«Взламывают не банк, а человека»: аналитик Бедеров объяснил новую схему гибридных атак мошенников

Председатель совета по противодействию технологическим правонарушениям КС НСБ России Игорь Бедеров назвал комбинированные атаки законом этапом эволюции киберпреступности. Если раньше злоумышленники ограничивались только звонком или сообщением, то теперь они выстраивают многоуровневую систему обмана.

«Во-первых, эффект подтверждения, когда голос "сотрудника банка" создаёт тревогу и ощущение официальности, мессенджер делает коммуникацию привычной и быстрой, а поддельный сайт визуально закрывает сделку. Во-вторых, растёт конверсия, то есть человек с большей вероятностью введёт данные, если ему не просто позвонили, а "подтвердили" ссылкой. В-третьих, это дёшево и масштабируемо, поскольку у мошенников есть шаблоны, голосовые боты, фишинговые конструкторы, базы номеров», — рассказал специалист.

Технически схема опирается на социальную инженерию. Мошенники не взламывают банковские серверы — они взламывают психику жертвы. Стандартный сценарий выглядит так:

1. Звонок: жертве сообщают о «подозрительной операции» и необходимости срочно защитить счет.
2. Мессенджер: чтобы усыпить бдительность, присылают фото «служебного удостоверения» или ссылку на чат-бот поддержки.
3. Фишинг: жертву ведут на поддельную страницу онлайн-банка, которая визуально идентична настоящей, где она сама вводит все пароли и коды доступа.

По словам Бедерова, способы комбинированных атак будут только совершенствоваться. К ним добавятся качественный ИИ-голос (дипфейки) и нейросетевые подделки документов. Уже сейчас доля схем с применением искусственного интеллекта составляет порядка 12% от всех успешных краж.

Гражданин может защититься от подобного, если будет следовать нескольким жёстким правилам, напомнил эксперт банку никогда не нужны ваши пароли.

• Банк никогда не просит логин, пароль, код из СМС, пуш-код или CVV.
• Сотрудники ведомств не общаются с гражданами через сторонние мессенджеры по финансовым вопросам.
• При получении такого звонка нужно немедленно положить трубку. Не пытайтесь продолжать диалог.
• Сами позвоните в банк по номеру на обратной стороне карты или зайдите в официальное приложение вручную (не кликая по ссылкам).
• Включите двухфакторную аутентификацию, но помните: код подтверждения нельзя называть никому, даже если звонящий представляется полицейским или представителем службы безопасности.

«Это скучно, но это самый надёжный барьер. Нужно выработать привычку проверять не эмоцией, а действием», — заключил собеседник RT.