Не выходя из комнаты: мошенники берут кредиты по данным из слитых баз
В Дагестане задержали 18-летнего хакера, который брал кредиты на других людей из разных регионов. Следствие считает, что он использовал купленные в даркнете базы данных россиян. «Известия» выяснили, как мошенники пользуются базами данных и как защититься от этого.
По базам и соцсетям
В Дагестане задержали 18-летнего хакера, наладившего схему оформления микрокредитов на граждан по всей стране. В республику за ним приехали сотрудники отдела по борьбе с противоправным использованием информационно-коммуникационных технологий УМВД России по ХМАО — Югре, рассказали в управлении.
Полицейские выяснили, что подозреваемый купил в интернете базу данных, содержащую пароли, логины и личные данные как минимум 100 человек из разных городов. Затем он находил людей в соцсетях и искал информацию о них в открытых источниках. После этого хакер подбирал пароли (обычно они были простыми) и под видом потерпевших заходил на портал «Госуслуги», где оформлял кредиты. Затем он переводил деньги на свой счет, на чем и попался.
— На данный момент известно о четырех жителях Югры и шести гражданах других регионов России, которые пострадали от действий хакера. Общий ущерб составил около 100 тыс. рублей, — сообщили в пресс-службе УМВД по ХМАО — Югре.
Там отметили, что своими жертвами хакер выбирал людей с аккаунтами без двухфакторной аутентификации и минимальной кредитной нагрузкой. Сейчас оперативники проверяют дагестанца на причастность к другим преступлениям — пострадавших может быть больше.
На молодого человека возбудили дела о мошенничестве и неправомерном доступе к компьютерной информации. Теперь ему грозит лишение свободы на срок до 10 лет с крупным штрафом и исправительными работами.
Источники данных
Как объяснил «Известиям» руководитель Лаборатории стратегического развития продуктов кибербезопасности аналитического центра «Газинформсервис» Дмитрий Овчинников, данные о личности человека можно получить из разных источников. Прежде всего это базы, где содержится частичная информация — например, база по наследственным делам, слитые базы онлайн-магазинов, служб доставки. Существуют и сводные базы данных, скомпилированные из нескольких официальных. Их можно купить в даркнете за сравнительно небольшие деньги.
— Обычно в таких базах содержатся СНИЛС, паспортные данные, телефонные номера и другая персональная информация. Купив доступ, мошенник начинает подбирать себе жертву. Сбор информации можно продолжить, например, в соцсетях. Оттуда можно узнать много информации, чтобы получить подсказку для угадывания пароля — имя ребенка, кличка животного и другое. Далее можно попробовать взломать доступ к «Госуслугам» при помощи перебора пароля и номера СНИЛС, — рассказывает Овчинников.
В случае если человек давно не пользовался «Госуслугами», то у него может быть не настроен вход с подтверждением, ставший обязательным с 2023 года. Такие аккаунты обычно легко взломать — достаточно СНИЛС или номера телефона, на который даже не придет уведомление о входе. Зайдя на портал, мошенник может поменять этот номер в личном кабинете и начать оформлять кредиты на пользователя, а затем вывести деньги на свои счета.
— Другой сценарий — взломать электронную почту, к которой привязан аккаунт в «Госуслугах». И попробовать войти в аккаунт через легитимную процедуру восстановления учетной записи с подтверждением через отправку на почту, — добавляет собеседник «Известий».
Потому, заключает он, процедура, которую провел хакер из Дагестана, простая, для нее не нужно обладать техническими знаниями. Еще больше ее облегчают люди, которые используют несложные пароли (например, дату рождения), «забрасывают» аккаунты на «Госуслугах» или размешают слишком много информации о себе в соцсетях.
Схемы мошенников
Как объясняет эксперт программных продуктов компании «Код Безопасности» Максим Александров, слитые базы могут использоваться мошенниками по-разному. Зная даже толику информации, например ФИО и номер паспорта, они могут тщательнее подготовить свою легенду и выдать себя как за телеком-оператора или сотрудника банка, так и за представителя госструктур или силовых ведомств. Это помогает вызвать больше доверия и снизить подозрительность человека.
— Также данные можно использовать при общении с близкими жертвы. Например, злоумышленники создают поддельный аккаунт и затем, изучив соцсети, пишут друзьям и родственникам жертвы. В обоих случаях они преследуют одну и ту же цель — выманить конфиденциальные данные, например одноразовые коды для различных сервисов, — говорит он.
Особый интерес для преступников представляют сканы важных документов, например паспорта. Его можно найти в социальных сетях или мессенджерах, если зайти в аккаунт по слитому логину и паролю. В переписках могут быть копии документов как самого владельца, так и его друзей и знакомых. Поэтому важно не отправлять никому такие файлы — как и просто данные документов.
