Мошенники придумали новую схему обмана с QR: в общественных местах они размещают коды, при переходе по которым гражданам обещают соцвыплаты.

Под предлогом их начисления у людей выманивают данные для хищения денег.

Об этом рассказал зампред Банка России Герман Зубарев. Для защиты от злоумышленников ЦБ готовится внедрить двухдневный «период охлаждения», в течение которого подозрительные переводы будут приостановлены.

Если банк не выполнит необходимых процедур по защите клиента, он должен будет вернуть всю похищенную сумму в течение 30 дней, заявил Герман Зубарев.

Законопроект с этими нормам получил одобрение заинтересованных ведомств, в ближайшее время его планируется принять в первом чтении.

«Звонки через мессенджеры — восходящий тренд»

— Прошлый год показал, как быстро телефонные мошенники подстраиваются под актуальную повестку: в свои легенды обмана они оперативно интегрировали новости о спецоперации, о санкциях, о частичной мобилизации. По данным Банка России, появились ли уже в 2023 году новые сценарии мошенничества?

— Несмотря на внешнее многообразие мошеннических легенд, которые простому гражданину всё труднее распознать, злоумышленники всегда используют два базовых сценария.

Они либо предлагают что-то заманчивое — скидки, выплаты, бонусы, либо запугивают, например, потерей денег, уголовным преследованием, оформлением кредита на ваши паспортные данные и так далее.

Сейчас злоумышленники пытаются использовать технические новинки. Мы выявили схему обмана с размещением QR-кодов в общественных местах.

В объявлениях предлагается получить бесплатную консультацию о гарантированной социальной выплате. Когда человек сканирует QR-код, он попадает в чат-бот в мессенджере.

Далее выясняется, что ему якобы положена выплата.

Пособия для социально незащищенных, выплаты студентам, семьям с детьми — у мошенников заготовлен целый перечень таких обещаний, чтобы завлечь и обмануть как можно больше людей.

Далее злоумышленники под предлогом оформления якобы полагающейся выплаты запрашивают у человека личные и финансовые сведения. На самом деле эта информация нужна им для хищения денег с карты.

— Где именно размещаются такие QR-коды?

— Там, где они очень заметны, но при этом их размещение трудно контролировать — на стенах домов, в подъездах, на остановках, на парковках, других общественных местах и других объектах наибольшего скопления людей.

Это не новый вариант взаимодействия с жителями городов — раньше, например, рекламу с номерами телефонов часто размещали на асфальте.

Использование чат-ботов у людей вызывает дополнительное доверие, создавая ощущение работы автоматического сервиса какого-то официального ведомства.

— Мессенджеры всё чаще используются в мошеннических схемах. Например, в прошлом году банки зафиксировали, что злоумышленники стали обзванивать россиян с помощью месенджеров вместо сотовой связи. В Банке России видят риски в развитии таких технологий?

— Такие риски существуют. Злоумышленники и раньше пользовались мессенджерами для голосовых звонков. Другое дело, что сейчас такие звонки — восходящий тренд.

Мошенники вынужденно переходят на этот способ контакта, потому что применять обычную телефонную связь всё сложнее. Мобильные операторы обязаны противодействовать мошенническим звонкам, действуют антиспам-сервисы, которые в том числе продвигают и банки.

Несмотря на всплеск интереса мошенников к популярным мессенджерам, их основным каналом по-прежнему остается телефонный звонок.

Мы активно боремся с этими киберпреступниками.

Например, в 2022 году, по предварительным данным, мы инициировали блокировку более 750 тыс. номеров, что в четыре с лишним раза превышает данные за предыдущий год.

Это максимальный показатель с 2019 года, когда мы начали работу с операторами связи по блокировке таких номеров.

К сожалению, в случае с мессенджерами контроль со стороны операторов связи не работает, так как звонок идет через интернет-линию.

Очень высок уровень анонимности звонящего, поэтому привлечь его к ответственности крайне сложно.

К таким звонкам надо быть еще более внимательным, чем к традиционным телефонным. Не надо раскрывать свои личные и финансовые данные.

Настоящие сотрудники банков, работники правоохранительных или государственных органов не звонят гражданам через мессенджеры, не рассылают фото или сканы документов.

«Период охлаждения» и возврат средств



— Законопроект об этом подготовлен при участии Банка России и в сентябре прошлого года внесен в Госдуму. Надеемся, что в ближайшее время он будет принят в первом чтении.

ФинЦЕРТ банка России ведет базу данных о случаях и попытках осуществления переводов денежных средств без согласия клиента, в которой содержатся в том числе сведения о совершенных операциях, о плательщиках и получателях денежных средств.

Сведения этой базы будут доводиться нами до банка-отправителя и банка-получателя платежа, и они, в свою очередь, будут обязаны использовать эту информацию в своих антифрод-системах.

Документ предусматривает, что банк плательщика в течение двух дней не будет подтверждать перевод на счет, который содержится в нашей базе данных.

