Шахраї можуть красти гроші українців за допомогою смартфона: ПриватБанк розповів про нову схему

ПриватБанк попередив про NFC Relay-атаки, під час яких шахраї під виглядом банківських працівників змушують людей встановити сторонню програму та прикласти фізичну картку до смартфона, після чого можуть дистанційно провести операцію зі зняття або переказу коштів. Банк наголошує, що його працівники не просять встановлювати сторонні файли, повідомляти ПІН-код або прикладати картку до телефона для "сканування" чи "перевірки безпеки".

Про це розповіла керівниця департаменту fraud-менеджменту ПриватБанку Наталія Фіголь в коментарі медіа. Йдеться про технологічно складну схему, яку називають NFC Relay-атакою. Її особливість полягає в тому, що жертва фактично сама виконує необхідні дії зі своєю карткою, не усвідомлюючи, що допомагає зловмисникам отримати доступ до грошей.

Як працює нова схема з NFC

Шахрайська атака зазвичай починається зі звичайного телефонного дзвінка або повідомлення. Зловмисник представляється працівником банку та повідомляє клієнту про нібито проблему з рахунком, необхідність оновити банківський застосунок, пройти перевірку безпеки або захистити картку від підозрілої операції.

Далі людину переконують встановити на смартфон певне програмне забезпечення. При цьому шахраї можуть надсилати посилання або файл через месенджер, електронну пошту чи інші канали зв'язку. Після встановлення програми зловмисники отримують можливість використовувати смартфон жертви для проведення подальших маніпуляцій.

Ключовим моментом схеми стає фізична банківська картка. Людину можуть попросити прикласти картку до смартфона, нібито для її "сканування", "активації NFC", "підтвердження особи" або "перевірки захисту". Саме на цьому етапі користувач може не розуміти, що відбувається насправді.

Картку нібито "перевіряють", а гроші вже можуть знімати

NFC – це технологія бездротового зв'язку на дуже короткій відстані, яка використовується, зокрема, для безконтактних платежів. У звичайній ситуації людина прикладає банківську картку до термінала або використовує смартфон для оплати покупки. Однак шахраї намагаються використати цю технологію в іншому сценарії.

Під час NFC Relay-атаки дані та сигнали можуть передаватися між пристроями, які перебувають на відстані один від одного. Саме це дозволяє зловмисникам організувати схему, за якої картка жертви фізично знаходиться поруч із її смартфоном, тоді як операція фактично проводиться в іншому місці.

У результаті шахраї можуть використовувати отриману інформацію для здійснення операції в банкоматі або проведення платежу. Найнебезпечніше в цій схемі те, що жертва сама тримає картку біля телефона та виконує інструкції людини, яка представляється банківським працівником.

Шахраї можуть вимагати навіть ПІН-код

Окрему небезпеку становить момент, коли зловмисники починають вимагати від клієнта додаткові дані. Під приводом "перевірки картки" або "підтвердження операції" вони можуть попросити назвати ПІН-код, код із повідомлення, дані картки чи іншу інформацію.

У такій ситуації не можна продовжувати розмову та виконувати вказівки співрозмовника. Справжній працівник банку не повинен просити клієнта повідомляти ПІН-код картки або встановлювати стороннє програмне забезпечення для "перевірки безпеки". Так само банківський співробітник не буде вимагати прикласти фізичну картку до смартфона для якогось "сканування" чи "активації захисту".

У банку назвали головні ознаки атаки

• просять встановити програму за посиланням;

Якщо людина, яка представляється працівником банку, надсилає файл у Telegram, Viber, WhatsApp або іншому месенджері та просить його встановити, це серйозна ознака шахрайства. Банківські застосунки потрібно завантажувати лише з офіційних магазинів – App Store або Google Play.

• просять прикласти картку до смартфона;

Зазначається, що це один із ключових сигналів саме NFC Relay-шахрайства. Якщо незнайома людина телефоном повідомляє, що для "сканування", "перевірки" або "активації захисту" необхідно прикласти фізичну картку до смартфона, виконувати таку вимогу не можна.

• вимагають ПІН-код;

ПІН-код є конфіденційною інформацією. Його не можна повідомляти співробітникам банку, операторам, "службі безпеки" чи будь-яким іншим людям, які телефонують клієнту.

• створюють відчуття терміновості.

Ще один типовий прийом – психологічний тиск. Шахрай може заявити, що з рахунку просто зараз намагаються списати кошти, картку заблокують через кілька хвилин або рахунок буде закрито, якщо клієнт негайно не виконає інструкції.

Застосунок банку потрібно завантажувати лише офіційним шляхом

Один із найпростіших способів знизити ризик подібного шахрайства – не встановлювати програми за посиланнями, які надсилають невідомі люди. Навіть якщо співрозмовник знає ім'я клієнта, номер телефону, частину інформації про картку або інші персональні дані, це ще не означає, що він справді є працівником банку.

Зловмисники можуть використовувати інформацію, отриману з витоків даних, соціальних мереж або інших джерел, щоб створити враження, що вони мають доступ до банківської інформації. Якщо виникла підозра щодо безпеки рахунку, найкраще самостійно завершити розмову та зв'язатися з банком за офіційним номером.

Що робити, якщо ви вже виконали підозрілі дії

Якщо людина вже встановила сторонню програму, повідомила конфіденційні дані або прикладала картку до смартфона за інструкцією невідомого співрозмовника, не варто чекати, поки з рахунку зникнуть гроші. Потрібно якомога швидше зв'язатися з банком через офіційні канали та повідомити про можливу шахрайську атаку.

За необхідності банк може заблокувати картку та допомогти захистити рахунок. Якщо на телефон встановлювалося невідоме програмне забезпечення, його також не варто просто залишати на пристрої. Необхідно перевірити смартфон на наявність сторонніх застосунків та дозволів, які могли бути надані їм під час встановлення.

Як повідомляв OBOZ.UA раніше, шахраї почали масово поширювати серед українців фейкові повідомлення про виплату 8 500 грн нібито від ADRA Ukraine та ООН і ведуть людей на підроблений сайт, де виманюють банківські дані. Не переходьте за такими посиланнями та не вводьте номери карток, паролі й коди підтвердження, а якщо вже передали дані – негайно зверніться до банку.

Лише перевірена інформація в нас у Telegram-каналі OBOZ.UA та Viber. Не ведіться на фейки!