Новая схема мошенничества с QR-кодами: письма от имени ведомств

«Лаборатория Касперского» зафиксировала в России новую волну мошеннических рассылок. Письма приходят на электронную почту от имени государственных ведомств, а цель злоумышленников - выманить деньги под предлогом оплаты почтовых услуг. За сентябрь, как сообщает РИА Новости со ссылкой на данные «Лаборатории», было заблокировано более 800 подобных сообщений.

Как устроена схема нового мошенничества

Механика многоступенчатая, и на каждом шаге жертву убеждают, что все происходящее - законно.

1. Письмо на корпоративную почту. Отправитель выдает себя за представителя ведомства. В сообщении говорится, например, о якобы предстоящем контрольном мероприятии и необходимости предоставить определенную информацию.
2. Отсылка к документам. Получателю сообщают, что подробности проверки и контакты ответственного лица находятся в направленных ему документах.
3. QR-код. Чтобы получить отправление, предлагают отсканировать код. Он может быть прямо в письме картинкой или в приложенном PDF-файле, зачастую оформленном в стилистике официального документа.
4. Поддельный трек-сервис. После сканирования человек попадает на страницу, имитирующую сервис отслеживания почтовых отправлений. Там показана информация о якобы направленных документах и сообщение, что отправление ожидает оплаты.
5. Фальшивая платежная страница. При переходе к оплате открывается страница, стилизованная под платежный сервис. На ней просят ввести номер карты, срок действия, CVC-код, номер телефона и имя владельца.

В результате злоумышленники получают не только сам денежный перевод, но и платежные данные. Получается, что они могут в дальнейшем свободно списывать деньги.

Специалисты «Лаборатории Касперского» рекомендуют внимательно относиться к письмам от имени государственных ведомств - особенно если в них есть QR-коды, требования совершить какое-либо действие или произвести оплату.

Что делать, если банковские данные уже введены

Главное - не паниковать и сначала оценить, что именно вы успели передать: вводили ли пароли от учетных записей в банках, государственных сервисах, подтверждали ли операции через SMS или пуш-уведомления. От этого зависят дальнейшие действия, объясняет редакции «Юрик.ру» юрист, специализирующийся на гражданском и договорном праве, Владимир Горбунов.

Шаг 1. Оцените объем утечки. Если на фишинговом сайте введены только номер и срок действия карты, но не CVV или CVC и не одноразовый код, достаточно закрыть сайт и обратиться в банк за рекомендациями по дальнейшим действиям.

Шаг 2. Заблокируйте карту. Если вы ввели CVV или CVC и подтвердили операцию кодом из банковского приложения или SMS, карту нужно заблокировать сразу - это делается через приложение банка.

Шаг 3. Свяжитесь с банком. Позвоните по многоканальному телефону или напишите через приложение. Нужно уведомить банк о случившемся, проверить последние операции по карте и при необходимости перевыпустить ее.

Шаг 4. Смените пароли с другого устройства. В управлении по организации борьбы с противоправным использованием ИКТ МВД России советуют поменять пароли от интернет-банка, Госуслуг и почты с устройства, с которого вы не заходили на фишинговый сайт. Это нужно, чтобы исключить заражение вредоносными программами.

Шаг 5. Сохраните доказательства. Сделайте скриншоты поддельного сайта, сохраните ссылки, переписку с мошенниками, если она велась, пуш-уведомления, SMS и уведомления от банка. Все это понадобится, если деньги уже списали.

Шаг 6. Обратитесь в полицию. Если средства похищены, нужно идти в отдел МВД по месту регистрации или проживания. Там заполняется заявление с изложением всех обстоятельств, к нему прикладываются копии доказательств. После регистрации сообщения о преступлении вам выдадут корешок КУСП - это подтверждение вашего обращения.

Шаг 7. Подайте заявление в банк в течение суток. С момента хищения у вас есть сутки, чтобы подать письменное заявление о несогласии с операцией. Это критичный срок.

Шаг 8. Если банк отказал - обращайтесь в ЦБ. Когда банк отказывается рассматривать спорную операцию или не реагирует, решение можно оспорить через интернет-приемную Банка России.

Почему надо спешить при мошенничестве

Благополучный исход, если вы стали жертвой мошеннической схемы, возрастает при оперативном противодействии злоумышленникам. Например, самым важным будет оперативная блокировка банковской карты и подача в ближайшие часы заявления о несогласии с операцией.

Дело в том, что мошеннические операции часто идут по цепочке. Деньги сначала переводят на карты подставных лиц - дропперов, а оттуда дальше. Чем быстрее банк узнает о несогласии с операцией, тем больше шансов, что перевод можно будет остановить и деньги вернуть.

При этом, даже если деньги уже ушли, шансы остаются. Мы уже разбирали дело, где потерпевшая взыскала с получателя похищенных средств не только основную сумму, но и проценты за все время, пока он ее не возвращал, и банкротство дроппера этому не помешало.

Отдельная история - когда мошенники не просто списывают деньги, а оформляют кредит. Здесь Верховный Суд указал, что правильно введенный код из SMS сам по себе не доказывает, что человек действительно хотел взять кредит.

Коротко отвечаем на частые вопросы читателей

Опасно ли просто отсканировать QR-код? Само сканирование открывает ссылку. Деньги списываются не из-за него, а из-за того, что человек вводит данные карты на открывшейся странице. Но переходить по таким кодам не стоит в любом случае.

Я ввел только номер карты и срок - это опасно? Без CVC и одноразового кода провести операцию сложнее, но данные уже у мошенников. Карту стоит перевыпустить, а банк - уведомить.

Вернет ли банк деньги? Не автоматически. Многое зависит от того, как быстро подано заявление о несогласии с операцией и что именно вы передали мошенникам. Суточный срок здесь ключевой.

Нужно ли идти в полицию, если деньги не списали? Если ущерба нет, уголовного дела не будет. Но сохранить скриншоты и уведомить банк все равно стоит.

Как отличить настоящее письмо ведомства? Государственные органы обычно не присылают счета на оплату почтовых услуг по электронной почте и не требуют вводить данные карты. Любое письмо с QR-кодом и требованием оплаты - повод насторожиться и проверить и сам домен и отправителя электронного письма.

Если у вас списали деньги, а банк отказывается возвращать средства или не рассматривает заявление, найти юриста по защите прав потребителей в своем регионе можно в каталоге юристов сервиса «Юрик.ру».