Бухтелка о социальных сетях

Социальные сети («Одноклассники», «в контакте» и т.п.) становятся все более популярным явлением в кибер-пространстве. Некоторые из них насчитывают уже десятки миллионов пользователей. Конечно, не все эти пользователи реальны и активны: многие из учетных записей изначально регистрируются как фиктивные, «одноразовые» (только ради получения доступа к базе данных). Довольно часто пользователи теряют интерес к этому явлению в скором времени после регистрации, оставляя после себя «мертвые» регистрационные записи. И все же, несмотря на значительный процент «мервых душ», никто не станет отрицать, что речь идет о массовом явлении и охвате огромной аудитории. И это, разумеется, никак не могут оставить без внимания злоумышленники и мошенники самого разного толка.

Каковы основные опасности, подстерегающие нас в социальных сетях, и как вообще относиться к этому явлению? Ведь, с одной стороны, общение в подобных виртуальных коллективах порой интересно и увлекательно — мы находим там старых и новых друзей, завязываем полезные знакомства, да просто общаемся в свое удовольствие. С другой стороны, мы волей или неволей раскрываем там свои личные данные (и данные своих близких), публикуем фотографии, телефоны. Где компромисс, — то есть такая позиция, когда можно получать пользу и удовольствие от общения в социальных сетях, не подвергаясь при этом чрезмерному риску?

В поисках этого компромисса, перечислим основные опасности, с которыми мы гарантированно сталкиваемся в социальных сетях:

1. Кража личных данных для их дальнейшего использования в мошеннических целях.

Конечно, ни одному нормальному человеку не придет в голову выкладывать на всеобщее обозрение в Интернете такие свои личные данные, как номера или копии документов (паспорт, водительское удостоверение, дипломы и т.д.), или даже адрес проживания и домашний телефон). Все прекрасно понимают, чем это чревато. Однако, большинство посетителей социальных сетей, как правило, предоставляют о себе такие данные, как:

  • точная дата рождения,
  • сведения о работе и составе семьи (пусть не всегда полные, часто поверхностно-обзорные, но тем не менее),
  • информация, касающаяся стиля и образа жизни (привычки, семейные традиции, косвенные данные о благосостоянии и т.д.),
  • и конечно же личные фотографии.

Все это, при определенной систематизации, может быть использовано мошенниками. Как? — спросит возможно кто-то. Кому все это нужно и как это можно использовать против нас? Давайте рассмотрим несколько примеров…

Все мы сталкивались с такими ситуациями, когда при регистрации в каком-либо интернет-сервисе (почтовая служба, электронная платежная система, да хотя бы ICQ) необходимо ввести контрольный вопрос на случай утраты основного пароля. Что мы обычно используем в таких ситуациях? «Имя любимой собаки», «Девичья фамилия матери», «любимое блюдо»… Очень часто всю эту информацию можно без особого труда получить в социальных сетях, где мы сами все это выкладываем на всеобщее обозрение.

Другой пример. Предположим, к вам в ICQ неожиданно «стучится» старый школьный друг, которого вы не видели с тех пор, как весело отгуляли на его свадьбе 10 лет назад. Он рассказывает вам о своей жизни (что хорошо гармонирует с тем, что вы слышали о нем от друзей и знакомых), присылает фотографии жены, детей, постаревших родителей, которых вы еще помните со школы… Ну а затем ваш друг жалуется на временные финансовые трудности, и вы, будучи растроганы до слез такой встречей, одалживаете ему в какой-нибудь электронной платежной системе небольшую, но вполне ощутимую для вас сумму, переведя ее на анонимный счет, который он вам дает. О последствиях вы уже догадались: Ваш настоящий одноклассник, которого вы найдете спустя какое-то время по своим каналам для взыскания долга, возможно, будет вам искренне рад, но о своем «должке» он услышит впервые, как и о вашем предыдущем виртуальном контакте… При этом ICQ у него вообще никогда не было, но зато он очень активен на «Одноклассниках», где у него имеется обширная, полностью заполненная анкета (родился, учился, служил, работал), с множеством фотографий, которые можно запросто оттуда скачать, удалив логотип «Одноклассников» двумя мазками в «фотошопе». Ну а вы, хотя и не слишком много сообщили о себе в какой-то социальной сети, но поделились своим номером ICQ и информацией о школе, где учились вместе… При определенной сноровке подобную информацию можно собирать, систематизировать и использовать в мошеннических целях.

