Сергей Голованов: телефонные мошенники должны быть побеждены за год-два

Мошенничество – как бизнес, если прибыль падает, то злоумышленники сразу начинают придумывать новые схемы или модернизировать старые, предупреждает главный эксперт по кибербезопасности "Лаборатории Касперского" Сергей Голованов. В интервью РИА Новости он рассказал, в какие месяцы аферисты наиболее активны, и когда у них наступает период затишья, почему пин-код на кредитке нельзя заменить отпечатком пальца, а также как распознать уловки с подделкой голосов и внешности. Беседовала Светлана Орлик.

– Какие новые схемы мошенников для обмана банковских клиентов вам известны?

– Мошенническая сфера функционирует, как компания: когда показатели падают – необходимо придумывать что-то новое. Главное изменение в скриптах мошенников, которые мы зафиксировали, произошло в мае. Теперь злоумышленники представляются сотрудниками государственных организаций, силовых ведомств, органов исполнительной власти и так далее. Люди уже не реагируют на звонки из "службы безопасности" банков, а вот на звонок участкового реагируют. Но при этом "сотрудник безопасности банка" никуда не делся, этот скрипт все равно используется. Только теперь мошенник звонит и представляется участковым, рассказывает легенду о попытке украсть деньги со счета и необходимости привлечь злоумышленника к ответственности, для чего нужно ответить на вопросы. А когда клиент соглашается, мошенник переводит его на своего коллегу "из службы безопасности банка". И тут жертва так просто уже не отделается, так как уверена, что до этого разговаривала с правоохранителем.

В настоящее время наблюдается относительное затишье, потому что сейчас период отпусков. Есть два пика наибольшей активности мошенников, и не только телефонных. Первый – это конец мая, а второй – это конец декабря, то есть пики приурочены к длинным выходным.

– В начале июля Банк России сообщил, что доля социальной инженерии в первом квартале снизилась до 56,2% с 64%, при этом денег кибермошенники похитили в 1,6 раза больше. О чем это может говорить? О том, что стали чаще взламывать?

– В понятие социальной инженерии входит все, что связано с введением в заблуждение человека. Это операции, совершенные и в интернете, и по телефону. Есть сезонные колебания, но серьезного спада нет. Что касается телефонного мошенничества, то, по нашим данным, порядка 70% звонков с неизвестных номеров – это спам, а 6,2% – это потенциальные мошенники.

– Банкиры часто называют телефонное мошенничество национальным бедствием. Когда оно будет побеждено в нашей стране? И возможно ли это?

– На счет национального бедствия – это правда. Но у властей есть конкретные дедлайны – телефонное мошенничество должно быть побеждено через год или два. Сейчас у нас – рост, но он не может продолжаться вечно. Я считают, что в течение года-двух мошенничество должно выйти на плато. И дальше начнутся колебания вокруг плато. После этого в результате действий, которые предпринимаются регулятором, правоохранительными органами, мошенничество должно пойти на спад.

– Известны ли вам случаи мошенничества с использованием дипфейков (deepfake – создание и публикация ложной информации в виде видео, аудио и фотографии). Видите ли вы угрозы распространения такого вида мошенничества?

– Телефонное мошенничество есть не только в нашей стране, это глобальная проблема. Доходит даже до того, что мошенники звонят гражданам другой страны, своему недружественному соседу, например. И, действительно, за рубежом есть аферы с подделкой голосов, внешности.

Есть схема звонка бухгалтеру под видом генерального директора. Мошенник пытается убедить жертву срочно перевести ему деньги. Подделать телефонный номер – не проблема, но есть трудности с голосом. Как его сделать? Есть два варианта. Первый – это смонтировать нарезки реального голоса, но нужно большое количество образцов, и это не так просто делается. Второй способ – это использование как раз технологии дипфейков, когда загружаются несколько образцов голоса в специальную программу, накладывается нужный текст и создается поддельная запись. Есть схемы, когда мошенники совершают видео-звонок, анимируя лицо человека. В режиме реального времени это сделать сложно, так как все зависит от оборудования, а оно довольно дорогое. Чтобы скрыть огрехи и признаки подделки, изображение будет транслироваться с низким качеством, а "гендиректор" будет убеждать бухгалтера, что он якобы на острове, где очень плохой интернет. Такие истории встречаются в основном в Западной Европе. Но осенью 2020 года они перекинулись на Азию. Мы считаем, что эта штука докатится и до России. Но пока такие случаи не многочисленные.

В основном мошенники пользуются дипфейками, когда звонят в компании под видом контрагентов. Они связываются с финансовым департаментом и говорят, что поменялись реквизиты, и просят перевести деньги по новым данным. Такие аферы есть и у нас. Но пока рано говорить о масштабности такой схемы обмана, поскольку техника не настолько развита, чтобы делать качественные дипфейки. Например, в аудиозаписи слышно, что речь сгенерирована. Если говорим про видео в режиме реального времени, то там тоже есть очевидные ошибки, которые выдают подделку, например, голова двигается, а шея нет. Но в записи изображение будет хорошим, и порой этого хватает, чтобы обмануть. Ведь мошенники, прежде всего, пытаются ввести жертву в состояние паники, запугать, чтобы у нее отказало критическое мышление.

