Соціальна інженерія: як шахраї змушують переказати їм гроші

Соціальна інженерія — це маніпуляція, після якої людина сама віддає шахраям гроші, код із SMS або дані картки. Нацбанк разом із кіберполіцією називає соціальну інженерію однією з найпоширеніших причин шахрайства з платіжними картками. У статті розкажу, як ці схеми працюють і на якому моменті розмову з «працівником банку» варто просто припинити.

У більшості людей крадіжка банківських даних чи грошей з рахунку асоціюється з образом хакера перед купою моніторів. Забудь його! Більшу частину злочинів спричиняють не хакери, а люди, які знають, як правильно «заговорити» людину.

Соціальна інженерія — це вплив на страх, довіру, жадібність і поспіх. Шахрай не шукає дірку в захисті банку. Він шукає момент, коли ти не встигнеш подумати.

Що таке соціальна інженерія від шахраїв на практиці? Сценарій майже завжди один:

1. Розвідка. Ім’я, номер телефону, банк, у якому ти обслуговуєшся, — усе це беруть із витоків баз, оголошень і соцмереж.
2. Контакт. Дзвінок, SMS чи повідомлення від «банку», «поліції» або «служби безпеки».
3. Тиск. «Гроші зникнуть за п’ять хвилин», «на тебе оформлюють кредит».
4. Дія. Ти називаєш код, переходиш за посиланням, ставиш програму або переказуєш гроші.

У банківській сфері соціальна інженерія зводиться до кількох прийомів:

• Вішинг — телефонний дзвінок. «Співробітник банку» повідомляє про підозрілу операцію.
• Смішинг — SMS із посиланням або номером, на який «треба передзвонити».
• Фішинг — підроблений сайт, схожий на банківський. Логін і пароль, які ти там вводиш, шахраї перехоплюють миттєво.
• Месенджери. Тебе додають до «групи підтримки» у Telegram чи Viber. Unex Bank у розділі про безпеку прямо попереджає про такі схеми.
• Виплати й виграші. «Тобі нараховано компенсацію», лишилося ввести дані картки.
• Віддалений доступ. Просять встановити AnyDesk або TeamViewer «для захисту смартфона». Насправді це повний контроль над пристроєм, включно з SMS.

Психологічних важелів чотири: терміновість, страх, довіра та вигода. Поспіх не дає перевірити, страх вимикає критичне мислення, довіру будують гучними назвами на кшталт «відділ безпеки» та знанням твоїх даних, а вигода діє на тих, кого страхом не візьмеш. Зазвичай прийоми комбінують: спершу лякають, потім пропонують «рішення».

Класика — «безпечний рахунок». Дзвонить «служба безпеки», каже, що хтось намагається зняти твої гроші, і радить терміново переказати їх на «захищений» рахунок. Усе робиш ти: відкриваєш застосунок, вводиш реквізити, підтверджуєш платіжну операцію. Для банку це звичайний переказ грошей, який ініціював клієнт. На це шахраї й розраховують.

Другий сценарій — код підтвердження. «Назви код із SMS, щоб скасувати операцію». Насправді цей код і є підтвердженням списання коштів. Третій — віддалене керування: після встановлення програми шахраї самі проводять платежі з твого застосунку й бачать SMS на екрані.

Шахрайство з банківськими картками рідко починається з картки. Воно починається з розмови, у якій тобі здається, що ти рятуєш власні гроші.



Розберемо найпоширеніші схеми.

Є дані, які не можна називати нікому, навіть «співробітнику банку»: CVV2/CVC2, термін дії картки, PIN-код, коди з SMS, пароль до інтернет-банкінгу.

Окреме питання — як перевірити банківську картку на шахрайство. Способів три:

• підключити SMS-інформування,
• регулярно переглядати історію операцій у застосунку,
• встановити ліміти. 

Списання, до якого ти не маєш стосунку, — привід одразу звернутися до банку!

Нижче коротка пам’ятка, що робити, якщо шахраї зняли гроші з картки або дізналися її дані. Рахунок йде на хвилини, тому діяти потрібно оперативно. Порядок такий:

1. Заблокуй картку в застосунку чи інтернет-банкінгу.
2. Зателефонуй до банку — номер указано на звороті картки, також можеш дізнатись його в застосунку або на офіційному сайті установи. Для Unex Bank це 0 800 3 111 33.
3. Якщо на телефоні з’явилася програма віддаленого доступу, вимкни інтернет, видали її, за потреби перезавантаж телефон і лише потім телефонуй до банку.
4. Зміни паролі до інтернет-банкінгу й пошти.
5. Подай заяву в поліцію: через кіберполіцію онлайн або за номером 102.
6. Збережи докази: скриншоти переписки, номери телефонів, час дзвінків, виписку.

Після блокування картки й подання заяви зазвичай виникає наступне питання: чи може банк повернути гроші від шахраїв. Однозначної відповіді немає: усе залежить від типу операції (картковий платіж, переказ, зняття готівки), того, хто і як її підтвердив, правил платіжної системи та обставин шахрайства.

Закон України «Про платіжні послуги» зобов'язує користувача негайно повідомити банк про неакцептовану платіжну операцію. Тому важливо не зволікати, зафіксувати звернення та надати банку всі докази: виписку, SMS, скриншоти листування й інші матеріали, які стосуються інциденту. Банк розглядає кожен випадок окремо, а повернення коштів залежить від конкретних обставин і вимог законодавства.

Якщо ти самостійно підтвердив переказ або повідомив шахраям код, це може ускладнити повернення грошей, але не означає, що звертатися до банку марно. Попроси зареєструвати заяву та повідомити результат її розгляду.

Якщо банк відмовив у поверненні коштів:

1. Попроси надати письмову відповідь із поясненням причин відмови.
2. Подай скаргу до Національного банку України, додавши відповідь банку та докази шахрайства.
3. Якщо є ознаки кримінального правопорушення, подай заяву до поліції або кіберполіції.

Важливо: скарга до НБУ сама по собі не гарантує повернення коштів. 

Якщо тебе цікавить соціальна інженерія, спосіб захисту від неї один — пауза. Шахрай виграє, поки ти поспішаєш. Конкретні звички:

• Заведи окрему картку для інтернет-платежів, встанови денні ліміти й увімкни 3DSecure.
• Дозволяй онлайн-операції лише на момент оплати.
• Не публікуй номер телефону, до якого прив’язаний рахунок.
• Став застосунки лише з App Store чи Google Play й перевіряй, які дозволи вони просять.

Розкажи про ці схеми рідним, особливо старшим — їм дзвонять з тими самими сценаріями!

Соціальна інженерія працює на довірі, страху та поспіху, але ти можеш зірвати план шахраїв, якщо не діятимеш під тиском.