И в очередной раз о финансовой безопасности

Ещё раз вернуться к вопросу безопасности банковских карт меня побудили не только ежедневные сообщения в криминальной хронике о том, что ещё один счастливчик распрощался со своими денежками, но и статья с мобайл ревью.
Нижеследующий текст - копипаста из профильной конференции "Опсосы, коллективно и объективно об операторах сотовой связи". Будет интересно, присоединяйтесь.

Автопопополнение баланса

Абсолютное зло это автопополнение баланса и отличный способ мошенникам увести ваши деньги, особенно, если у вас смартфон под управлением Android. В прочем и пользователи iOS не застрахованы от развода, ибо мошенник, например, если вы - абонент Билайн, может подключить ваш номер к своему личному кабинету и управлять им без вашего ведома, в т.ч. и переводить ваши деньги себе через услуги мобильной коммерции.

Защита от лишних списаний

• Не держите на балансе телефона средств больше, чем это необходимо. Если у вас тариф с абонентской платой, которая списывается ежемесячно, пополняйте баланс непосредственно перед снятием абонентской платы таким образом, чтобы после её списания на балансе не оставалось бы более 5 - 10 рублей, можно и меньше. Если абонентская плата снимается ежедневно равными долями, то не держите на балансе средств больше, чем нужно на месяц пользования вашим тарифным планом.
• Никогда и ни под каким предлогом не подключать услугу автопополнение баланса. Пополняйте баланс телефона только ручками. Лучше на день остаться без связи, если вы забудете пополнить баланс, чем остаться без денег, благо, буде произойдёт непредвиденная ситуация, в экстренные службы можно позвонить и с нулём на балансе.
• Если вам пришло sms с каким-то кодом а следом за ним звонят и просят предоставить код, никогда и ни при каких обстоятельствах не говорите код из sms, кем бы вам не представлялись: сотрудником оператора, службой безопасности, сотрудником банка и т.д. И первым, и вторым, и третьим код ни к чему, они и без него могут всё смотреть и менять любые параметры ваших услуг. Не дайте затянуть вас в разговор, если не уверены в своих силах. Говорите, что никакого sms с кодом вам не приходило и сразу же кладите трубку. Грамотные мошенники - достаточно хорошие психологи и, удержав вас на линии, в конечном итоге смогут у вас выведать вожделенный код.
• При регистрации в личных кабинетах операторов сотовой связи не придумывайте простых паролей, навроде 123456789, или qwerty123, старайтесь придумывать пароли, содержащие малые и большие буквы, а так же цифры. Подходите к паролям от личных кабинетов сотовой связи так же тщательно, как к паролям, защищающим вашу личную информацию.
• Не публикуйте в социальных сетях ваши мобильные и домашние номера телефонов, особенно в открытом доступе. Если очень хочется опубликовать свои номера и настройки конфиденциальности у социальной сети достаточно гибки, сделайте отображение номеров доступным только для друзей. Именно для друзей, а не для друзей и друзей друзей, т.к. второе практически равнозначно открытому доступу. Если вы - фрилансер и созваниваетесь с заказчиками, или ваша работа завязана на телефон, заведите для рабочих звонков отдельный номер и указывайте его в соцсетях. Если этот номер будет скомпрометирован, злоумышленники смогут получить информацию только о вашей работе. И самое главное ниже.
• Подключите на всех ваших мобильных номерах отдельный лицевой счёт для оплаты контент-услуг. Это осложнит мошенникам снятие средств с вашего баланса.

В заключение коснусь ещё одной серьёзной проблемы.

увод денег с карт сбербанка через sms-трояны

Порой у меня складывается такое ощущение, что сбербанк если уж не за одно с мошенниками, то не особо стремится с ними бороться. Типа, как по понятиям, нельзя запретить вору воровать, вот они и не запрещают. Давайте вкратце поговорим о том, как же происходит увод средств с ваших карт и что надо сделать, чтобы снизить вероятность опустошения вашего лицевого счёта.
Для того, чтобы злоумышленник смог снимать деньги с вашей карточки нужно, чтобы выполнилось следующее:

• Наличие смартфона под управлением Android. Владельцы iPhone могут уже ехидно посмеиваться, сие совсем не возбраняется)
• Наличие на номере, который вставлен в телефон, подключенной услуги мобильный банк.
• Установить на ваш телефон программу-троян, которая способна перехватывать sms от сбербанка, обрабатывать их и правильно отвечать на них. Учитывая, что в Android нет никакой защиты от доступа сторонних приложений к базе сообщений, сделать это совсем нетрудно. Троян можно заставить вас установить под кучей предлогов. Во многих дополнениях к играм в официальном плеймаркете уже вшиты трояны, заточенные под работу с популярными банками, причём мошенники более всего ориентируются на сбер, ибо сбер практически всегда отфутболивает своих разведённых клиентов с формулировкой "сам дурак", тогда, как более адекватные коммерческие банки начинают искать концы и, как правило, находят.

Всех этих условий вполне достаточно, чтобы начать опустошать вашу банковскую карту.