– ЦБ зафиксировал резкий рост хищений у клиентов банков РФ через банкоматы и терминалы. По вашим данным, какие уязвимости у этих аппаратов?

– Пик атак на банкоматы пришелся на 2015 год, тогда был кошмар. В 2020 году такие инциденты были на уровне нуля. Это связано, в том числе, с пандемией – мошенники тоже не могли выйти на улицу. Зафиксированные ЦБ атаки в начале года – некий отскок после полного затишья. Но вообще количество атак на банкоматы в последние годы стабильно снижается.

– Какие киберриски при внедрении цифрового рубля вы видите?

– Атаки на цифровые рубли сначала никому не будут интересны, потому что пока не понятно, что это, и как будет работать, как, например, было с биткоинами. Когда такие деньги будут пользоваться популярностью, мошенникам они тоже станут интересны. Так что сейчас нельзя сказать, какие будут инциденты, связанные с цифровым рублем.

– Банк России сообщал, что мошенникам будет нелегко обманывать граждан, пользующихся цифровыми рублями, поскольку регулятор всегда сможет найти похищенные средства. Как такое возможно?

– Есть технологии окраски транзакции, например, в биткоинах. Но есть проблема – существуют так называемые миксеры. Получатели средств могут использовать сервис, где деньги многократно переводятся между тысячами счетов в хаотичном порядке, запутывая тех, кто пытается эти деньги отследить. После миксера вычислить конечного получателя очень сложно. То есть окрашивать транзакции однозначно можно, но как бороться с миксерами? Поживем – увидим. Нужно посмотреть, как будут внедряться цифровые рубли.

– Как вы относитесь к биометрии с точки зрения защищенности данных? Стоит ли сдавать ее?

– Главный вопрос – уровень доверия к оцифровке биометрии. Есть две проблемы – ошибки первого и второго рода. Что это значит? Например, вы хотите разблокировать телефон по отпечатку пальца, а он вас не узнает – это пример ошибки первого рода. А если в ваш телефон по отпечатку сможет войти другой человек – это ошибка второго рода.

Вопрос: достаточно ли отпечатка пальца для проведения финансовой операции? Ответ – нет. Вероятность таких ошибок 10%. Это много. Есть история, когда платежные системы вводили отпечатки пальцев на кредитных картах, чтобы использовать их вместо пин-кодов для сканеров. Потом от этого отказались – из-за угрозы, что клиентам начнут рубить пальцы. Кроме того, сами биометрические особенности у человека меняются. Например, сканеры глаз не работают для беременных, в этом положении у женщин происходят некоторые изменения в сетчатке глаза.

Можно комбинировать биометрию, например, к отпечатку пальца добавлять голос, это снижает вероятность ошибки. Можно ли использовать для финансовых операций такую комбинацию? Нет, нельзя. И ни в одной стране мира не используют биометрию для этих целей по умолчанию.

Как сейчас можно использовать биометрию? Для удобства. Так, например, при звонке в банк робот узнает клиента по голосу и даст ему консультации. Но транзакцию по голосу проводить нельзя. Но за биометрией – будущее. Считается, что авторизация по пин-коду, паролю и прочему уходит в прошлое. Кроме того, сканеры и алгоритмы оцифровки постоянно совершенствуются. Возможно в будущем мы и дойдем до подтверждения транзакций по биометрии, но сейчас этого делать нельзя. Но при этом собирать биометрию и работать с ней надо.

– ЦБ зафиксировал, что число мошеннических сайтов снизилось в начале года в три раза. Регулятор объяснил это переориентировкой злоумышленников на иные каналы воздействия на клиентов. Какие это каналы, по вашим данным?

– В 2020 году мошенничество резко росло, потому что люди сидели дома и активно пользовались интернетом. Кроме того, мошенники молниеносно реагировали на повестку – выплаты, компенсации, штрафы – и создавали огромное количество сайтов для обмана россиян. В этом году такие темы уже не актуальны, и поэтому нет смысла создавать под них сайты. Число атак в интернете, посвященных коронавирусу, упало в сотни раз.

Но продолжает процветать "выстрелившее" в прошлом году мошенничество на торговых площадках. В 2020 году люди стали активнее выходить на "Авито", "Юлу" и прочие площадки, чтобы продать какие-нибудь вещи и немного подзаработать. На продавцов сразу же выходят мошенники, убеждают перейти по ссылке якобы для получения денег за товар и оставить там реквизиты карты. Повторю, эти схемы очень популярны у злоумышленников и сейчас. А в целом интернет-мошенничество уже вышло на плато.