33-річна українка, яка після початку повномасштабної війни виїхала до Польщі, разом з колишнім чоловіком і знайомим оформляла кредити на співвітчизників за допомогою ШІ. Як повідомляють слідчі ГСУ Нацполіції України, шахраї спершу отримували персональні дані користувачів — фінансові номери мобільних телефонів, паролі та коди авторизації. Опісля заходили в мобільні застосунки українських банків й у “Дію” через систему авторизації BankID, завантажували цифрові документи жертв, а потім виготовляли короткі відео, застосовуючи технології дипфейк, і використовували їх для проходження автоматичної верифікації у банківських онлайн-системах.
Таким чином аферистам вдалося відкрити нові банківські рахунки щонайменше на 286 українців. На частину з них оформили кредити у розмірі 4 мільйони гривень. Ці кошти переказували на підконтрольні рахунки, конвертували у криптовалюту й переводили у готівку. То як шахраям вдається отримувати доступ до банкінгу та документів жертв? І чи можна вберегтися від цього?
— Спершу аферистам потрібно викрасти номер телефону, який прив’язаний до банківського акаунту (цифрового профілю для доступу до послуг банку через інтернет-банкінг), — розповідає Раїса Федоровська, керівниця EMA Academy та Школи кібербезпеки асоціації ЄМА. — Зловмисники вигадують різні способи заволодіння номером. І можуть викрасти навіть діючий. Щоправда, тепер шахраї особливо цікавляться тими українцями, що виїхали за кордон, і полюють на їхні номери телефонів, які оператор міг деактивувати через те, що не було оплати за послуги тривалий час. Такі номери можуть повторно виставляти на продаж.
Як саме шахраї ідентифікують цінні для них номери, можу лише припускати. Мабуть, використовують автоматизовані брутфорси (методи, за допомогою яких зловмисник намагається вгадати потрібні параметри, систематично перебираючи всі можливі комбінації) на банківських сервісах, де пропонується реєстрація за номером телефону. Якщо система розпізнає користувача як існуючого клієнта, це може сигналізувати, що номер раніше був прив’язаний до реального банківського акаунту. Зрозуміло, що пошук таких номерів і зіставлення їх з виставленими на продаж проводиться в автоматичному режимі.
У нового номера не буде жодного цифрового сліду. Звісно, шахраям про це відомо. А додатковим ідентифікатором того, що номер телефону раніше належав особі, яка є клієнтом банків і має кредитну історію, є відкриті або напіввідкриті сервіси з агрегації контактних даних. Зокрема, Getcontact. Такі сервіси формують профіль номера на основі адресних книг користувача й інших публічних джерел. І в цьому профілі можуть зберігатися якісь назви, коментарі, мітки, що попередньо вказують на користувача.
На жаль, частина українців, які перебувають за кордоном і вже тривалий час не користуються своїм номером телефону, забувають відв’язати його від своїх акаунтів, месенджерів і т. д. Зрештою дехто довідується про деактивацію свого номера вже після того, як став жертвою шахрайства.
Фінансовий номер фактично стає ключем доступу до банкінгу попереднього власника. Шахраї визначають банк, у якому жертва має чи мала рахунок. Через банкінг входять в її обліковий акаунт “Дії” із використанням BankID, проходять дистанційно етапи ідентифікації та підписують договір через “Дія.Шеринг” або “Дія. Підпис”.
На цьому етапі система вимагає додаткового підтвердження особи через біометричну перевірку — Liveness Detection. Тоді аферисти застосовують інструменти ШІ і фото з документів у застосунку “Дія”. За основу беруть своє обличчя і за допомогою штучного інтелекту надають йому риси потрібної людини або й повністю генерують фото й відео з цифровим клоном. Зловмисники намагаються відкривати якомога більше нових рахунків у різних банках та мікрофінансових організаціях. Жертви шахраїв — реальні особи з власними кредитними історіями. І в декого можуть бути досить високі кредитні ліміти. Така схема для зловмисників стала дуже привабливою.
Іноді жертви шахраїв жили собі спокійно десь на Заході, аж поки на кордоні з Україною їм не повідомляли про величезні суми їхніх кредитів. Та на початку цього року “Дія” запровадила обов’язковий етап авторизації з нових або недовірених пристроїв. Тож через NFC необхідно зчитати біометричний документ (ID-картку або останню сторінку закордонного паспорта з NFC-чипом), пройти фотоперевірку та встановити шестизначний код. Це суттєво ускладнило роботу шахраїв. Однак вони швидко адаптувалися, щоб долати цей захисний механізм. Наприклад, телефонують і змушують людину прикласти документ до смартфона, пройти фотоперевірку та виконати інші потрібні їм дії. Захисний механізм спрацьовує коректно, але на користь шахраїв, які дистанційно керують усім процесом, інструктуючи жертву.
— Як можна захиститися від таких шахрайських дій?
— Як варіант, перейти на контракт або ж ідентифікуватися у свого мобільного оператора, прив’язати діючий номер до документа, що посвідчує особу.
Змінюючи номер, а також у випадку викрадення телефону, якщо не хочете перевипускати SIM-картку, потрібно відв’язати номер телефону від усіх банківських акаунтів (тепер у кожного є по декілька платіжних карток), і від соціальних мереж, і від месенджерів. А також слід заборонити віддалений перевипуск SIM-карти — у своєму кабінеті або зателефонувавши мобільному оператору.
Також не слід у жодному випадку проходити якісь ідентифікації за чиїмось вказівками під час телефонної розмови. Не важливо, ким називає себе співрозмовник. Ця порада також стосується випадків, коли хтось телефонує і під якимось приводом вимагає встановити застосунок. Наприклад, для захисту банківських рахунків або для “отримання грошової допомоги”.
Загалом торік декілька сотень осіб стали жертвами шахраїв, які викрадали кошти з банківських рахунків й оформляли кредити. Йдеться про різні суми, і про 10, і про 100 тисяч гривень. Як показує статистика, банкам вдається зупияти спроби шахрайства, але не всі.
— Є так звані антифродсистеми, які оцінюють підозрілість фінансових транзакцій з точки зору шахрайства й вчаться за допомогою ШІ зменшувати вірогідність проходження відеоверифікації несправжніми людьми, — додає Віталій Якушев, експерт із кібербезпеки. — У деяких з цих систем рівень визначення відеофейків, через кольори, світло, перспективу, становить понад 90%. Звісно, якість дипфейків зростає, але й антифрод-системи теж не стоять на місці.
Якщо відеоверифікацію проводить жива людина, або хтось телефонує і через відеозв’язок просить гроші чи якусь інформацію, то є декілька способів перевірити справжність цієї особи. Коли йдеться про знайомих, то у них можна запитати про щось відоме лише їм. Під час відеоверифікації слід попросити, щоб людина перед обличчям повільно провела долонею з розкритими пальцями. У цьому випадку маска сповзає. Поки що не чув про моделі дипфейків, які проходять це тестування. Ще можна попросити людину, аби швидко повернула голову вправо або вліво. Якщо це дипфейк, то вуха, профіль будуть неправильно відображатися.
