«Шахраям знадобилося менше години для оформлення на моє ім’я трьох кредитів»: що робити, якщо викрали SIM-карту або зламали «Дію»
Втратив телефон, а разом з ним усі особисті дані — паспорт, ідентифікаційний код, водійське посвідчення і банківські картки. Сьогодні це може статися з кожним, хто має на смартфоні додаток «Дія» та банківські застосунки. Людина ще навіть не помітила, що її телефон зник, а в цей час хтось уже братиме на її ім’я кредити. Саме так сталося у тестя киянина Івана. У літнього чоловіка вкрали телефон у трамваї, але помітив пропажу він лише наступного дня. Цього часу злочинцям вистачило, щоб оформити п’ять кредитів на 40 тисяч гривень.
А буває, що злочинці викрадають дані своєї жертви навіть на відстані. В якийсь момент людина помічає, що її телефон не може приймати та здійснювати дзвінки. Потім — що він уже не має доступу до своїх банківських застосунків, які зламали. Таку історію нам розповіла мешканка Львова Ірина.
«У додатку „Дія“ надійшло повідомлення, що хтось зробив запит на мою кредитну історію»
Те, що вона не може ані прийняти, ані здійснити виклик зі свого телефону, Ірина Ілик зі Львова помітила не одразу.
— У додатку «Дія» надійшло повідомлення про те, що хтось робив запит на мою кредитну історію, — розповідає «ФАКТАМ» Ірина. — Я на той момент користувалася Інтернетом від Wi-Fi і спочатку не зрозуміла, що з SIM-картою щось не так. А виявилося, що вона вже була деактивована. Це був номер телефону, який я використовувала як фінансовий. До нього були підв’язані всі банківські картки та програми. І злочинці якимось чином отримали до нього доступ.
— Що відбувалося напередодні? Можливо, вам дзвонили з невідомих номерів?
— Нічого незвичайного не помітила. Може, й дзвонили, але я по роботі приймаю десятки дзвінків на день, серед яких бувають і випадкові, і хибні. Той день не був винятком. Коли я зрозуміла, що SIM-карта не активна, заблокувала всі свої банківські картки та одразу звернулася в «Київстар». Там сказали, що мій номер є активним. Але коли я продемонструвала їм свою деактивовану SIM-карту, стало ясно, що її вже використовує хтось інший.
Деталі того, як це сталося, у «Київстарі» повідомляти не стали. Все, що мені вдалося тоді від них дізнатися, — що менше ніж годину тому від когось уже надходив запит на відновлення моєї SIM-карти і її відновили. Тобто злочинець звернувся до оператора мобільного зв’язку, сказав, що мій номер телефону належить йому, і попросив відновити до нього доступ. Вочевидь, цьому проханню передувала легенда про те, що він втратив телефон. І у «Київстарі» це зробили.
Пізніше вже з письмової відповіді від «Київстару» я дізналася, що зловмисник не просто дзвонив, а навіть приходив до одного з відділень.
— Скільки часу ваша SIM-карта була у розпорядженні злочинців?
— Близько години. Повідомлення в «Дії», що надійшов запит на мою кредитну історію, надійшло о 13:18, а вже о 14:08 я відновила доступ до своєї картки. Але цього часу злочинцям вистачило, щоб оформити на моє ім’я «швидкі кредити» у трьох мікрофінансових організаціях. Перший кредит, про який я дізналася, було взято в Moneyveo — півтори тисячі гривень. Я одразу зателефонувала на 102, після чого приїхала до відділення поліції та написала заяву. А коли з компанією Moneyveo зв’язалася слідча, мій борг там був уже не півтори, а шість тисяч гривень. Виявилося, злочинець кілька разів поспіль брав там гроші й відразу їх повертав — щоб створити видимість того, що він благонадійний позичальник, і наступного разу взяти більше.
Також злочинець взяв кредити в організаціях KF.UA та «Быстрозайм». Наразі загальна сума моєї заборгованості у цих МФО з урахуванням пені — 34 тисячі гривень. До речі, Moneyveo поки що єдина організація, де після мого звернення визнали шахрайські дії і списали кредит.
— Для того щоб взяти навіть онлайн-кредит, необхідні документи позичальника — як мінімум паспорт та ідентифікаційний код. Де злочинці могли взяти ці документи?
