РУССКИЙ
ENGLISH
НАЗАД
РУССКИЙ
ENGLISH
26.07.2021

Scamopedia:
интернет-покупки и аренда

Первое массовое использование в России схемы «Курьер» или «Мамонт» («мамонтом» на сленге мошенников называют жертву») специалисты CERT-GIB и Group-IB Digital Risk Protection зафиксировали еще летом 2019 года после обращений обманутых пользователей. Однако пик мошеннической активности пришелся на 2020 год в связи с пандемией, переходом на удаленку и увеличением спроса на 30%-40% на онлайн-покупки и, соответственно, услуги курьерской доставки.
Схема № 1. "Курьер" ("Мамонт").
1
Создание «лота-приманки»
Злоумышленники, регистрируя новые или используя взломанные аккаунты на интернет-сервисах бесплатных объявлений, размещают «лоты-приманки» — объявления о продаже по заниженным ценам товаров, рассчитанных на разные целевые аудитории: фотоаппараты, игровые приставки, ноутбуки, смартфоны, бензопилы, звуковые системы для авто, швейные машинки, коллекционные вещи, товары для рыбалки, спортпит и др.
2
Контакт с жертвой
После того, как пользователи сервисов выходят на контакт со злоумышленниками с помощью внутреннего чата на самой интернет-платформе, им предлагается уйти в мессенджеры Whatsapp или Viber для дальнейшего обсуждения вопроса покупки и доставки.
3
Подготовка к сделке
Уже в чатах мессенджеров злоумышленники запрашивают у жертвы ФИО, адрес и номер телефона якобы для заполнения формы доставки на ресурсах курьерской службы.
4
Оплата на фишинговом ресурсе
Далее пользователям предоставляют ссылки на фишинговые ресурсы, которые полностью копируют официальные страницы популярных курьерских служб. По ссылке будут представлены указанные ранее данные жертвы, которые она якобы должна сверить и после этого там же оплатить.
5
Возврат, которого нет
Часть жертв обманывают повторно — «разводят на возврат». Через некоторое время после оплаты товара покупателю сообщают, что на «почте» произошло ЧП. Легенда может быть любой, например, сотрудник почты якобы пойман на краже, а заказанный товар конфисковала полиция, поэтому для компенсации перечисленной суммы необходимо оформить «возврат средств». Понятно, что на деле, если с карты происходит повторное списание той же суммы.
6
Реверс-схема
Позже появился обновленный вариант мошеннической схемы, в котором мошенники выступают в роли покупателей, а не продавцов.

"Воркером" производится поиск объявлений о продаже каких-либо товаров на всё тех же досках бесплатных объявлений. Обязательное условие для объявления - продавец разрешил с собой связываться по мобильному телефону, выбрав опцию показывать свой номер телефона всем желающим, и товар доступен для покупки с доставкой.

Мошенник выходит на контакт с продавцом сразу через чаты сторонних популярных мессенджеров, минуя тем самым безопасные чаты интернет-площадок бесплатных объявлений, и проявляет желание приобрести выставленный товар, уточняет актуальность предложения продавца.

Далее мошенник утверждает, что сейчас же оформит "покупку с доставкой", тем временем генерируя с помощью автоматизированного телеграм-бота новую фишинговую страницу, используя реальное название, фото и цену лота.

Через минуту фишинговая страница готова и её можно пересылать жертве-продавцу в чат мессенджера, объясняя, что уже всё оплатил, и предлагая проверить, получить денежные средства. Для получения средств, понятное дело, необходимо будет вводить данные своей банковской карты.
Если летом 2020 года CERT-GIB заблокировал 280 фишинговых ресурсов, эксплуатирующих тему курьерской доставки товаров, то к декабрю их количество выросло в 10 раз — до 3 000 сайтов. Сейчас против пользователей и брендов из Румынии, Болгарии, Франции, Польши, Чехии, США, Украины, Узбекистана, Киргизии и Казахстана работают не менее 20 крупных группировок, всего же их около 40.
Ежегодный заработок всех преступных групп, использующих данную схему мошенничества, оценивается более чем $6,2 млн. и ущерб от «курьерской схемы» может только расти.
Схема №2: аренда недвижимости и поиск попутчиков
На сегодняшний день существует обширный выбор брендов курьерских сервисов, под которые мошенники создают фишинговые страницы. Однако, в последнее время их интересуют и сайты с объявлениями по продаже автомобилей и автозапчастей, магазины электроники, ресурсы аренды недвижимости и сервисы по перевозке пассажиров.

