Как крадут деньги через фишинговые сайты

Чем опасны фишинговые сайты

Чаще всего фишинговые сайты создают для банков, авиакомпаний, сервисов бронирования билетов и доставки еды — там, где пользователь будет что-то оплачивать или есть шанс получить доступ к его счету.

На фишинговых сайтах есть форма оплаты или форма ввода логина и пароля от личного кабинета. С личным кабинетом опасность в том, что мошенник получает логин, пароль и код из смс, а затем — доступ к деньгам на счете. Работает это так:

• пользователь вводит логин и пароль на поддельном сайте;
• мошенник видит эти данные и вводит их на настоящем сайте;
• пользователю приходит смс от банка и он вводит код на поддельном сайте;
• этот код мошенник вводит на настоящем сайте и получает доступ к личному кабинету и счету пользователя.

А через форму оплаты на фишинговом сайте мошенник может списать любую сумму. Например, пользователь заказывает пиццу за 700 рублей, вводит номер карты и получает код в смс. Но код приходит не на 700 рублей, а на 30 000 рублей, которые получит мошенник.

Пользователь заказал пиццу по ссылке из инстаграма, и с его карты списалось 30 000 рублей. Комментарий на виси-ру

Когда смс с кодом появляется на экране телефона в виде уведомления, видно только код. Сумму пишут ниже, и чтобы ее увидеть, нужно раскрыть уведомление.

Как защититься от фишинговых сайтов

У Модульбанка тоже есть фишинговые сайты — мошенники создают их, чтобы получить доступ к расчетным счетам. Служба безопасности Модульбанка отслеживает и блокирует такие сайты, но мошенники создают новые с другими доменами. Поэтому мы решили рассказать, как не попасться.

Заходить на сайт из закладок. Мошенники привлекают пользователей через рекламу, например, предлагают купить пиццу со скидкой в инстаграме и Вконтакте и оплачивают объявления в поисковиках. Пользователь вводит в гугле запрос «Модульбанк» и на второй строчке видит рекламу фишингового сайта.

Реклама фишингового сайта в поисковой выдаче. Этот домен служба безопасности Модульбанка заблокировала на прошлой неделе

В рекламе на скрине домен отличается от настоящего, а название компании написано неправильно, но если не приглядываться, можно перепутать — на это и рассчитывают мошенники.

Чтобы защититься, нужно входить в личный кабинет только через my.modulbank.ru. Лучше вообще не переходить по ссылкам из рекламы, а на сайты банка, доставки еды и сервиса бронирования билетов заходить через закладки в браузере.

Читать смс банка. Когда банк присылает код для оплаты, нужно открыть смс или уведомление, проверить сумму и назначение платежа.

Не игнорировать предупреждения. Иногда браузеры и социальные сети показывают предупреждение — окошко с надписью вроде такой:

«Внимание, вы хотите перейти на сайт, который используется для распространения вредоносных программ и фишинговых атак».

Если появляется предупреждение о небезопасности, на сайт лучше не переходить.

Проверять сертификат безопасности. Компании, которые принимают оплату от пользователей, подключают сертификат EV — он гарантирует, что сайт действительно принадлежит компании. Чтобы получить сертификат, нужно прийти в центр сертификации и показать документы, которые подтвердят, что компания существует, а ее реквизиты совпадают с реквизитами на сайте.

Для проверки сертификата нужно нажать на замочек в адресной строке браузера и затем на кнопку «Показать сертификат» — должно открыться такое окно:

Сертификат безопасности в личном кабинете Модульбанка. Сертификат должен быть действительным

Если в адресной строке есть пометка «Небезопасно», на сайте нельзя вводить данные карты, логины и пароли. В браузере это будет выглядеть так:

Отметка о небезопасности в Сафари

В Опере в адресной строке появляется треугольник с восклицательным знаком — если кликнуть по нему, откроется окошко с предупреждением

Жаловаться на фишинговые сайты. На сайты мошенников можно пожаловаться в поддержку компании. Нужно прислать в чат ссылку, и дальше сайтом будет заниматься служба безопасности компании. Еще можно отправить жалобу в Гугл и Яндекс, чтобы поисковики заблокировали сайт.

И стандартный совет, о котором нужно узнать до 20 лет: никому не говорить код из смс, логины и пароли.