— У моєму додатку «ПриватБанку» для бізнесу, в який вони потрапили за допомогою викраденої у мене SIM-карти. Доступ до інтернет-банкінгу отримали за допомогою sms, які приходили на мій телефон. До речі, злочинці намагалися зняти гроші з мого рахунку в «ПриватБанку». Але оскільки це була картка для бізнесу, для операції потрібно було ввести багато реквізитів, і вони не встигли це зробити.
Увійшли вони і в мій застосунок «Монобанку». Там спробували збільшити кредитний ліміт, але не вийшло.
Наразі Ірина сподівається, що львівська поліція, де за її зверненням відкрили кримінальне провадження, встановить злочинця.
— Щоб запобігти таким випадкам, я тепер стала контрактним абонентом. Якщо карта прив’язана до паспорта, викрасти її не так просто, — каже Ірина. — А в Українському бюро кредитних історій (УБКІ) встановила опцію FREEZE, яка повідомляє всіх, хто запитує мою кредитну історію, що я не хочу брати кредити. Тепер усім раджу убезпечити себе в такий спосіб. Дуже сподіваюся, що дві МФО, де в мене ще висять кредити, їх спишуть.
«Щойно тесть відновив SIM-карту, посипалися sms-ки: «Вам схвалено кредит»
Історія, яку розповів нам киянин Іван Буян, теж про злом банківських додатків та оформлення шахраями «швидких кредитів». Але тут не було викрадення SIM-карти. Тесть Івана втратив телефон.
— Найімовірніше, смартфон вкрали в електричці, — розповів «ФАКТАМ» Іван. — Тесть не так часто ним користується, тому того вечора навіть не помітив його зникнення. Коли вранці зрозумів, що трапилось, одразу зателефонував до банку, заблокував усі картки, потім заблокував SIM-карту і написав заяву до поліції. Але, на жаль, було вже пізно.
Щойно тесть відновив SIM-карту, посипалися повідомлення від мікрофінансових організацій: «Ви успішно зареєструвалися на сайті», «Вам схвалено кредит» тощо. У базі Українського бюро кредитних історій ми виявили п’ять кредитів на загальну суму 40 тисяч гривень, які оформили та видали організації CreditPlus, Credit 7, Gofingo, Moneyveo. П’ятий кредит було взято у «ПриватБанку» через додаток «Приват24». Злочинці взяли там 12 тисяч гривень та оформили споживчий кредит на покупку смартфона ще на 8 тисяч.
Ось тут те, що сталося, вже дуже нагадує історію Ірини Ілик зі Львова. В обох випадках зловмисники спочатку зайшли до додатку «ПриватБанку». Маючи в руках телефон жертви або ж доступ до її SIM-карти, зламати застосунок нескладно — відбувається це шляхом відновлення паролю, який надходить у sms. Потрапивши у додаток, шахрай отримує доступ не лише до коштів, але й до документів їхнього власника, які використовує для оформлення кредиту в МФО. Є варіант ще простіший: через цей самий застосунок злочинець отримує доступ до BankID — і через BankID автоматично реєструє жертву на сайтах мікрофінансових організацій, де оформлює кредити.
За словами Івана, зловмисники зламали на смартфоні тестя і додаток «Дія». Най¬імовірніше, просто підібравши до нього пароль. Для оформлення кредитів у МФО за наявності входу до «Приват24», і тим більше, наявності BankID, «Дія» вже не потрібна. Проте взяті з «Дії» додаткові персональні дані злочинці можуть використовувати з іншою метою. Наприклад, заволодівши паспортом людини, можна відправити або забрати посилку з забороненими речовинами або провертати афери з поштовими відправленнями.
Чи спливуть ще десь викрадені злочинцями персональні дані тестя Івана, поки що не відомо. Чоловік добився відкриття кримінального провадження і зараз намагається довести МФО та банкам, що кредити брав не він.
— У Солом’янському райвідділі поліції кримінальне провадження поки що зареєстрували лише за фактом крадіжки телефону. За фактом шахрайства поки що немає, і доля нашої заяви невідома, — повідомив адвокат тестя Івана Олександр Спиридонов. — Ми вже самостійно з’ясували прізвище та деякі інші дані людини, на рахунок якої переказувалися кредитні гроші. Передали ці дані поліції, але невідомо, чи вони перевіряються.
