ИБ-эксперт Бедеров: мошенники нашли простой путь блокировки счетов россиян в банках

Мошенникам достаточно знать только ФИО, дату рождения и номер телефона жертвы, чтобы дистанционно заблокировать ее банковские счета. Об этом и о том, как защититься от данного типа кибератак "Газете.Ru" рассказал председатель совета по противодействию технологическим правонарушениям КС НСБ России и основатель компании "Интернет-Розыск" (входит в ГК "Киберсистема") Игорь Бедеров.

По словам эксперта, злоумышленникам не требуется взламывать банковские приложения или использовать вредоносное программное обеспечение. Они звонят на горячую линию банка, представляются владельцем счета и сообщают об утере телефона или банковской карты. Если оператор или автоматизированная система принимают предоставленные данные за достаточную идентификацию клиента, счет может быть оперативно заблокирован.

"Социальная инженерия все чаще использует не технологическую уязвимость, а особенности банковских бизнес-процессов. Схема простая, и в этом ее главная опасность. Злоумышленнику не нужно взламывать приложение, писать фишинговые страницы или закупать шпионское ПО. Достаточно телефона и трех параметров: фамилии, имени, отчества, даты рождения и номера телефона, привязанного к счету. Эти данные опубликованы в интернете почти у каждого. Кодовое слово – давно не требуется. Банки, видимо, отказались от его проверки, поскольку все про него быстро забывают", – отметил Бедеров.

Эксперт пояснил, что отменить такую блокировку дистанционно, как правило, невозможно. Для восстановления доступа владельцу счета необходимо лично обратиться в отделение банка с паспортом, где сотрудники смогут провести физическую идентификацию.

Для защиты от подобных атак Бедеров рекомендует использовать отдельный номер телефона для банковских уведомлений и кодов двухфакторной аутентификации, не публикуя его в открытых источниках.

"Финансовая SIM-карта должна быть отдельной, известной только вам и банку. Потенциальный злоумышленник, собирающий цифровой портрет жертвы через утечки и открытые источники, упрется в глухую стену – нужного номера в его распоряжении просто не окажется", – сказал Бедеров.

Кроме того, стоит убрать дату рождения из открытых профилей в соцсетях, поскольку это не безобидная информация, а один из "ключей к деньгам". Также, по словам эксперта, пользователь вправе написать заявление в банке для проведения расследования инцидента и получения записи разговора "с собой", а также номера телефона, по которому он якобы звонил.