никому не сообщайте код после подтверждения произойдет списание
Почему никому и никогда нельзя отправлять коды подтверждения
Как выманивают коды подтверждения из СМС-сообщений, и что может случиться, если их переслать.
«Никому не сообщайте этот код!» — казалось бы, когда речь идет об одноразовых кодах и паролях, это настолько очевидный совет, что его нет смысла в очередной раз повторять. Однако обстоятельства бывают разные…
Вежливая просьба о помощи
Недавно наткнулся на вот такой пример фишинга. Человек получает SMS-сообщение примерно следующего содержания:
«Добрый день, вы меня не знаете, но ваш номер телефона когда-то давно принадлежал мне. Пытаюсь залогиниться в один из своих старых аккаунтов, привязанных к этому номеру, но он требует код активации, пришедший в СМС на этот самый номер. Хочу узнать, будет ли вам удобно, если я попрошу вас переслать мне это код, когда он придет. Заранее большое спасибо».
Если номером телефона долго не пользоваться, то сотовые операторы действительно отключают его и продают кому-нибудь другому — так что ситуация, когда у вашего номера когда-то мог быть другой владелец, вполне реальна, особенно если этот номер у вас не так давно. И многие люди об этом знают.
Если просьба написана достаточно интеллигентным языком, то выглядит она крайне убедительно — добрые люди, готовые помочь вежливому человеку, реагируют и обещают переслать код. Код приходит, они отправляют его автору сообщения, тот в ответ рассыпается в благодарностях. Но на самом деле они только что отдали этому человеку доступ к своему аккаунту.
Невежливое воровство аккаунтов, или Что на самом деле произошло
Возможно, конечно, это действительно была SMS от человека, которому когда-то принадлежал ваш номер и которому нужна помощь. Но вряд ли. Скорее всего, это был фишинг. И вот что могло происходить.
Злоумышленник находит на просторах Сети информацию о том, что адрес электронной почты такой-то и номер телефона такой-то связаны друг с другом — оказывается, это ваши номер телефона и адрес. Если у вас был аккаунт в Yahoo, Twitter или LinkedIn (или же еще каком-нибудь из сотен сервисов, в которых за последние несколько лет произошла утечка пользовательских данных), то информацию о том, какой номер телефона связан с вашей почтой, найти вполне реально.
Дальше злоумышленник решает заполучить доступ к вашей почте, и для этого ему нужно сбросить пароль. Сервис в этом случае отправит вам на телефон СМС с кодом, который нужен, чтобы подтвердить, что это именно вы пытаетесь сбросить пароль.
Прежде чем браться за это действие, мошенник пишет вам трогательно-вежливую СМС, которую мы привели выше. Код действует всего несколько минут, то есть злоумышленнику нужно сначала морально подготовить вас к тому, что ему потребуется этот самый код, чтобы вы поскорее его прислали.
Получив доступ к вашей почте, мошенник может спокойно сбрасывать пароли на всех ваших аккаунтах, привязанных к этой почте, — в соцсетях, других почтовых сервисах, онлайн-кошельках и так далее. Ссылка для сброса пароля придет на почту — и, вуаля, у злоумышленника есть доступ ко всем вашим аккаунтам. А вот у вас его больше нет.
Именно поэтому ни в коем случае нельзя пересылать или озвучивать коды подтверждения, пришедшие в СМС, какими бы убедительными ни выглядели просьбы. Озвучив всего один код, можно потерять доступ практически ко всему.
Списали деньги с карты Сбербанка без подтверждения: что делать
Многие клиенты Сбербанка сталкиваются с неприятной ситуацией, когда с их карт списываются деньги без подтверждения. При списании не приходит СМС с кодом подтверждения и не выскакивают специальные push-уведомления в приложении банкинга. В статье мы расскажем о возможных причинах несанкционированных покупок, покажем как можно отключить платежи и рассмотрим ситуации, при которых можно вернуть деньги.
Автоматическое списание без подтверждения через сервис ЮMoney
Сразу стоит оговорится! Мы не будем рассматривать ситуации, когда у клиентов Сбербанка попросту отключена или не продлена услуга SMS-информирование, либо был проведен плановый платеж (за обслуживание карты, страхование).
Деньги снимают за платные подписки
Наиболее распространенной причиной автосписаний являются платные подписки. Большое количество онлайн-сервисов сегодня работают с подписочной моделью продуктов, заманивая пользователей бесплатным периодом. Обязательным условием доступа к пробному периоду является привязка реквизитов карты и проведение минимального проверочного платежа (например, 1 рубль).
В момент привязки сервис подключает карту к рекуррентной системе платежей, суть которой заключается в автоматическом продлении услуг без участия пользователя. Все условия и нюансы такого подключения прописываются в «договоре оферты», но многие пользователи попросту ленятся читать громоздкие тексты и просто ставят галочку напротив пункта «с условиями ознакомился».
Подключение Яндекс.Плюс с пробным периодом в 90 дней
В виду всего вышеизложенного, первым делом проверьте привязку карточки к платным сервисам.
Отключение автоплатежей в Сбербанк Онлайн
Проверка подписок в AppStore
Бывают случаи, когда в описании транзакции прописывается название платежной системы, через которую была проведена покупка. Например, автоматическое списание YooMoney Moscow RUS указывает на платежный шлюз ЮMoney (ранее Яндекс.Деньги). Если это ваша ситуация — обратитесь за разъяснениями в поддержку платежного сервиса. Укажите данные платежа и запросите информацию об источнике списания.
Деньги не списывают, а «временно блокируются» на карте
Достаточно часто клиенты Сбербанка сталкиваются со списаниями, которые в действительности оказываются «временной заморозкой» определенной суммы на счету. Например, интернет-магазины могут резервировать на карте сумму покупки, которая будет окончательно списана после доставки заказа. Часто при оплате картой в городском транспорте платежная система проводит минимальную сумму, которая потом войдет в окончательную оплату поездок за день. Популярный сервис проката элеткросамокатов Whoosh перед поездкой блокирует на карте клиентов 500-рублей, которые возвращаются на счет после катания без нарушений.
Примеров таких ситуаций и сервисов достаточно много. Временная блокировка денег на счету чаще всего связана с проверкой валидности карты и её платежеспособности. Возможно вы столкнулись именно с такой ситуацией и деньги будут возвращены на счет в течении 1-3 дней (срок возврата зависит от банка). В любом случае, необходимо получить разъяснения от поддержки сервиса, который заморозил денежные средства.
Деньги списываются мошенниками
К сожалению, в настоящее время выросло число несанкционированных платежей, связанных со взломом карты. Интернет-мошенники перехватывают реквизиты карт благодаря фишинговым сайтам (часто через фейковую форму оплаты) или вирусным программам, взламывающим доступ к онлайн-банкингу и sms-сообщениям.
Также мошенники располагают большим арсеналом вариантов для «законного обналичивания» украденных денег. Например, создается сайт знакомств, который предоставляет подписку к премиум-доступу. Стоит такая подписка порядка 1500-2000 рублей. Данные взломанной карты подвязываются к фейковому аккаунту, через который и выполняется покупка премиума. Владелец карточки обнаруживает покупку и сигнализирует в поддержку сайта с требованием удалить платежи. По требованию владельца подписка отключается, но в итоге мошенники получают «чистые» деньги и в возврате средств отказывают, так как формально услуга была оказана. Доказать причастность владельцев сайта к мошеннической схеме очень сложно, плюс ко всему, органы правопорядка отказываются принимать заявления по таким малым суммам.
Форма оплаты на фишинговом сайте знакомств
Если вы обнаружили оплату услуги или покупку, которую лично не проводили — присутствует большая вероятность взлома банковской карты. Скорее всего мошенники получили полный доступ к реквизитам карты и пытаются быстро вывести деньги. В случае подозрения на взлом мы рекомендуем делать следующее:
Денежные средства снимаются ФССП
Вся информация о подобных платежа доступна банку, а в детализации операции будет специальная пометка, указывающая на тип взыскания. Остальные вопросы необходимо уточнять у поддержки Сбербанка.
Важно уточнить, что судебные приставы не могут списать деньги с кредитных карт, а также не имеют право взыскать более 50% от поступающей на счет суммы (пенсия, заработная плата).
Как вернуть списанные без подтверждения деньги?
В плане возврата денежных средств все не так просто и банки часто отказывают клиентам в решении данного вопроса. В любом случае, начните с заявления в банк о несогласии с проведенной операцией. В заявлении опишите детали операции, укажите на необходимость вернуть деньги, прикрепите соответствующие скриншоты. Заявление можно подать письменно в отделении банка или по телефону, через специалистов поддержки. Служба безопасности будет проверять несанкционированное списание, после чего уведомит вас о своем решении.
Пример запроса в Сбербанк на проведение процедуры чарджбэк
Заключение
Если с карты Сбербанка списали деньги без подтверждения по СМС, необходимо проверить наличие платных подписок на популярных сервисах и проанализировать вероятность взлома карты. Обязательно обратитесь в поддержку Сбербанка (по номеру 900 или через приложение), попросите проверить детали операции и указать источник списания.
Нет времени объяснять, блокируй карту! Четыре способа снять ваши деньги без подтверждения по СМС
Треть россиян в возрасте до 25 лет постоянно пользуются бесконтактными платежами, а 2% граждан страны вообще отказались от наличных, свидетельствуют данные «Левада-центра». Картой удобно расплачиваться в продуктовых и в транспорте, ее можно привязать к медиасервисам и такси, запланировать платежи по коммуналке. Но есть и оборотная сторона медали. О ней 66.RU рассказал Артем Трофимов, специалист по безопасности карт в банке для предпринимателей «Точка».
Как могут украсть деньги?
В банковской сфере есть понятие «скомпрометированная карта». Это карта, полный номер которой, код CVV2 или CVC2 и другие данные стали общедоступны или попали в руки мошенников. Этих данных может быть достаточно, чтобы банк предоставил доступ к вашим деньгам. Узнать о том, что карта скомпрометирована, практически невозможно, пока ею не воспользовались без вашего ведома.
Как это может произойти? Если мошенник знает номер карты и CVV2 или CVC2, он способен совершать операции в интернет-сервисах, которые не поддерживают или намеренно не используют технологию 3D-Secure. Проще говоря, не отправляют вам одноразовый пароль, чтобы подтвердить, что покупку оплачивает именно владелец карты, а не кто-то другой.
Проверять ли личность покупателя с помощью 3D-Secure или нет, решает онлайн-продавец, а не банк, выпустивший карту. Некоторые компании осознанно проводят часть операций без этой технологии, чтобы упростить покупки для клиентов.
Интернет-магазин AliExpress сознательно отказался от 3D-Secure. Первые несколько операций там будут подтверждаться одноразовым кодом. Когда в магазине убедятся, что учетная запись не мошенническая, вам позволят совершать сделки без 3D-Secure, чтобы покупатель не делал лишних движений и не передумал после того, как ему придет СМС с паролем для подтверждения операции. Таким образом, в AliExpress самостоятельно решают, когда использовать 3D-Secure, а когда нет.
AliExpress — лишь пример того, как можно оплачивать покупки без 3D-Secure, а не место, где реально воруют. Через него практически не крадут деньги.
Агрегаторы Uber и «Яндекс.Такси» тоже не используют 3D-Secure. Мы в «Точке» не видим всплеска мошенничества в Uber, по-моему, это разовые случаи в других банках. Схема, с помощью которой мошенники выводят деньги через сервис, может быть такой. Воры привязывают украденные реквизиты — номер карты и код к ней — к профилю пассажира. Затем создают виртуальный профиль таксиста и «оплачивают» его услуги украденной картой, то есть имитируют поездки, а потом получают возмещение реальными деньгами.
Мошенники крадут деньги у клиентов банков через Uber. Под угрозой счета даже тех, кто не пользуется такси
Примеры с «Хабр»:
Мошенники хотят получить деньги с карты, а не расплачиваться за услуги с помощью украденных данных. Тем более, Booking.com и Airbnb потребуют для такой оплаты документ, удостоверяющий личность. Поэтому найти того, кто жил за чужой счет, не составит труда.
Как защитить данные?
Бережно относиться к реквизитам карт и стараться не компрометировать их. Во-первых, пользуйтесь бесконтактной оплатой через Apple Pay, Google Pay, Samsung Pay и другие сервисы. Они меняют реквизиты пластиковой карты на виртуальные — токен. Токены помогают уберечь реквизиты от третьих лиц. Даже если информацию токена узнают, она будет бесполезна, потому что в каждой транзакции используются зашифрованные динамические данные. Не за горами использование таких же токенов и при оплатах в интернете по технологии EMV® Secure Remote Commerce.
Если вы подозреваете, что карта скомпрометирована, сразу блокируйте ее с помощью звонка или письма в банк. После этого никто не сможет потратить деньги со счета, даже зная пин-код, CVV2 и другие данные.
Что делать, если деньги украли?
Срочно сообщите об этом банку. Тогда вы с большой вероятностью сможете опротестовать мошеннические операции, особенно когда 3D-Secure не использовался. Это плюс карт по сравнению с наличными, которые воры вам вряд ли вернут.
Даже если оспорить покупку или перевод не выйдет, есть возможность заморозить ваши деньги на счетах мошенников, чтобы впоследствии вернуть их по требованию правоохранителей.
Редакция 66.RU благодарит банк для предпринимателей «Точка» за помощь в подготовке материала.
Что делать, если приходят СМС с кодом подтверждения от разных магазинов на телефон как это остановить?
Наш мир переполнен мошенниками. Люди, ищущие лёгкой наживы, получающие серьёзные деньги на человеческих ошибках, живут среди нас и ищут удобные пути быстрого обогащения. Среди последних особое место занимает взлом пользовательских аккаунтов, позволяющий получить доступ к кредитным картам, аккаунтам в социальных сетях и популярных интернет-площадках. Если вы внезапно начали получать множество СМС от различных магазинов, стоит задуматься – не находитесь ли вы на прицеле мошенников? Ниже разберём, почему вы получаете множество сообщений с кодами подтверждения, и как поступить в возникшей ситуации.
Много смс с кодами подтверждения – почему вы их получаете?
Обычно ситуация выглядит следующим образом: Вы ведете привычный образ жизни, и вдруг начинаете получать много SMS (или сообщений в мессенджерах), с кодами подтверждения от популярных и не очень сайтов. Выглядит это будто вы хотите зарегистрироваться на перечисленных ресурсах, и получаете код подтверждения для завершения регистрации. Или просто пытаетесь войти на ресурс с помощью подтверждения по СМС.
Такие коды могут приходить и днём и ночью, и часто не зависят от времени суток. При этом коды могут идти волнами. На протяжении одних суток вы можете получить десяток таких СМС, а на следующий день – ни одного.
Связано это может быть со следующими факторами.
Мошенники пытаются получить доступ к вашему аккаунту и отправляют SMS код
В дебрях киберпространства злоумышленник обнаруживает ваш адрес электронной почты, связанный с номером телефона. Если у вас есть учётная запись в Фейсбук, Твиттер, Instagram, VK, LinkedIn и десятках других сайтов, откуда регулярно происходят утечки пользовательских данных, будет несложно выяснить, какой номер телефона связан с вашей электронной почтой.
Злоумышленник обычно начинает с попытки получить доступ к вашей электронной почте. Для этого ему необходимо сбросить пароль. Когда он пытается выполнить сброс пароля, система отправляет на связанный номер смс-сообщение. В нём обычно находится код подтверждения позволяющий удостовериться, что именно вы как владелец аккаунта пытаетесь сбросить пароль.
Обычно код действителен в течении небольшого отрезка времени (от 10 минут до пары часов). Потому киберпреступник за этот отрезок должен получить данный код для получения доступа к аккаунту. В некоторых случаях после получения кода подтверждения вам может последовать звонок от неизвестного или неизвестной, которые под любыми предлогами будет пытаться заполучить данный код.
Имея код доступа к вашей электронной почте, злоумышленник может сбросить пароли для всех учётных записей, связанных с данным е-мейлом – социальных сетях, других почтовых сервисах, онлайн-кошельках и другом. Ссылки для сброса пароля будут отправлены на данный адрес электронной почты, и киберпреступник получит доступ к нужным ему аккаунтам.
Потому ни в коем случае не сообщайте коды подтверждения, которые поступают вам в смс, как бы любезно никто не умолял вас о помощи. Сообщение всего одного кода может заблокировать вам доступ к многим вашим аккаунтам, в том числе и банковским!
В других случаях злоумышленник с помощью различных скриптов и брутфорсов будет пытаться в автоматическом режиме подобрать пароль к вашему аккаунту. Система будет отправлять вам код подтверждения с целью удостовериться, что именно вы пытаетесь получить доступ к учётке.
После атаки смс-бомберов могут приходить СМС подтверждения от различных магазинов
Также для массовой отправки смс с кодом подтверждения на ваш номер могут использоваться смс-бомберы. Они представляют собой программу (скрипт) отправляющую в автоматическом режиме различные смс с кодом подтверждения на ваш номер.
Такие бомберы обычно используются в психологических целях, стремясь вызвать у жертвы дискомфорт, панику, довести до стресса и нервного срыва.
Заказчиками подобных решения может являться кто угодно – ваши родственники, друзья и коллеги, знакомые или просто люди, желающие над вами подшутить. В целом же подобные «шутки» часто достигают своей цели, так как получить смс с кодом подтверждения доступа к вашему банковскому аккаунту понравиться далеко не всем.
Как остановить получение СМС с кодом подтверждения
Если вы оказались объектом массовых смс-атак, рекомендуем выполнить комплекс действий, которые сведут их зловредное влияние к минимуму. Среди них:
Заключение
Если вы получаете множество смс от различных магазинов, содержащие код подтверждения, то вполне возможно, что ваш аккаунт пытаются взломать или вы подверглись атаки смс-бомбера. Никому не сообщайте полученные коды, а также занесите номера-отправители сообщений на пару недель в чёрный список. Это поможет избежать стресса и потери материальных средств, которые могут пригодится для других задач в будущем.
Как меня обманули на 15 000 ₽ с «Авито-доставкой»
И как я могла этого избежать
Рассказываю, как это вышло, что я делала потом и как могла всего этого избежать. Не повторяйте моих ошибок.
Как началась переписка с мошенниками
Я удивилась и насторожилась: Екатерина появилась слишком быстро, не просила дополнительных фото, не торговалась и не расспрашивала о товаре. Но я решила, что она, наверное, давно хотела эти туфли, а тут они продаются с хорошей скидкой.
Я проверила профиль Екатерины — он был зарегистрирован месяц назад, в мае 2020 года. Если бы она создала аккаунт в тот же день, меня бы это встревожило. А так я расслабилась и только спросила, из какого она города: вдруг нам было бы проще встретиться лично. Но Екатерина ответила лишь, что из Московской области.
Я призналась, что никогда не пользовалась «Авито-доставкой» и не знаю, как она работает. Так делать не стоило: мошенница убедилась, что я неопытный продавец и меня легко обмануть.
Я могла сама прочитать про сервис доставки на сайте «Авито», но почему-то стала слушать Екатерину. Она объяснила, что оплатит туфли на «Авито», а я должна буду подтвердить продажу. Как именно, она не уточнила. После этого деньги придут мне на карту и я отправлю ей туфли в ближайшем пункте «Боксберри».
Тогда я не знала, что на самом деле в «Авито-доставке» продавец получает деньги только после того, как покупатель забрал и проверил товар.
Я поверила Екатерине и пообещала отправить туфли, как только получу деньги. На этом наша переписка в чате «Авито» завершилась.
В чате мошенники заботливо объяснили мне, как якобы работает «Авито-доставка»
Как я отправила мошенникам деньги
Публикуя объявление, я могла выбрать в разделе «Контакты» способ связи «В сообщениях». Тогда покупатели не видели бы мой номер и писали бы только в чат «Авито». Но я выбрала связь и в сообщениях, и по телефону, так что мой номер был на виду. И дальше Екатерина написала мне в «Вотсапе». Меня это удивило, но я подумала, что ей просто удобнее общаться там.
Позже я узнала, что чат «Авито» блокирует все сообщения со ссылками и адресами электронной почты — как раз чтобы защитить пользователей от мошенников. Поэтому аферисты всегда переводят общение в соцсети или мессенджеры: «Вотсап», «Телеграм», «Вайбер» и другие.
Но я все равно напряглась, ведь все происходило очень быстро: в 15:21 я разместила объявление, а в 16:03 уже получила эту ссылку. Я даже позвонила маме посоветоваться, и мы обе почувствовали неладное.
Однако по ссылке была вполне правдоподобная страница с фотографией из моего объявления. Там я прочитала, что покупательница оплатила товар. Еще там был код — его нужно было назвать в пункте «Боксберри», чтобы отправить товар. Все это меня убедило. Уже потом я поняла, что страница была фальшивкой и с этим кодом ни в каком «Боксберри» я бы ничего не отправила.
Я написала Екатерине, что на всякий случай хочу сама почитать про «Авито-доставку». Но она стала без конца строчить сообщения, чтобы меня отвлечь. Сказала, что я должна просто получить деньги.
Моей доверчивости не было предела: я даже извинилась, что никак не разберусь с этой доставкой. Написала, что вижу оплату, и пообещала сегодня же отправить туфли. Екатерина меня поторопила: «Там „Боксберри“ обычно до 20:00 работает, а вам еще нужно успеть подтвердить заказ». Подтвердить заказ — это нажать кнопку «Получить средства» на странице по ссылке.
Я испугалась: почему на списание? Не стала вводить код из смс и закрыла страницу. День был суетный, все происходило быстро, и я ничего толком не понимала. Покупательница молчала, и через несколько минут я почему-то решила ей довериться и завершила операцию. С моей карты тут же сняли 15 300 Р : 15 000 Р — цена моих же туфель, а 300 Р — комиссия за перевод на карту другого банка.