У таких випадках, як у його клієнта (коли точно відомо, що, заволодівши смартфоном, злочинці зайшли і в додаток «Дія»), щоб уникнути подальших неприємностей, Олександр Спиридонов радить міняти паспорт, подавши відповідну заяву до ЦНАП (Центр надання адміністративних послуг): «Таким чином ваш старий е-паспорт потрапляє до Реєстру викрадених паспортів, і злочинці вже не зможуть ним скористатися».
«В якості фінансового використовуйте не той номер телефону, яким користуєтеся»
Які основні правила безпеки потрібно знати тим, хто сьогодні користується «Дією», що стрімко набуває популярності, і банківськими застосунками? За словами голови «Гільдії IT-фахівців» Тараса Розкішного, якщо телефон, як у випадку з тестем Івана, потрапляє до рук зловмисників, ризик того, що абсолютно всі програми будуть зламані, дуже високий.
— До «Приват24», як відомо, можна зайти шляхом відновлення пароля у sms, — розповів «ФАКТАМ» Тарас Розкішний. — Для входу в програму «Монобанку» потрібен пароль з чотирьох цифр. Враховуючи те, що багато хто ставить на нього дату або рік свого народження або прості комбінації цифр, які використовуються десь ще в телефоні, зловмисникам нескладно підібрати пароль. Аналогічна історія з паролем у додатку «Дія». Як від цього захиститися? В першу чергу — використовувати в якості фінансового не той номер телефону, яким ви користуєтеся для дзвінків та інших комунікацій.
Фінансовий номер повинен використовуватися виключно для банківських програм. Найкраще тримати SIM-карту з цим номером в іншому, можливо, навіть простому кнопковому телефоні. Він вам знадобиться лише для підтвердження особистості, коли банки вимагають додаткової верифікації. Також на нього приходитимуть коди з sms-повідомлень при здійсненні інтернет-оплат. Звісно, SIM-карта з номером, який ви використовуєте як фінансовий, має бути оформлена на паспортні дані, тобто ви повинні бути контрактним абонентом. Це допоможе запобігти викраденню SIM-карти, що зараз відбувається досить часто.
— Як викрадають SIM-карти?
— Метод соціальної інженерії. Наприклад, людині дзвонять з невідомого номера, і вона скидає виклик. Потім їй передзвонюють, або вона передзвонює сама — і це повторюється тричі. А для відновлення SIM-карти оператору мобільного зв’язку достатньо назвати три останні номери, на які здійснювалися виклики. Це найпоширеніший метод викрадення. Але якщо абонент є контрактним, цей метод не спрацює. Теоретично можливі схеми викрадення SIM-карт шляхом підкупу співробітників центрів мобільного оператора, але мені такі ситуації невідомі.
— Зараз активно обговорюється те, наскільки надійним є застосунок «Дія». У Мінцифри запевняють, що він добре захищений. Що вам відомо?
— Установка цієї програми несе ризики в разі втрати телефону. Це справжнє джерело персональних даних, і у зловмисника, що заволодів вашим телефоном, з’являється до них доступ. У нас більшість організацій, де приймають цю програму для ідентифікації особи, не сканують QR-код, їм достатньо наявності програми. Тому злочинці можуть використовувати ваші дані в різних цілях. Звісно, найчастіше це кредити. Тому не раджу тримати додаток «Дія» у смартфоні, яким ви активно користуєтеся та який можете втратити.
— Чи можна потрапити до чужої «Дії», викравши SIM-карту? Чи для цього потрібно мати доступ до смартфона людини?
— Точно відповісти не можу, тому що подібні експерименти не проводив. Це вже тягне на кримінальну справу щодо підробки документів. Можу сказати, що сама програма закрита і, як вона взаємодіє з операційною системою вашого пристрою та іншими встановленими на ньому програмами, в Мінцифри не повідомляють. Тому ми не можемо точно знати, чи можливий варіант, про який ви запитуєте.
— Зараз багато хто використовує Google Pay та Apple Pay, що, безумовно, дуже зручно. Але виходить, що у випадку втрати смартфона це ще один ключ у руки злочинцям?
— Якщо ви використовуєте ці програми і втратили телефон, необхідно відразу блокувати банківські картки, які до них підв’язані. Хоча малоймовірно, що злочинець піде з вашим смартфоном по магазинах і розраховуватиметься вашими грошима через термінал, адже він залишить там слід і його неважко буде знайти. Але банківські картки у разі втрати пристрою з таким додатком необхідно якнайшвидше заблокувати.
Вже з середини осені ТЦК оформлять усіх: Рєзніков попередив про підготовку