— Собирая по крупицам данные из слитых баз, преступники составляют полный «портрет» человека, а затем применяют полученную информацию по своему усмотрению — как для фишинговых схем, так и для получения кредитов, — говорит Александров.
Оформление кредитов
По словам Максима Александрова, иногда для оформления микрозайма хватает только данных из слитых баз. Бывает, что для этого требуется только ФИО, серия и номер паспорта, номер телефона. Поэтому мошенники чаще обращаются в МФО, чем в банки, которые не только тщательно проверяют личность, но и требуют дополнительные сведения, например справки о доходах.
— Но даже для кредита в МФО злоумышленникам нужно иметь определенный технический уровень — например, для создания поддельного паспорта, если речь идет об офлайн-посещении офиса, — говорит собеседник «Известий».
При этом, отмечает он, успешность аферы часто зависит от того, есть ли у мошенников свой человек в какой-либо финансовой организации. Другой фактор — насколько тщательно там вообще проводится проверка личности. Некоторые просят подтвердить личность дистанционно, поэтому, имея паспортные данные, СНИЛС и другую информацию о человеке, мошенники запросто могут оформить кредиты на небольшие суммы.
Бывают и более изощренные схемы — например, с применением технологии искусственного интеллекта. Если финансовая организация проводит онлайн-проверку, то злоумышленники используют дипфейки, в «прямом эфире» подменяя видеопоток и накладывая «маску» человека, за которого себя выдают.
— Успешная подделка возможна и при личном посещении финансовой организации — с помощью изготовления поддельного паспорта. Случается, что мошенники с помощью ИИ-технологий создают такую фотографию, которая одновременно похожа и на пользователя-жертву, и на злоумышленника, при этом и качество подделки паспорта отличается высоким уровнем. С их помощью можно обмануть даже крупные банки, — заключает Александров.
Советы попавшим в базы
Сегодня каждый россиянин может проверить, есть ли его данные в слитых базах в интернете. Для этого Национальный координационный центр по компьютерным инцидентам (НКЦКИ) запустил сервис, где доступна вся информация по утечкам, собранная из открытых источников. При этом сам сервис не хранит какие-либо данные — только позволяет обнаружить запрашиваемую информацию. В случае обнаружения своих данных в базе Дмитрий Александров советует немедленно сменить все пароли на чувствительных сервисах (важно использовать сложные комбинации и двухфакторную аутентификацию), а также проверить кредитную историю.
— Это можно сделать тремя способами: через «Госуслуги», через конкретный банк или запросить кредитную историю в бюро кредитных историй (БКИ), — говорит Александров.
В том случае, если на вас уже оформлен кредит, адвокат Шон Бетрозов рекомендует, во-первых, обратиться в банк или МФО, выдавшие кредит, и письменно заявить о том, что произошла ошибка или мошенническое действие. Далее необходимо подать в полицию заявление о мошенничестве.
— В полиции вам выдадут талон-уведомление о принятии заявления — этот документ в дальнейшем может понадобиться для защиты ваших интересов в суде. Также необходимо обратиться в банк, где открыт счет, в котором клиент сможет не только оформить запрет на выдачу кредита онлайн, но и установить лимиты на суммы переводов через приложение, — отмечает адвокат.
Для борьбы с такими ситуациями в Госдуме принят закон, который начнет действовать с 1 марта 2025 года и позволит оформлять гражданам самозапрет на займы во всех кредитных организациях путем подачи заявления через единый портал государственных услуг.
Права пострадавшего
По словам адвоката Шона Бетрозова, в большинстве случаев люди узнают о мошеннических кредитах случайно — например, при звонке из банка с напоминанием о просроченных платежах или при попытке взять собственный кредит. Поэтому необходимо регулярно проверять свою кредитную историю — это не только поможет вовремя обнаружить проблему, но и быстрее среагировать на нее.
— Выплачивать кредит, который вы не оформляли, вы не обязаны. Кредитные организации обычно начинают требовать деньги, однако при грамотном подходе к делу и наличии доказательств мошенничества долги можно оспорить, — рассказывает Бетрозов.
При этом, добавляет он, важно сохранять всю переписку, документы и чеки, которые могут подтвердить слова потерпевшего. Иногда дело может дойти до суда — и тогда понадобится помощь адвоката. Судебная практика показывает, что в большинстве случаев суд встает на сторону жертвы мошенничества, если есть достаточно доказательств.
Мошенничество с оформлением кредитов на граждан — это реальная угроза, которая может коснуться каждого. Но, зная основные способы защиты и алгоритм действий при столкновении с подобной ситуацией, можно снизить пороги рисков и даже избежать финансовых потерь, заключает собеседник «Известий».
