Небезпеки, що підстерігають користувача в Інтернеті
Шахрайство в Інтернеті
Фішинг і фарминг
Деякі правила поведінки користувача в Інтернеті
В Інтернеті для шахрайства є все: анонімність, що дозволяє не бачити партнера при укладенні договору, можливість приховати контактну інформацію і, головне, безліч довірливих і малопідготованих користувачів. Ще не придумані технічні засоби, які можуть визначити, чи не з шахраєм чи ви маєте справу. Дослідники, які вивчають еволюцію розпізнавальних механізмів, припускають, що ми вчимося підозрювати обман і стаємо обережними, тільки коли існує помітна розбіжність між очікуваним і тим, що відбувається. При фізичному контакті виявити шахрая простіше. У віртуальному середовищі інстинкти самозахисту і досвід стають марними, тому тут необхідна гранична обережність.
У «Вікіпедії» шахрайство визначено як «злочин, що полягає в заволодінні чужим майном або правом на нього, а також в отриманні інших благ шляхом обману, зловживання довірою і т. П.». За законодавством багатьох країн шахрайство є кримінально караним діянням.
Якщо ви зустріли будь привабливу пропозицію, будь то робота, купівля товару за привабливою ціною або отримання послуг, що дозволяють заощадити, особливо коли лист або повідомлення виходить невідомо від кого і незрозуміло, як до вас потрапило (в більшості випадків це відбувається нібито випадково), - пам'ятайте, що безкоштовний сир буває тільки в мишоловці.
Більшість зафіксованих афер доводиться на махінації при проведенні електронних аукціонів і невиконання зобов'язань по доставці товарів, замовлених в Інтернеті. Є також інші способи виманювання грошей. У хід йдуть людські слабкості: жадібність, легковірність, жалість, прагнення до легкої наживи, бажання бути першим, виділитися і ін. У віртуальному просторі знайшли своє застосування всі прийоми, відточені шахраями протягом багатьох століть. Більш того, у них тут відкрилося друге дихання. Прикладом тому є «нігерійські» листи.
Часто в ході вимагання шахраї використовують психологічний тиск, запевняючи, що протилежна сторона, щоб заплатити збори, продала все майно і заклала будинок; можуть бути вказані жорсткі тимчасові рамки, присутній натяк на переслідування і наявність інших зацікавлених осіб. Чи варто говорити, що грошей жертва не побачить? У деяких випадках її запрошують напівлегально (без візи) відвідати країну, наприклад, для таємної зустрічі з високопоставленим чиновником. Там нещасного викрадають або заарештовують за незаконне прибуття в країну і вимагають гроші за звільнення. У найважчих випадках жертву вбивають.
Про «нігерійських» листах написано чимало, і механізм шахрайства детально пояснений, однак масовість розсилки призводить до того, що знаходяться нові жертви, які віддають злочинцям великі суми грошей. За деякими даними, в аферу вплутується кожен сотий, який отримав лист. Відомі випадки, коли довірливі громадяни не тільки вивертали кишені, а й переводили великі суми з рахунків фірми, в якій працювали. Основне поле діяльності шахраїв - західна Європа і США. Там можна знайти набагато більше довірливих громадян, спраглих легких грошей і мають невеликі власні капітали, ніж, наприклад, на пострадянському просторі.
Варіантом «нігерійських» листів може бути повідомлення від адвоката: нібито після смерті її далекого родича, що живе за кордоном, залишилося солідну спадщину. Для переказу грошей шахраї вимагають повідомити інформацію про банківський рахунок або заплатити певну суму накладних витрат.
