Откуда злоумышленники получают персональные данные узбекистанцев и как защитить свои деньги

Масштабы хищений с банковских карт в Узбекистане в реальности значительно превышают ранее обнародованные цифры. Об этом сообщил источник в правоохранительных органах. На данный момент уголовные дела возбуждены по более чем 5000 фактам кражи средств с карт граждан Узбекистана, совершенных в 2023 году. Сообщается, что большая часть преступлений совершена преступниками из зарубежных стран.

Общий объем похищенных средств составляет около 300 миллиардов сумов, или $24 миллиона.

Согласно статистике МВД за 2023 год, количество преступлений, совершенных с помощью информационных технологий в Узбекистане за последние 3 года выросло в 10,3 раза, составив 8,5% от общего числа преступлений.

Из них случаи мошенничества увеличились в 18 раз, кражи – в 32 раза, вымогательства, клеветы и оскорблений – в 4 раза, распространение запрещенных материалов – в 3 раза.

В Центральный банк Узбекистана за 2023 год поступило 119 обращений граждан о мошеннических действиях, которые связаны с банковскими картами. Так как в основном с жалобами на неправомерные действия мошенников жертвы обращаются в МВД.

Кто сливает базы данных в Узбекистане

Огромный риск утечки данных у администраторов баз данных, операционистов, а также посредством атак хакеров на OneID, систем ряда госорганов, поисковых и платежных сервисов страны.

Второй источник — сами пользователи. Из открытых источников и соцсетей пользователей можно получить — ФИО, дату рождения, электронную почту, номер сотового телефона и прочую персональную информацию.

Где мошенники находят базы данных 

В открытом доступе существует ресурс, где по утверждению создателей, можно приобрести базы контактов физических  и юридических лиц. База физических лиц содержит мобильный телефон, email, адрес проживания, имя, фамилию, пол, дату рождения.

Злоумышленникам не обязательно покупать данные узбекистанцев, благодаря массовым (более 200 тысяч единиц) утечкам мошенники могут использовать их бесплатно.

Данные у злоумышленников чаще всего появляются в результате взлома баз данных либо действий инсайдеров (например, слив от сотрудников банков или операторов связи), рассуждает Дмитрий Галов, эксперт по кибербезопасности из «Лаборатории Касперского». Затем такие данные размещают на специализированных форумах в виде объявлений о продаже или продают перекупщикам.

Бывший банкир рассказал о схеме слива номеров мошенникам

Бывший банкир Алексей Курапов рассказал на своей странице в Facebook, как работают звонящие мошенники и дал полезные советы для того, чтобы избежать печальных последствий.

«Расскажу одну из схем, как звонящие мошенники “переживают” за ваши финансы. Это целые корпорации, разделенные на несколько «отделов». Располагаются они в соседних странах. Вложения инвесторов в подобные организации немаленькие, поэтому подобные звонки будут продолжаться ещё в течение долгих лет. Пройдет эта волна, начнется другая», — пишет он.

По его словам, в штате таких «корпораций» есть и тренеры по разговорной речи, и психологи, и сценаристы, и IT специалисты.

«Причем, надо отметить, скрипты постоянно дополняются. Операторы всегда дают обратную связь сценаристам, с какими новыми возражениями и ситуациями они столкнулись. Поэтому, будьте уверены, в следующий раз они уже будут к этом готовы. Операторы говорят много, в основном ведя тактику «тихого запугивания» по принципу «здесь и сейчас», не давая жертве опомниться».

По словам Курапова, если «клиент созрел» и готов сам выдавать информацию, его могут переключить на «серьезных ребят из службы безопасности» или «представителей органов», которые уже и попросят код из смс.

«Стоит только вам назвать код, как айтишники, сидящие рядом с «органами» заходят в ваш кабинет в банке и уже будут распоряжаться вашими деньгами, пока «серьезные ребята» тянут время в разговоре с вами. Учитывая, что звонят с других стран, проще всего прекратить разговор, назвав любую причину, например, сказав, что вы записываете разговор. В банках точно знают, сколько у вас денег на счету и где вы делали последнюю транзакцию, потому глупые вопросы на эти темы они не задают. Это я вам, как бывший банкир говорю», — заключил он.

Мнение руководства банка

Улугбек Таваккалов, заместитель председателя Tenge Bank считает, что мошенничество было, даже тогда, когда не было мобильных приложений и карт.