Технология

Немного поговорим, как же происходит отъём денег у счастливых обладателей android-смартфонов.
Первое, что делает троянец, попав к вам в телефон, это отсылает на номер 900 сообщение с текстом balans. В ответ сбер присылает ему баланс карты, если у вас она одна, или подсказку, как запросить баланс, если карта не одна. Троянец перехватывает такое sms раньше вашего sms-клиента и в лучшем случае вы даже нге слышите сигнала о приходе сообщения, а в хучшем услышите сигнал, но открыв приложение сообщения уже ничего не увидите и спишете всё на глюки андроида.
Далее троянец запрашивает балансы по всем вашим картам, благо сбер в ответ на запрос пришлёт последние 4 цифры всех ваших карт. После этого начинается веселье. Троянец начинает слать на номер 900 примерно такие сообщения:

• 1234 9031234567 9999

Разберём формат этих сообщений подробнее:

• 1234 - последние 4 цифры вашей карты, которые троянец прочитает из перехваченного от сбера сообщения.
• 9031234567 - мобильный номер, на который будем выводить средства. Как правило мошенники используют номера абонентов Билайн, или tele2 в силу того, что с таких номеров достаточно просто вывести деньги. Например, один из Саратовских банков позволяет анонимно получать переводы, отправленные с номеров Билайн, главное только указать при переводе кодовое слово. Беря за такие переводы комиссию в 25% банк кормит и себя, и огромную толпу зеков-мошенников, которые научились опустошать банковские карты и выводить деньги через этот банк. Технологию вывода средств через саратовский банк обсуждать не будем, чтобы в некоторых буйных головушках не начала вызревать идея нарушить уголовный кодекс. Хочется заметить, что правоохранители давно знают и о замечательном банке, и о технологии, придуманой в одной из зон под городом Ртищево и расползшейся по всей россии уже несколько лет назад, но почему-то не прикрывают лавочку. Оставим этот вопрос на усмотрение прокуратуры и управления собственной безопасности мвд России.
• 9999 - сумма, которую надо перевести. Сбер ограничивает пополнение баланса мобильных телефонов десятью тысячами рублей в день, посему и сумма такая.

После ввода этой замечательной команды денежки с вашей карты уйдут на номер абонента Билайн, зарегистрированный, как правило, на бомжа, или покойника, или вообще взятый без регистрации на площади трёх вокзалов, а уже через несколько минут будут перенаправлены либо в весёлый саратовский банк, либо в киви-кошелёк, либо через услугу мобильной коммерции по другим хитрым путям. Разумеется, троянец перехватит и ответ от сбербанка, так что о списании денег вы узнаете только тогда, когда пойдёте в банкомат, или залезете в сбербанк-онлайн. Вот такие весёлые штуки.

Защита карты сбербанка

Давайте теперь поговорим о защите от весёлых мошенников, саратовских банков, ртищевских заключённых и прочего отребья.
Варианты не использовать android-смартфонов, или карт сбербанка рассматривать не будем, хотя первое кажется мне весьма удачной идеей. Итак начнём.

• Подумайте, так-ли нужен вам мобильный банк... Если вы сразу снимаете все средства с карты, например, пенсию, если вы не оплачиваете с карты коммунальные платежи, мобильную связь и другие покупки, самое простое будет просто отключить мобильный банк. В конце концов, ближе ко дню начисления пенсии, или зарплаты можно просто ходить в сбер и проверять баланс, благо у банкомата в офисах сбера всегда тусуются девушки, которые помогут вам, если вы не можете сами, например из-за зрения, пользоваться банкоматом. Если же вы активно пользуетесь интернет-платежами, то читаем дальше.
• Установите на ваш смартфон под управлением андроида антивирус. Проверьте им систему и удалите все подозрительные приложения, который он обнаружит. После этого антивирус можно и удалить, особенно, если выполните рекомендации ниже.
• Отключите установку приложений из неизвестных источников и включайте только при необходимости, хотя от троянов, в изобилии водящихся в плеймаркете, это вас и не спасёт, но лучше уж так, нежели совсем никак.
• Обязательно подключите услугу сбербанк онлайн. Тем паче, если у вас уже подключен мобильный банк, то эта услуга будет бесплатной и поможет обрубить мошенникам практически все возможные способы увести ваши денежки.
• Зайдите в сбербанк онлайн, пройдите по ссылке мобильный банк и для всех ваших карт отключите услугу быстрый платёж. Именно она позволяет мошенникам переводить деньги с вашей карты на другие номера телефонов. После отключения этой услуги на всех картах попавший в ваш смартфон троянец уже не сможет увести ваши деньги, т.к. после отключения этой услуги с помощью sms можно будет пополнять только баланс своего телефона, а так же выполнять операции по шаблонам, созданным через сбербанк онлайн.

Вот так просто можно в разы уменьшить вероятность отъёма ваших денег.
Ну и под занавес письма ещё несколько общих рекомендаций:

• если вы получили sms о том, что ваша карта заблокирована, или что с неё списаны средства по решению суда, или ещё что-то, НИКОГДА И НИ ПРИ КАКИХ ОБСТОЯТЕЛЬСТВАХ не перезванивайте по номерам, указанным в таком сообщении. Лучше идите в ближайший офис сбербанка, причём чем быстрее, тем лучше, не забыв захватить карту и паспорт. Там вам всё расскажут и укажут, что делать в случае реального списания средств, например, по исполнительному производству, либо расскажут, как не попасться на удочку мошенников, если sms-сообщение пришло от мошенников.
• старайтесь не светить в Интернете реквизиты вашей кредитной, или зарплатной карты. Лучше использовать виртуальные карты, на которые перечислять деньги непосредственно перед покупкой с ваших реальных карт. В этом случае, если мошенники и узнают реквизиты вашей виртуальной карты, то брать с неё будет нечего, т.к. деньги на ней появляются только на несколько минут непосредственно перед покупкой.

Надеюсь, что эти азбучные рекомендации, которые в, наверняка, встречали уже много-много раз на разных сайтах, а так же по телевизору, помогут вам и сподвигнут вас к тому, чтобы вы были более внимательными.