердить личность представителя и проведение банком соответствующего конкурса.
На настоящий момент в банк поступило свыше 20 обращений от контрагентов с просьбой подтвердить проведение закрытых закупочных процедур, средний размер ущерба в таких случаях составляет около 30 тысяч рублей.
«Банк ВТБ осуществляет всю закупочную деятельность в рамках действующего законодательства по прозрачным правилам и процедурам. Мы рекомендуем нашим контрагентам быть бдительными и при получении подобных предложений не вступать в переписку со злоумышленниками, а незамедлительно обращаться к нам за уточнением информации», — отметил начальник управления закупок, вице-президент банка ВТБ Илья Веткин.