том, что стране необходим такой орган, стало ясно после утечки персональных данных 11 миллионов граждан, то есть практически всего совершеннолетнего населения.
Об этом и о том, где и как работают хакеры, “КАРАВАНУ” рассказал президент центра анализа и расследований кибератак Олжас САТИЕВ.
– Как часто встречается мошенничество в интернет-банкинге?
– Часто, потому что клиенты банков – это лакомый кусок для хакеров. Недели две назад мы зафиксировали атаку на один из крупнейших банков Казахстана. Злоумышленники запустили рекламу по социальным сетям, в которой рекомендовали: “Войдите в свой интернет-банк, введите свои данные, и тогда вы можете выиграть айфон или последнюю марку BMW”. Люди клюют на эту приманку, заходят на страницу, а она фишинговая, то есть похожа на страницу банка, но сделана хакерами.
Вы вбиваете туда свои данные, мошенники получают доступ к вашему интернет-банку и пользуются вашими деньгами.
Мы расследовали этот инцидент. По нашим данным, было скомпрометировано более 500 доступов к интернет-банку граждан Казахстана, и все эти доступы получены хакерами. Информацию передали банку, дальше он сам отрабатывает со своими пользователями. Такие атаки мы фиксируем практически каждую неделю. И атакуют не только казахстанские хакеры, в последнем случае это были турецкие “специалисты”.
– Где еще интернет-мошенники берут данные банковских клиентов?
– Могут покупать на хакерских форумах. Могут получить доступ к какой-то системе – государственной, информационной или коммерческой, к примеру, взломав какой-то популярный интернет-магазин. Там они берут данные о пользователях – их ФИО, адрес, данные банковских карточек – и пользуются этим, чтобы “развести” свою жертву, вытаскивая из нее ПИН-коды.
По схеме дозвона обычно работает целая команда, иногда из 20–30 человек. Там есть люди, которые занимаются сбором данных – покупают базу на хакерских форумах либо обрабатывают жертву в Интернете. Есть люди, которые непосредственно звонят клиентам. Обычно для этой работы нанимают девушек, к ним доверия больше. И есть так называемые дропы – это те, кто идет снимать деньги жертв. Их лица попадают на видеокамеры, поэтому хакеры обычно договариваются с бездомными, которым уже терять нечего. Либо находят в Интернете тех, кто хочет заработать легко и быстро и т. д. То есть всё организовано и структурировано. Эти команды играют на количестве: позвонят ста пользователям, из них один-два обязательно попадутся на эту удочку.
– Злоумышленники действовали даже в зонах. Это и сейчас актуально?
– Почему нет? Это давний тренд. У людей, которые находятся в тюрьмах, есть доступ к Интернету, к телефону, и, чтобы как-то зарабатывать, они активно используют эти “левые” схемы. Также получают доступ к базам данных и начинают звонить людям, стараясь развести их на деньги.
Но они это делают не только звонками. Заключенные регистрируются в социальных сетях – в “ВКонтакте”, “Инстаграме” – создают там аккаунты красивых девушек, вступают в переписку со многими парнями и каждого просят пополнить тот или иной счет. Парень, думая, что общается с красивой девушкой, отправляет деньги осужденному. Так один тысячу закинет, другой – пару тысяч, вот сидельцу и заработок.
– Люди лишены свободы, а у них Интернет, телефоны, базы... Находясь в заключении, они совершают мошенничество…
– Этот вопрос не ко мне. Казахстан является идеальным полигоном для хакеров со всего мира
– Могут ли злоумышленники пользоваться теми данными, которые мы добровольно оставляем в торговых центрах, салонах красоты и т. д.?
– Конечно. У нас, к сожалению, персональные данные не особо защищаются, они почти в свободном доступе. А во многих странах уже есть такая должность, как офицер по персональным данным. Есть даже агентство по персональным данным, которое их защищает. Это сильно развито, к примеру, в Южной Корее. Там, даже если вас незаконно сфотографировали, вы можете апеллировать, и агентство вас защитит.
Теперь и у нас хотят внедрить такое. После одной из крупных утечек, когда данные 11 миллионов граждан были скомпрометированы – это Центризбирком был – мы узнали, что инициировано создание агентства по защите персональных данных. Это очень серьезный вопрос, поэтому у нас должен быть госорган, где будут находить утечки, проверять, как обрабатывается ваша информация.
Более того, за рубежом кибергигиена преподается в школах, там учат, что нельзя распространять свои данные, как нельзя открывать в электронной почте письма от неизвестных людей. Нам тоже нужны такие уроки.
– Пока у нас этого нет, как мы можем защитить себя?
– Если говорить об интернет-банкинге, то, во-первых, не нужно пользоваться неизвестными приложениями на телефоне. Многие скачивают игры из каких-то неофициальных источников, но зачастую именно в эти приложения внедрены вредоносные модули, которые запрашивают у вас доступ к фотографиям, к камере, к SMS и т. д. Получив его, они могут без проблем перехватывать ваши банковские SMS с кодом транзакций. За этим нужно следить, ну и ПИН-коды никому сообщать нельзя. Вопрос кибербезопасности относится не только к банку, вы и сами ответственны за это.
У нас, к сожалению, очень мало кейсов, когда этих злоумышленников ловили и сажали, даже если мы их выявляли. Чтобы их поймать, нужно обладать хорошими техническими знаниями, нужно думать, как думает злоумышленник, а с этим проблема. Вторая причина – несовершенство законодательства. Из-за этого мошенники чувствуют безнаказанность, действуют нагло, даже угрожают расправой.
– Они звонят жертвам с конкретного номера. По нему же можно определить местоположение афериста?
– Да, МВД может это сделать. Для этого и внедрялась обязательная регистрация телефонов, хотели защитить граждан от таких мошенников. Но почему-то пока мы не видим, что это работает.
Есть еще одна проблема: пострадавшие, как правило, не хотят обращаться в полицию. Человек, когда его атакуют и крадут 20–30 тысяч тенге, не подает заявление, думая, сколько времени ему придется потратить на общение с правоохранителями, на походы по судам и т. д. А в МВД нам говорят: “Мы не можем возбудить уголовное дело, потому что нет заявления. Мы не можем его сами подать, потому что не мы потерпевшие”. Чтобы такие дела раскрывались, люди должны добиваться, чтобы расследование было. Нужно писать заявление после каждого такого случая, иначе мы никогда не сможем решить эту проблему.
НУР-СУЛТАН