Мошеннику безразлично, чем занимается площадка — арендой недвижимости или продажей велосипедов, для него важно, чтобы на ресурсе сервиса была возможность внутренней коммуникации среди пользователей и «безопасные» сделки внутри самого сайта, что позволяет подменить конечную ссылку на созвучном домене для перевода средств.

Только в ноябре 2020 года появилось около десяти фейковых сайтов, мимикрирущих под популярную базу недвижимости. Злоумышленники использовали стандартные схемы обмана пользователей онлайн-досок объявлений, предлагая внести предоплату, которая в случае аренды жилья может быть достаточно высокой. Количество мошеннических доменов, содержащих названия известных сервисов в разных потребительских сегментах, во втором полугодии выросло больше чем вдвое.

В атаках на сервисы аренды квартир вовлечены те же группировки, которые создавали фейковые сайты популярных курьерских служб. Летом наблюдался рост атак на сайты бронирования отелей, когда в сезон отпусков люди имели возможность путешествовать только в пределах России, потом мошенники переключились на сервисы аренды квартир. Не стоит исключать внутреннюю конкуренцию у преступных групп, которая мотивирует их искать возможность заработать в новых сферах.
Выводы и рекомендации
Аналитики предупреждают, что отработанная в России схема быстро масштабируется на европейские и американские площадки, куда русскоязычные мошенники выходят с целью увеличения капитализации и снижения риска быть пойманными. Борьба со схемой требует дальнейшей консолидации усилий компаний, продвигающих услуги доставки товаров, бесплатных досок объявлений, и использования передовых технологий защиты цифровых рисков для оперативного детектирования и ликвидации преступных групп.
Рекомендации для брендов
В отличии от России, где курьерские сервисы, доски бесплатных объявлений и ресурсы по аренде недвижимости первыми приняли на себя удар «Мамонта», подавляющее число пользователей и сотрудников служб безопасности международных компаний пока не готовы к противодействию этому типу мошенничества.
Для пресечения подобных «продвинутых скам-схем» классического мониторинга и блокировки уже недостаточно — необходимо выявлять и блокировать инфраструктуру преступных групп, используя автоматизированную систему выявления и устранения цифровых рисков на основе искусственного интеллекта (подробности тут), база знаний которой регулярно подпитывается данными об инфраструктуре, тактике, инструментах и новых схемах мошенничества.

— Использовать специализированные системы Digital Risk Protection, позволяющие проактивно выявлять появление поддельных доменов, мошеннической рекламы и фишинга.
— Обеспечить непрерывный мониторинг андеграундных форумов на появление фактов, связанных с попытками использовать бренд в неправомерных целях.
— Проводить анализ фишинговых атак, с целью атрибутировать преступную группу, раскрыть участников и привлечь к ответственности.
Если вы или ваша компания стали жертвой мошенников, незамедлительно обратитесь в полицию, сообщите об инциденте в техподдержку сервиса, предоставьте им переписку. Сообщить в CERT-GIB о мошенничестве можно по телефону «круглосуточной линии» +7 (495) 984-33-64 или на почту response@cert-gib.com
Рекомендации для пользователей
Доверяйте только официальным сайтам. Прежде чем ввести в какую-либо форму данные своей банковской карты — изучите адрес сайта, «загуглите» его и проверьте, когда он был создан. Если сайту пара месяцев — с большой долей вероятности он мошеннический.
Большие скидки на технику — один из признаков того, что «лот-приманка» на сайтах бесплатных объявлений создан мошенниками. Будьте осторожны.
Пользуясь услугами сервисов по продаже новых и б/у товаров, не уходите в мессенджеры, ведите всю переписку только в чате сервиса.
Не заказывайте товар по предоплате - оплачивайте только тогда, когда получили товар и убедились в его исправности.
Прежде, чем ввести в какую-либо форму данные своей банковской карты – изучите адрес сайта, «загуглите» его и проверьте, когда он был создан. Если сайту пара месяцев – с большой долей вероятности он мошеннический. Доверяйте только официальным сайтам. Например, сайт — cdek.ru, а остальные адреса — (cdek.nu, cdek.in, cdek.at, cdek-box.ru, cdek-dostavka.info) прямо указывают на подделки.