• відгуки клієнтів (які виглядають однаково захопленими) і ідеальна гарантія, яка відшкодовує всі збитки після закінчення будь-якого рядок і в будь-який час доби;
• звіти про розміри продажів, особливо якщо вони виглядають нереально (наприклад, вказується щоденний обсяг продажів 5 тис. Одиниць, а в наявності є всього 5);
• посвідчення, видані якийсь асоціацією ...;
• статті або фотографії з журналів (не полінуйтеся зайти на сайт видання і знайти там оригінальний варіант: часто шахраї, взявши оригінал статті, просто змінюють назву);
• інша інформація, яку важко перевірити.
Власники зазначених гаманців не мали підтвердженого атестата, і ніякого логічного пояснення принципу подвоєння капіталу придумано не було, тому цей тип шахрайства став затухати. Тоді був придуманий міф, що невеликі суми з таких гаманців дійсно повертають - нібито для подальшого залучення клієнтів.
Цей міф поширювали самі власники цих гаманців. З'явилися навіть віруси, які запускають повідомлення про виграш подвійного балансу при запуску програми, яка працює з електронними грошима, - Keeper.
Ще один варіант - нібито знайдена помилка в платіжній системі (рис. 7.1).
Мал. 7.1. Повідомлення про нібито знайдену помилку в WebMoney
Взагалі, навколо електронних грошових систем крутиться багато підозрілих проектів, які оголошують себе частиною системи. Наприклад, недавно від імені ПриватБанку надсилалися листи з пропозицією ознайомитися з новим спільним проектом компанії 2checkout.com і ПриватБанку. Виявилося, що це обман.
Шахраї часто використовують наступний прийом: від імені адміністратора платіжної системи надсилається лист про нібито виниклі проблеми з рахунком з проханням вислати пароль для уточнення. Перш ніж висилати пароль, спробуйте зареєструватися в своїй системі, і ви переконаєтеся, що все нормально, вас просто хотіли обдурити.
Мал. 7.2. сайт weboborona.ru
Якщо ви все-таки вирішили взяти участь в укладенні угоди, почніть з невеликих сум: якщо втратите, то трохи. У будь-якому випадку повідомте про шахраїв службу підтримки системи електронних платежів.
Інтернет дозволяє шукати роботу не відходячи від комп'ютера і працювати на дому. Обидва ці випадки не залишилися без уваги шахраїв. Перший спосіб нагадує «нігерійські» листи. Об'єкту пропонується високооплачувана робота або участь в прибутковій справі. Зловмисники використовують тонкі психологічні прийоми, кваплячи жертв до швидкого (тобто необдуманого) прийняття рішення: вакансія обмежена за часом, роботу отримає той, хто першим відповість на лист, тощо. Для переконливості можуть називатися деякі реквізити існуючої організації, а потенційний бос нібито працює в її філії, який розширюється. Далі коротко описується характер майбутньої роботи і дуже докладно - матеріальні блага, які отримає влаштувався на роботу. В кінці листа присутня пропозиція внести деяку (часто дійсно невелику) суму грошей на накладні витрати з оформлення заявки, пересилання компакт-диска з тестовим завданням тощо.
Навіть якщо вказаний диск прийде, це не означає, що вас візьмуть на роботу (ви просто не пройдете тест). Фактично вам продадуть звичайний диск за ціною, в кілька разів перевищує його собівартість. Чому б не переслати необхідні документи по електронній пошті або не встиг викласти на сайт? Зловмисникам просто потрібно, щоб ви вислали гроші, в цьому вся суть.
Іншим варіантом є ваша пересилання майбутнього роботодавця копій документів, серед яких - відсканована з двох сторін кредитна картка. Такий варіант часто використовується, якщо вас намагаються «влаштувати на роботу за кордоном». Чи варто говорити, що з зазначеної картки незабаром будуть зняті всі гроші. Шахраїв в Інтернеті чимало, і часто навіть досвідченому користувачеві складно відрізнити чесний бізнес від обману.
Будьте особливо уважні до наступних пропозицій.
• Лист прийшов у вигляді спаму: тут присутній розрахунок на масовість, коли хоч один лист з тисячі знайде відгук. Навряд чи поважаюча себе фірма буде використовувати такий спосіб пошуку співробітників, вона швидше за звернеться в кадрове агентство.