«Главная тенденция на рынках Узбекистана и соседних стран — мошенничество становится «цифровым», и ее сейчас принято называть социáльная инженерия. Это вид мошенничества, связанный с психологическим манипулированием людьми с использованием персональных данных (номер телефона, ФИО, паспортные данные и номера карт) с целью вывода средств с карт и счетов жертвы, даже при помощи получения кредита. Этот вид мошенничества развит во всех странах».

На данный момент, со слов зампредседателя, участились три вида мошенничества:

Первый частый вариант: жертва сама управляет своим мобильным приложением под контролем мошенника. К потенциальной жертве обращаются якобы от имени Центрального банка.

«Потенциальная жертва, получив подобное сообщение, входит в ступор и начинает помогать псевдо Центральному банку в получении нового кредита, для отмены фейковой заявки обозначенной сотрудником безопасности ЦБ. После успеха процесса, полученные кредитные средства выводятся на карту третьих лиц».

Второй частый вариант: потенциальная жертва передает персональные данные, смартфон, и мошенник от имени жертвы выводит денежные средства.

К примеру, лицу, кто имеет небольшие заработки (1-2 млн сумов в месяц) подходит родственник, либо третье лицо, и предлагает решение горящих социально-бытовых проблем.

Жертва, как правило, не разбирается в кредитах, мобильных приложениях, следует указаниям посредника. Финансовый посредник ведет жертву в банк (чаще всего в несколько банков) для идентификации и получения обычной дебетовой карты, регистрации в мобильном приложении этих банков.

Банковский работник выпускает карту, помогает загрузить приложение на смартфон жертвы, пройти идентификацию, прикрепить новую карту. При этом заметно, что заявитель особо не вникает в процессы, подписывает, не читая, все печатные формы и даже особо не участвует в формировании пин-кода на карту.

Далее через установленные приложения разных банков на эту же карту, мошенник («финансовый посредник») запрашивает кредит (уже вне стен банка), который в случае одобрения сразу не принимается. Мошеннику важно получить одобрение всех банков и далее одновременно акцептовать получение кредитов. То есть в случае согласия банка на выдачу кредита физлицу, мошенник не производит процедуру оформления и изъятия денежных средств с каждого банка по очереди. А дожидается одобрения на имя одного и того же физлица кредитов с как можно большего количества банков и снимает средства «оптом» со всех банков.

Далее большая часть средств забирается мошенником («финансовым посредником»), меньшая часть (10%) оставляется у жертвы для решения ранее озвученных социально-бытовых проблем. Жертва даже не подозревает в какую попала кредитную кабалу.

Третий частый вариант: реклама в Instagram банковского кредита, на очень льготных условиях. Жертва видит отличный продукт, проходит по ссылке (при этом ссылка напоминает банковский сайт, с двумя тремя незаметными дополнительными буквами к адресу сайта). В открывшемся окне, осуществляется регистрация и передача персональных данных, подтверждение ОTP — кодом (одноразовый пароль). Этот код позволяет мошенникам прикрепить карту к какому-либо приложению от имени аккаунта жертвы с дальнейшим выводом средств на другие карты.

Что делает ЦБ

Центральный банк страны получил право на блокировку банковских карт и счетов при подозрительных операциях. Также ЦБ разрабатывает комплекс мер по совершенствованию методов технической защиты при оказании гражданам онлайн-услуг коммерческими банками, операторами платежных систем и платежными организациями и внедрение -систем — программных комплексов для предотвращения мошеннических транзакций.

ЦБ Узбекистана рекомендует людям также подписаться на официальный канал в Tелеграм, так как там публикуется информация по финансовой грамотности, предупреждения о действиях мошенников и прочее.

Важно знать, что Центральный банк и другие коммерческие банки не отправляют клиентам ни в электронном, ни в письменном виде повестки о вызове граждан в правоохранительные органы.

Вам никогда не будет писать сотрудник ЦБ в телеграм, да еще и под таким умышленно стилизованным профилем: https://t.me/CentralBank_UZ_manager_1

Центральный банк не занимается коммерческой деятельностью, такой как оформление кредитов, оказание финансовой помощи физическим лицам. Все попытки получения персональной информации от клиентов с предложением какой-либо банковской услуги по телефону и/или в социальных сетях от имени Центрального банка, является основным признаком мошенничества. Также ЦБ не взаимодействует с физлицами.

Что делает МВД

Тимур А., сотрудник Центра кибербезопасности говорит, что по алгоритму действий принимаются заявления граждан, которые стали жертвами мошенничества или других видов киберпреступлений. Обращение рассматривается в течение 10 дней (доследственная проверка) и затем дело передается в следствие, о чем информируется заявитель.

