Больше не звонят первыми: разбираем новую схему киберпреступников

Мошенники больше не звонят первыми. Теперь они делают рассылку от имени федеральных органов и ждут, что жертва сама обратится к ним по указанному там номеру телефона. Разбираем новую схему атаки и технические уловки злоумышленников, а также объясняем, как распознать поддельное письмо. 

Крупные операторы связи, такие как МТС, Билайн и МегаФон, научились эффективно бороться со спамом. Они автоматически распознают подозрительную активность еще до соединения с абонентом. При входящем вызове с сомнительного номера на экране смартфона появляется предупреждение: «Возможно, мошенник». Большинство абонентов стали сбрасывать или игнорировать такие вызовы, поэтому преступники были вынуждены сменить тактику.

Как развивалась схема

Специалисты по кибербезопасности выделяют три поколения этой мошеннической схемы. Во всех случаях злоумышленники создают ситуацию, при которой жертва добровольно инициирует обратную связь. Это позволяет обойти технические блокировки.

Первое поколение строилось на технике пропущенного звонка. Мошенник совершал короткий вызов на номер жертвы и сразу разрывал соединение. Расчет делался на любопытство или тревогу: человек, увидев незнакомый номер, часто перезванивал сам. В ответ он попадал на платную линию, автоответчик с фишинговым сценарием или напрямую к оператору-мошеннику, который под предлогом проверки безопасности выманивал персональные данные, коды из СМС или устанавливал вредоносное ПО.

После того, как пользователи перестали перезванивать на неизвестные номера, а операторы связи начали массово блокировать подозрительные короткие вызовы, схема переместилась в SMS и мессенджеры. Жертвам стали приходить уведомления о взломе аккаунта на Госуслугах, подозрительной активности или необходимости срочной верификации. Это также заставляло людей самостоятельно выходить на связь с мошенниками.

Третье поколение использует массовую email-рассылку от имени федеральных органов. В письмах сообщается о входе в личный кабинет с использованием электронной подписи и выгрузке документов. А также указывается номер, позвонив на который, жертва попадает к подготовленному оператору. Его задача — под видом сотрудника ведомства получить доступ к электронной подписи. Для этого позвонившего просят продиктовать код из СМС, установить «приложение для защиты» (на самом деле — вирус) или перейти по фишинговой ссылке. Компрометация электронной подписи может привести к таким серьезным последствиям, как незаконное переоформление недвижимости или регистрация фиктивной фирмы.

Технические особенности рассылки

Злоумышленники заменяют кириллические символы на визуально идентичные латинские (например, кириллическую «а» на латинскую «a»). Такая подмена позволяет обойти спам-фильтры, настроенные на точное совпадение ключевых слов, при этом разница для обычного пользователя остаeтся незаметной.

Вместо одной темы используются десятки различных вариантов. Ротация формулировок снижает вероятность срабатывания фильтров по ключевым словам.

Письма рассылаются не с поддельных доменов, а со взломанных ящиков, принадлежащих реальным организациям. Это повышает доверие получателей и увеличивает вероятность ответного звонка или перехода по ссылке.

Рассылка идет ежедневно, включая выходные и праздники, что указывает на использование автоматизированных ботов.

На кого это рассчитано

Целевая аудитория — бухгалтеры, юристы, индивидуальные предприниматели и руководители, которые регулярно работают с порталом Госуслуг, системами электронного документооборота, ФНС и Росреестром через электронную подпись.

Мошенническая схема намеренно нацелена на пользователей, чья профессиональная деятельность подразумевает взаимодействие с этими сервисами.

Что делать, если пришло такое письмо

Получив подобное сообщение, ни в коем случае не звоните по указанному в нем номеру. Чтобы убедиться в подлинности письма, изучите его технические заголовки. Если указанный домен не совпадает с официальным доменом государственного ведомства, сообщение является поддельным. Дополнительно проверьте результаты аутентификации SPF, DKIM и DMARC в заголовках. Мошеннические письма либо не содержат таких записей, либо проходят валидацию с чужого домена.

Если вы используете электронную подпись в работе организации, обязательно проинформируйте об угрозе коллег, особенно сотрудников бухгалтерии и юридического отдела. Для повышения общей безопасности рекомендуется настроить почтовый клиент так, чтобы он всегда отображал полный адрес отправителя, а не только его отображаемое имя.