• Обіцяють високі доходи, але при цьому нічого особливого робити не треба і ваша кваліфікація нікого не цікавить.
• Сертифікати та гарантії, які підтверджують повноваження, неможливо розглянути, назва організацій, які видали їх, незрозумілі або звучать занадто голосно, цифри продажів виглядають нереально.
• У вас просять деяку суму грошей: справжні роботодавці не просять грошей у претендентів.
Якщо хоч один з цих пунктів актуальний, значить, з вас намагаються витягнути гроші, навіть не намагаючись дати роботу. Може трапитися навпаки: ви зробите роботу, але грошей за неї не отримаєте. В цьому випадку шахрайство складно розпізнати спочатку, але, витративши час, а можливо, і гроші (на Інтернет або необхідні інструменти), ви виявите, що вас обдурили. У деяких випадках допоможуть поради, наведені вище, але не завжди.
Для підтвердження гіпотези подивимося, яку ще інформацію можна отримати з наявних даних. Для початку спробуємо протрассировать маршрут до minsk.piter.com за допомогою утиліти tracert, стандартно входить в комплект Windows XP версії Professional. Виконайте команду Пуск> Виконати і у вікні наберіть cmd. а у вікні терміналу - tracert minsk.piter.com (рис. 7.3).
Мал. 7.3. Використання утиліти tracert
Мал. 7.4. Онлайн-сервіс whois
Доступні та багато інших програм:
• tracert - трасування шляху доступу до сервера, перевірка часу проходження даних до кожного з проміжних вузлів на шляху до сайту;
• ping - перевірка доступності вузла;
• whatis - інформація про веб-сервері, під керуванням якого працює сайт, а також операційну систему, запущеної на сервері.
Такі онлайн-сервіси можуть стати в нагоді і тим, у кого в комплекті системи немає відповідних утиліт або вони заблоковані адміністратором, що часто буває, наприклад, в інтернет-кафе.
Якщо вас пробує найняти на роботу невелика фірма або приватна особа, про яку важко добути інформацію легальним шляхом, використовуйте метод наполегливої добування інформації з передбачуваного роботодавця: пишіть йому листи і задавайте питання. Якщо він дійсно зацікавлений, то буде все терпляче пояснювати, розуміючи вашу ситуацію. Якщо на свої питання ви не отримаєте чіткої відповіді, варто пошукати інший варіант.
Розглянемо тип атак, який найбільш часто згадується в сучасній пресі: фішинг і фармінг. Їм приділяють велику увагу, так як результат такого шахрайства може призвести до розкрадання номерів кредитних карток, паролів, відомостей про банківський рахунок і інших важливих даних.
Після реєстрації, тобто введення облікових даних і пароля, на такому сайті може з'явитися повідомлення про те, що все в порядку, а щоб обман не був помічений, вас можуть перенаправити на справжній сервіс. Шахраї тим часом очищають вашу кредитну картку або рахунок.
Невдалий користувач часто задається питанням: «Звідки вони дізналися, що у мене є рахунок в системі WebMoney (PayPal, eBay і ін.)?» Насправді ніхто нічого не впізнавав, просто напевно серед мільйона одержувачів виявиться хоча б кілька тисяч користувачів системи, робота якої імітується.
Якщо фішинг - це насадження наживки в надії на улов, то фарминг - це скоріше посів зерна, при якому не потрібно покладатися на випадок. Суть фармінга зводиться до автоматичного перенаправлення користувачів на фальшиві сайти, коли вони намагаються увійти на офіційний веб-сайт фінансової або комерційної організації. На відміну від фішингу, цей метод використовується практично без участі потенційної жертви.
Варіантом атаки може бути використання уразливості сценаріїв на вебсайтах. При цьому зловмисник вбудовує свій код, який перенаправляє користувача на інший ресурс або краде паролі. Однак через складність реалізації такий підхід використовується рідше.