«В ходе проверки мы активно сотрудничаем с банковской системой проверки и другими государственными органами, которые могут оказать помощь в раскрытии преступления. Банки отвечают на наши запросы, при этом ссылаясь на банковскую тайну предоставляют малозначительную информацию», — говорит он.

МВД размещает на своих платформах (YouTube, Telegram) ролики и материалы о том, как обезопасить себя от мошенников, а также разработало приложение для родителей и детей о том, как безопасно использовать интернет.

Центр кибербезопасности  также вносит предложения о поправках в законодательство, предусматривающих совершенствование уголовных и уголовно-процессуальных основ установления места и способа совершения цифровых преступлений, а также порядка выявления, сбора, проверки, экспертизы, учёта и хранения электронных (цифровых) доказательств. Параллельно с этим МВД разрабатывает методику расследования преступлений, совершённых через ИКТ.

Что делать, если вы стали жертвой мошенников

• Заблокировать карты, если с них еще не списаны средства
• Поменять пароли в мобильном приложении
• Получить историю операций по карте, счету, приложению в банке
• Зафиксировать любые детали, которые остались после общения с мошенниками (распечатки звонков от сотовой компании, скриншоты переписок в мессенджерах, скриншоты поддельных удостоверений, документов, повесток, движение средств на банковском счете и пр.)
• Написать заявление в УВД по факту мошенничества, приложив все доказательства
• Центр кибербезопасности МВД займется доследственной проверкой (до 10 дней). Далее департамент киберпреступлений передает материал следователю, уведомляя об этом заявителя
• В ходе расследования в отношении лица, совершившего данное деяние, следователем выносится обвинительное постановление по всем доказанным признакам преступления. В отношении него применят статью за подделку документов, и другие статьи, если они будут классифицированы следствием. То есть если преступник будет вычислен, по отношению к нему применяется как минимум еще одна статья – подделка документов – в случае, если он отправлял какие-либо поддельные документы, удостоверения, повестки и т.д.

Что делать, чтобы не стать жертвой мошенников

• Если вас запугивают и заявляют, что на вас оформлен кредит, положите трубку. Зайдите на портал госуслуг и проверьте, взят ли нас кредит, через услугу «получение кредитной истории»
• Никогда не используйте для регистрации публично известные номера телефонов, а лучше заведите себе отдельный номер телефона и используйте его исключительно для регистраций
• Если есть возможность, заводите себе отдельные почтовые ящики для различных сервисов
• Всегда используйте уникальные пароли для каждого отдельного сервиса. В соцсетях оставляйте о себе только минимум информации (не публикуйте свои номера телефонов или публикуйте номера, не привязанные к банковским картам, то же самое касается и электронных почт, даты рождения, информации о родственниках)
• Чем меньше вы оставляете о себе цифровой след в пространстве, тем лучше.   Если на вас давит якобы сотрудник милиции, запугивая «повестками», оказывает на вас давление, принуждая совершить какие-либо действия, скажите, что по повестке придете к следователю только в кабинет УВД, положите трубку
• Ни МВД, ни банк никогда не будут просить совершить вас какие-либо действия по телефону. Все действия совершаются вами лично, непосредственно в учреждении УВД или банка
• Игнорируйте предложения установить какое-либо мобильное приложение или пройти по ссылке и ввести свои карточные и другие персональные данные, в том числе для получения выигрышей, либо оплат за товары/услуги
• Не поддавайтесь на моральное давление путем запугивания о возможной потере средств и на принуждение к принятию быстрого решения
• Игнорируйте сообщения с неизвестного номера о пополнении вашего счета с последующим звонком с просьбой вернуть ошибочно зачисленные средства
• Ни при каких обстоятельствах не озвучивайте и не отправляйте незнакомым людям данные банковской карты (номер карты, ПИН-код, снимки лицевой части банковских карт) и персональные данные
• Никогда не публикуйте, в том числе в социальных сетях, реквизиты платежной карты
• Не подключайтесь к сомнительному Wi-Fi.
• Не подключайте чужие USB-носители
• Не предоставляйте возможность физического доступа к вашим устройствам. Относитесь к вашим устройствам, как к кошельку с кучей денег, потому что так оно и есть на самом деле – информация стоит дорого.

Согласно «Закону о платежах и платежных системах Республики  Узбекистан», инициатор несет ответственность за убытки от несанкционированных платежей, если они были совершены в результате его мошеннических действий или вследствие непринятия им мер для обеспечения защиты своих идентификационных средств.  То есть, если попадетесь на уловки мошенников, банк, в котором оформлена ваша карта или кредит, ваши денежные средства не вернет.

Камила Файзиева