Создавая фишинговые сайты под популярные сервисы и онлайн-магазины, мошенники научились имитировать страницы оплаты, якобы защищенные 3-D Secure — технологией, которая ранее считалась одной из наиболее эффективных для обеспечения защиты платежных данных пользователей при оплате покупок онлайн во всем мире.
Опасность использования подложных 3-D Secure страниц состоит в том, что их достаточно сложно выявить. Внешне они часто содержат логотипы международных платежных систем Visa, MasterCard или российской МИР и не вызывают подозрений у покупателей, стремящихся быстро оформить покупку онлайн.
Схема выглядит так: жертву привлекают мошеннической рекламой или спам-рассылкой на фишинговую страницу интернет-магазина. Там пользователь вводит платежные данные, оплачивая приглянувшиеся товар или услугу. Для подтверждения транзакции на телефонный номер приходит SMS-код. Пользователь вводит код в ту же форму на легитимной 3-D Secure странице, после чего ее «перебрасывает» на фишинговый ресурс, а деньги уходят на карту мошенника.
Для банка платеж клиента выглядит как «добровольный» и легальный, так как с сервера мошенника инициируется обращение к легитимному серверу 3-D Secure с исходным служебным сообщением.
Большинство банков даже не подозревают о том, как именно мошенники обкрадывают их клиентов, поскольку классические системы анти-фрода расценивают данные транзакции, как легитимные.
Как результат банк отказывает клиентам в возврате потерянных денежных средств, поскольку это "добровольный" платеж, подтвержденный SMS-кодом», — комментирует Павел Крылов, руководитель направления Group-IB по противодействию онлайн-мошенничеству.
Как обезопасить себя
В разговоре с Hi-Tech Mail.ru эксперт Group-IB дал несколько советов, как бороться против мошенников:
Пользователям, прежде всего, нужно обращать внимание на источник платежа в SMS-сообщении от банка с кодом подтверждения транзакции. Если там указаны слова Card2Card или P2P, а при этом платеж был инициирован не с указанных ресурсов, не стоит вводить полученный код для подтверждения платежа.
Банкам стоит усилить защиту от модифицированной схемы мошенничества, блокируя саму возможность обращения фейковых магазинов к легитимному серверу 3-D Secure.
Это тоже интересно: