Как взламывают Госуслуги?
Многие слышали о том, как взламывают государственные аккаунты и насколько это опасно. Возможно, вы даже видели новости о том, что на кого-то повесили кредит, украв его аккаунт. Но как это происходит изнутри, от лица мошенника?
Сегодня я проведу эксперимент и попытаюсь купить такой аккаунт. Узнаем, получится ли у меня взять на него кредит. Вы также узнаете, как угоняют государственные аккаунты, сколько они стоят, где продаются и что можно сделать с чужим аккаунтом.
Эта информация предоставлена в образовательных целях, чтобы вы не попались на уловки мошенников. Взламывали и будут взламывать Госуслуги и в будущем. Самое интересное не сам аккаунт, а то, куда с его помощью можно зайти. Он служит ключом для входа в микрокредитные займы, а это большая проблема.
Давайте посмотрим, какой путь проходит мошенник, чтобы в конце концов получить деньги благодаря вашим государственным услугам.
Популярные способы кражи аккаунтов
Сейчас существует несколько популярных способов кражи аккаунтов. Самый распространённый — звонки. Неважно, кто звонит и кем представляется: оператор связи, госорганы или служба поддержки. Они просят продиктовать номер, который якобы придёт в SMS, под любым предлогом. Каждый день появляются новые причины для этого.
Есть очень хитрый способ: сначала жертве присылают подарок, а потом просят сообщить код, который якобы пришёл в SMS, якобы для подтверждения доставки. Небольшие затраты, вероятно, окупаются. В следующий раз жертве предлагают скачать новое приложение Госуслуг, которое удалено из Google Play. В почте могут быть банальные ссылки на подставные сайты, а в SMS — ссылки.
Ещё один способ — подбор паролей или вирусы. У мошенников есть номер, и они пытаются подобрать пароли. Иногда это срабатывает, когда какая-нибудь бабушка ставит четыре единички на вход. Псевдокапча предлагает доказать, что вы человек, нажав несколько клавиш. Это запускает скрипт, который устанавливает Стиллер для кражи данных. Стиллер может украсть не только пароли Госуслуг, но и банков.
Что делают с аккаунтом после угона?
Это основные моменты, и вариантов дальнейших событий несколько. Мошенник либо сам работает с аккаунтом, либо продаёт его. Объявления о продаже аккаунтов Госуслуг можно найти в клирнете, на форумах, в Telegram-ботах и, конечно же, в даркнете. Наряду с объявлениями о поиске специалистов для взломов в ботах, продаются аккаунты с Авито, кошельками, сертификатами и всем подобным.
Аккаунты Госуслуг делятся по предназначению: с возможностью перепривязки номера или высоким кредитным рейтингом для регистрации в букмекерской конторе или ещё где-то. В даркнете цены выше, и в комментариях рекомендуют брать подороже, но зато с перепривязкой номера, чтобы наверняка всё зашло. Все места с продажей могут оказаться спамом.
Покупка взломанного аккаунта
После покупки приходит файл, в котором указаны все данные для входа: пароль, паспортные данные, серия и номер СНИЛС, дата рождения, электронный ключ, адрес проживания и актуальность документов. Это похоже на какую-то строку из базы. Но что я могу с этим сделать? Госуслуги ломают уже несколько лет, а только с прошлого года стала обязательной двухфакторная аутентификация через SMS или код с приложения. Смысл всего этого, если я не смогу получить код для входа? Я уточнил этот вопрос у продавца, и он сказал, что даст код. Интересно, как это работает? Получив от жертвы эсэмэску, мошенники привязывают номер и продают аккаунт снова для перепривязки, видимо, перед этим вытащив уже всё по максимуму.
Захожу на сайт, но что-то идёт не так, и данные оказываются неверны. Возможно, мне специально продали неликвид или жертва уже всё поменяла. В аккаунт не попасть, а возврат они делают только при снятом скринкасте покупки. Хорошо, я ничего не снимал. Иду в другой магазин, где получаю ещё одну строчку, на этот раз поменьше, без лишнего. Отсылаю чек в поддержку, захожу на сайт, ввожу логин и пароль и жду SMS. Но куда она должна прийти? В продаже были ещё и госуслуги без SMS, там, видимо, привязка по генератору кодов. Пишу оператору и на удивление быстро получаю небольшую инструкцию, а потом и код. Ввожу его и захожу в профиль.
На главной странице надпись: «У меня чужой аккаунт госуслуг, взлом паролей. Долгов нет». Это женщина, и аккаунт у неё подтверждён. Судя по номеру телефона и почте, они все временные, но, возможно, получится сменить их, если это будет необходимо. Вернуть свой доступ хозяйка сможет только через личное посещение МФЦ.
У меня есть доступ ко всем данным. Банковские счета и карты не привязаны, но могли бы быть. Есть личная электронная подпись, возможно, можно будет что-то сделать с этим номером. Судя по дате, она выдаётся всего на год. Есть базовые документы: паспорт старше меня на несколько лет, СНИЛС и даже фото паспорта. Можно даже при желании выкачать их.
Вероятно, эта женщина занималась волонтёрской деятельностью. Похоже, у неё несколько адресов регистрации, а вот паспорта нет, зато есть водительские права.
Теперь необходимо перепривязать аккаунт. Способ подтверждения — SMS на номер телефона, но мы будем использовать одноразовый индивидуальный код. Для генерации кода воспользуемся приложением, следуя инструкции на сайте Госуслуг. Сгенерированный код вводим в поле, но почему-то не срабатывает. Возможно, стоит какая-то защита или жертва уже вернула себе доступ к аккаунту.
Пробую ещё раз, но тоже ничего не получается. Непонятно, в чём дело. Ладно, одним аккаунтом больше, одним меньше. Если будет третья неудачная попытка, то доступ к аккаунту будет потерян. Пробую последний раз — срабатывает аутентификация, перепривязка из приложения, и всё работает. Теперь аккаунт мой.
Продолжаю изучать информацию. Здесь есть данные по пенсионному стажу — целых 13 лет. В 2012 году меняла работу в последний раз. Есть свидетельства о браке и рождении двоих детей, развода не было. Но с этой информацией ничего не сделаешь, ведь всех интересуют деньги. Для начала попробуем авторизацию.
Прокачиваю букмекерские аккаунты для продажи
Можно не платить НДФЛ с выигрышей на ставках или продать аккаунт. Нюанс — номер телефона должен совпадать как на Госуслугах, так и на букмекерском сайте. Сейчас это сложнее всего.
Но когда у тебя есть аккаунт на Госуслугах, некоторые операторы предлагают купить электронную сим-карту через эти самые Госуслуги. Есть и просто сервисы для аренды номеров — это дешевле и анонимнее. На Госуслугах выводится новый номер, даже капча есть. Приходит СМС на виртуальный номер, но надо ещё одну принять на старый. Благо, барыга в магазине на связи, и всё проходит на ура. Номер телефона теперь окончательно меняется, и нет никакого лимита, ни второго подтверждения на почту. Чтобы полностью получить доступ к твоим Госуслугам, мошенникам надо просто получить всего лишь две СМС. Вот так защищён этот госсевис.
Регистрируюсь на сайте букмекер по номеру телефона, и он предлагает зайти через Госуслуги. Благодаря указу Путина о упрощённой идентификации теперь можно прокачивать аккаунты. Прохожу один раз, теперь это авторизованный аккаунт с лимитом. Потом прохожу ещё раз, даю всевозможные разрешения. Вот результат — у меня есть аккаунт в букмекерской конторе полностью верифицированный с лимитом в полмиллиона рублей. Теперь я могу настроить аккаунт в каждой официальной букмекерской конторе на минуса, чтобы не платить из своего кармана. Или просто продать его на Чёрном рынке. Цены будут зависеть от уровня прокачки, но я заработаю несколько десятков тысяч.
Реально ли взять Микрозайм?
Теперь самое интересное — получится ли взять кредит? Для начала стоит посетить Бюро кредитных историй через него оценим уровень кредитоспособности. Вход через Госуслуги происходит без дополнительных подтверждений, просто в одну кнопку. Мошенники наверняка уже это оценили и много раз поблагодарили разработчиков Госуслуг.
Доступен только один отчёт кредитной истории, а значит, уже кто-то делал в этом году отчёт, ведь их всего два бесплатных за год. Делаю запросы — и вот, в конце октября, во втором часу ночи, был сделан отчёт месяц назад. Возможно, в этот же день был совершён взлом. Сейчас посмотрим свеженький отчёт — информации очень много. Могу сказать, что всего было сделано 23 запроса, кредитный рейтинг очень высокий. И самое важное — сейчас на ней не висит кредит, последний брался в 2012 году и уже погашен. Дальше идёт информация о том, что и когда бралось и как платилось.
Решаю взять кредит. Контор много, но наверняка где-то всё равно дадут. Оформляю на первые попавшийся. Опять же вход через Госуслуги, контора запрашивает невероятное количество данных для доступа. В общем, всё предоставляем.
Понадобится заполнить все данные, указать местоположение, привязать в соцсети, чекнуть кредитную историю. Короче, всё заполняется, данные копируются тупо с сайта. Вот первые проблемы — надо указывать несколько номеров телефонов, и они должны быть разные. Привязка ВКонтакте даст больше шансов на одобрение. Потом будет тест по кредитной истории, надо будет дать правильные ответы. Вот тот самый момент — заполнил всё, нажимаю продолжить. Надеюсь, мне повезёт, да то столько работы было проделано аж волнительно. Но в займе почему-то отказано. Но тут же они предлагают много других микрофинансовых компаний, где, естественно, есть вход через Госуслуги.
Конечно, я вам не показываю, как это всё делается. Мне просто с камеры прислали материалы в мою предложку в Телеграме, и я вам всё расказываю в просветительских целях, чтобы вы сделали выводы и знали, как работают мошенники. Чтобы потом обезопасить свои аккаунты в интернете. Брать кредиты на других людей — это уголовка. А те, кто скупает аккаунты и использует их вот так вот, попадают в такие вот новости, всех ловят.
Микрозаймы даже дают какую-то виртуальную карту, что облегчит получение денег. Дальше проходит весь путь с заполнением заявки. Ну и давай, давай, пожалуйста, есть одобрен.
Осталось только подписать документы с помощью SMS. Я ознакомился с документами и обнаружил, что меня заставляют оформлять дополнительные страховки. Сам займ будет выдан на один месяц под 292% годовых.
Кроме того, я получил одобрение ещё от одной микрокредитной конторы. Осталось только подписать документы по другим займам. Необходимо было сразу привязать карту, причём нужна была именно физическая карта, и они даже просили её фото, но с камеры могли это нарисовать.
По большей части займы выдаются на любую карту, не везде нужно подтверждение. Затем я получил одобрения от МКО на 25 и 28 тысяч рублей. Вот уже набирается неплохая сумма, и это далеко не всё.
Если взять одновременно все эти займы, сколько денег мошеннику удастся вывести? Таких случаев очень много, и это только маленькая часть. Есть ещё темы с банками, с налоговыми вычетами, с аккаунтами банков, с выплатами пособий.
Даже аккаунт ВКонтакте не так защищён. Здесь не учитывается место входа, никакие Куки и дополнительные проверки не нужны. Достаточно одного кода из SMS, и ты потерял аккаунт.
Связываюсь с жертвой
Какие могут быть последствия? Два кода из SMS, номер поменялся — и всё, до свидания. Позвонить или написать жертве с моего аккаунта не представлялось возможным. У меня был только адрес и паспорт, номера почты уже давно заменены.
Я попытался найти ВКонтакте подходящего человека и написать ему, но у единственного подходящего аккаунта настройки не позволяли этого сделать. Так что сообщить человеку, что на него чуть не взяли кредит мошенники, не вышло. Это очень гнилая система.
Я борюсь за то, чтобы происходили хоть какие-то изменения. Если вы меня поддерживаете, ставьте лайк и подписывайтесь на канал.