«Период охлаждения» нужен, чтобы у гражданина было время на осмысление происходящей ситуации.

Ведь он не сразу осознает, что находится под влиянием аферистов, которые под различными предлогами пытаются убедить его расстаться с деньгами.

За два дня человек сможет обдумать свои действия или кто-то из родственников может заметить, что происходит что-то неладное.



— Она включена в тот же законопроект, который находится в Госдуме.

Почему мы ее предлагаем?

Сегодня по закону клиент банка не вправе рассчитывать на возврат похищенных денег, если он нарушил условия договора, то есть передал реквизиты карты, SMS-код, логин и пароль от интернет-банкинга.

Однако, как мы с вами и говорили в начале, к сожалению, сейчас широко распространено мошенничество с использованием методов «социальной инженерии», когда человек под воздействием киберпреступников раскрывает им эти данные или добровольно переводит деньги.

В итоге доля возврата очень низкая — за девять месяцев 2022 года всего 4,8% от всего объема похищенных денежных средств возвращено банками пострадавшим гражданам.

Мы стремимся изменить ситуацию с возвратами, стимулируя банки лучше защищать своих клиентов и повышать качество работы антифрод-систем.

Если эти функции кредитная организация выполняет некачественно, она будет нести финансовую ответственность.

Инициатива предусматривает, что если банк — отправитель платежа получил от нас информацию из базы о случаях и попытках перевода денежных средств без согласия клиента, но не учел ее в своих бизнес-процессах и совершил перевод на такой счет, то он обязан будет вернуть клиенту похищенные средства в полном объеме в течение 30 дней.

Кроме того, банк — получатель платежа сможет ограничивать дистанционный доступ к счету, если информация о таком счете есть в базе о случаях и попытках осуществления переводов денежных средств без согласия клиента.

По законопроекту достигнут консенсус, завершилось межведомственное согласование, все заинтересованные министерства и ведомства его поддержали.

Кроме того, мы намерены дополнительно обсудить с рынком и экспертами инициативы регулятора по противодействию кибермошенникам и социальной инженерии в середине февраля на уральском форуме «Кибербезопасность в финансах» в Екатеринбурге.

— Банк должен будет вернуть всю сумму в любом случае или только при определенных условиях?

— Законопроект предполагает, что банк должен предпринять все разумные меры по защите клиента. В первую очередь речь идет о «периоде охлаждения».

В то же время банк не вправе ограничить клиента в распоряжении деньгами.

И если, несмотря на двухдневный «период охлаждения», на попытки банка разубедить клиента, он всё равно настоял на переводе, тогда банк освобождается от обязанности компенсировать похищенное.

«Случаи ошибочного попадания в базу дропперов единичны»

— Когда речь идет об ограничении дистанционного доступа к счетам из базы ЦБ о подозрительных трансакциях, появляются опасения, что туда могут попасть добросовестные россияне. Каким образом формируется эта база?

— База формируется на основе данных, которые банки и операторы платежных систем передают в Банк России по жалобам клиентов о несогласии с операцией.

В ней большое количество параметров — уникальных идентификаторов, в том числе сведения о совершенных операциях, о плательщиках и получателях денежных средств.

Должны быть весомые доказательства, чтобы счет попал в нашу базу данных о случаях и попытках по операциям без согласия клиентов.

Если, например, покупатель товара на маркетплейсе остался недоволен, хочет вернуть деньги и пишет заявление в банк, то это не значит, что кредитная организация автоматически признает счет продавца мошенническим.

Поэтому сейчас случаи ошибочного попадания в базу единичны, и для них установлен механизм быстрого исключения сведений из базы.

Человек может обратиться для этого с заявлением в свой банк или в интернет-приемную Банка России, после чего в течение нескольких дней будет принято решение об исключении из базы.

Добросовестным клиентам банков, которые не вовлечены в противоправную деятельность, опасаться не стоит.

— Можно ли базу ЦБ с информацией о подозрительных операциях назвать «базой дропперов»?

— Официально у нее другое название, как я уже говорил. Однако эксперты и участники рынка также называют ее «базой дропперов». Это лица, которые занимаются выводом и обналичиванием похищенных денег.

— Сколько сейчас в ней содержится счетов россиян?

— Речь идет о десятках тысяч.

При этом утверждать, что именно столько злоумышленников действует в России, неправильно. Во-первых, у мошенника может быть несколько счетов, через которые выводятся похищенные деньги.

Во-вторых, информация о дропперском счете появляется в нашей базе, когда пострадавший обратился в свой банк с заявлением о хищении денег, банк проверил информацию и направил ее в ФинЦЕРТ Банка России — специальное структурное подразделение регулятора, на базе которого с участием всех банков проходит информационный обмен, в том числе о подозрительных операциях при денежных переводах.

Но далеко не все пострадавшие от мошенников граждане обращаются с заявлением, в том числе в полицию.