Фішинг з'явився тому, що отримання даних від клієнта - більш простий варіант, ніж злом захищених банківських систем, тому не варто попадатися на виверти шахраїв. Прислухайтеся до наступних порад.
• Ніколи не відповідайте і ігноруйте повідомлення по електронній пошті або ICQ, запитують особисті дані і фінансову інформацію, навіть якщо вони отримані з, здавалося б, надійних джерел.
• При отриманні підозрілого повідомлення електронної пошти не відкривайте вкладення. Зв'яжіться безпосередньо з людиною або організацією, зазначеними в полі Від. або службою підтримки сервісу.
• Використовуйте антивірус, брандмауер, системи контролю цілісності даних і інші системи захисту, про які йшлося в попередніх розділах даної книги. Вчасно оновлюйте програмне забезпечення, встановлене на комп'ютері.
• Уникайте роботи з інтернет-банками на комп'ютерах, які не перебувають під вашим контролем. Особливо небезпечні суспільні інтернет-кафе, не рекомендується також користуватися комп'ютерами друзів і знайомих.
Завжди виходьте з сервісів, що використовують веб-інтерфейс, за допомогою передбачених коштів. Як правило, для цього існує спеціальна кнопка, розміщена в правому верхньому кутку сторінки (Logout. Sign out або Вихід). Так ви не дозволите будь-якій людині, який сів за комп'ютер після вас, скористатися кешем браузера для відновлення сеансу.
Якщо ви підозрюєте, що повідомили пароль у відповідь на фішинг-повідомлення або ввели його на шахрайському веб-вузлі, як можна швидше змініть його. Регулярно перевіряйте банківські звіти і звіти по кредитних картах: часто шахраї не беруть велику суму відразу, а вимагають гроші поступово, розраховуючи на «довгу співпрацю».
В даний час не існує готового рішення, що дозволяє розпізнати фарминг і фішинг за допомогою однієї програми. Для захисту від фішингу розробники найбільш поширених інтернет-браузерів домовилися про застосування однакових способів інформування користувачів про те, що вони відкрили підозрілий сайт, який може належати шахраям.
Нові версії деяких веб-браузерів мають таку можливість. Наприклад, фішинг-фільтр корпорації Microsoft доступний в браузері Internet Explorer 7, призначеному для системи Windows XP c встановленим Service Pack 2 і для Windows Vista. Він сканує і виявляє підозрілі веб-вузли, а також надає своєчасні оновлення та звіти про знайдені фішинг-вузлах. Якщо ви не включили функцію антифішинга під час установки Internet Explorer 7, це можна зробити в будь-який момент, для чого потрібно виконати команду Сервіс> Антифішинг. Функція антифішинга розпізнає два типи веб-вузлів:
• веб-вузли, підозрювані в фішинг-атаки: при переході на такий вузол функція антифішинга видає попередження жовтого кольору;
• веб-вузли, на яких робилися фішинг-атаки: при спробі відвідати такий вузол функція антифішинга перешкоджає цьому і видає попередження червоного кольору, після чого на даному веб-сайті не можна ввести ніякі дані.
Мал. 7.6. Показник ризику на панелі Netcraft Toolbar
Популярність веб-форумів, онлайн-щоденників (блогів) і різних засобів спілкування на кшталт електронної пошти, груп новин, різних чатів сьогодні велика. Крім добропорядних користувачів ці сервіси привертають шахраїв, охочих поживитися за чужий рахунок, а також спецслужби всього світу, тому рекомендується дотримуватися деяких правил поведінки в Інтернеті. Зазвичай ставлення користувача до листування в Інтернеті складається з декількох простих пунктів: «до мене немає нікому діла», «нічого особливого у мене немає», «мене ніхто не знає», «повідомлення читають тільки ті, кому вони призначені». Це не так.