Еще пример. Вы, конечно, будучи «тертым калачом», не раскрыли в сети «Одноклассники» информации о своем адресе проживания, понимая, что это может быть использовано против вас, и что, к примеру, в любом супермаркете, где вы расплачиваетесь кредиткой, кто-то из стоящих рядом может сфотографировать вашу платежную карточку с помощью мобильного телефона, а затем — покопавшись по социальным сетям, поискать другую информацию о вас, и если он найдет там ваш адрес, то этого может оказаться достаточно, чтобы попытаться воспользоваться вашей кредиткой в Интернете… Поэтому Вы своего адреса и не выложили… Но это ведь не значит, что с помощью социальной сети ваш адрес нелья получить. К примеру, к кому-то из ваших друзей может обратиться «брат семиюродной сестры племянника тещи», который дескать учился вместе с вами в школе, но потерял вас из виду много лет назад. И ваш друг, будучи человеком доверчивым, не подумав ничего плохого, выдаст этому «псевдознакомцу» ваш адрес из своей записной книжки, искренне полагая, что совершил для вас доброе дело… (Кстати, если вы сами окажетесь в такой ситуации, то помните, что единственным корректным решением является потребовать у интересующегося его координаты — хотя бы имя — и передать их вашему другу, с сообщением о том, что этот человек его разыскивает).

И это мы рассмотрели лишь несколько примеров того, как личные данные могут использоваться мошенниками. В последнее время технические возможности киберпреступников растут. Известны, например, такие случаи, когда людям звонили злоумышленники и, сообщив о том, что кто-то из ближайших родственников потенциальной жертвы попал «в переплет», предлагали выкупить их из беды. В качестве подтверждения на мобильный телефон жертвы отправлялись подправленные все в том же фотошопе фотографии, позаимствованные с социальных порталов. Например, «объекту» подрисовывали пару кровоподтеков и синяков, а родственникам сообщалось, что этот человек сидит в «обезьяннике» (КПЗ), что его взяли с поличным за торговлю наркотиками, избивают за сопротивление сотрудникам правоохранительных органов, и что ему «светит» 10 лет как минимум… но дело можно замять, заплатив, к примеру 10 тысяч долларов. Чаще всего жертвами таких разводов становятся пожилые люди, которые, как правило, не слишком хорошо осведомлены о возможностях современных графических пакетов, а о существовании таких источников личных данных, как социальные сети, и вовсе не догадываются.

Означает ли это, что нам следует избегать общения в социальных сетях? Конечно нет! Но следует относиться более осторожно к той личной информации, которую мы о себе там выкладываем, и не нужно забывать, что наши друзья (знакомые, коллеги) также общаются в подобных сетях, и далеко не всегда проявляют необходимую осторожность, а потому их личными данными вполне могут воспользоваться злоумышленники.

Однако, вернемся к перечню опасностей.

2. Спам, со всеми вытекающими отсюда последствиями (загрузка вредоносного программного обеспечения, — вирусов, шпионских программ и т.д., — материальный и моральный ущерб от получения несанкционированной рекламы.

При этом ущерб пользователю социальной сети может быть нанесен как при получении им спама от других пользователей, так и при рассылке спама от его имени (что часто это недооценивается). Кроме того, следует понимать, что спам в социальных сетях является чрезвычайно эффективным, потому что рассылается по списку друзей.

3. Банальное мошенничество, наиболее распространенными способами которого являются: фишинг, оплата несуществующих услуг или товаров (либо товаров, которые вам не нужны), посещение web-ресурсов сомнительного содержания по чужим партнерским ссылкам.

4. Многочисленные имитации социальных сетей (Однолюбовники (odnolubovniki), Однотрахники (odnotrahniki), СексВОдноклассниках (sex-v-odnoklassnikah), ВСексКонтакте (VSexKontakte), СексКлассники (sexklassniki), Одноночники (odnonochniki), Однокурсники (odnokursniki), Трахоклассники (trahoklassniki), СексВКонтакте (SexVKontakte), ВКонтактекс (VKontaktex), и т.д. и т.п., на которых с доверчивых посетителей могут взять плату за регистрацию тем же методом, что и на настоящих «Одноклассниках» (то есть путем отправки платной смс), но которые не предоставляют никакого дальнейшего сервиса, но являются обычными «пустышками», привлекающими посетителей соблазнительными фотографиями на витрине. Кстати говоря, , в некоторых подобных «сервисах» с несчастного клиента могут еще впоследствии попросить заплатить за удаление анкеты и неразглашение информации о том, что он регистрировался в столь пикантных виртуальных сообществах. Ведь наверное никому не хочется, чтобы об этом узнали его друзья или родствепнники, или начальник…

Практическая иллюстрация

В заключение рассмотрим практическую иллюстрацию из моего архива.

Вот такое сообщение от одноклассника я как-то получил по внутренней почте. «Напрягло» оно меня только отсутствием личного обращения, в остальном сообщение вполне могло сойти за настоящее (все мы получаем порой по десятку таких сообщений в день):

«Прuвет, что нового!? Kак успеxu!? Kстатu, ты наверное еще не в курсе, что сeгoдня пoявuлcя новый спецuальный доступ к vip функцuям на однокласснuкаx!? Меня уже актuвuровалu. Заглянu тоже на …  (был указан домен, который уже не актуален) — просто актuвuруй свой аккаунт u всё! Советую!»

Подумав, что новый материал для моей рассылки по безопасности бизнеса мне явно не помешает, я обновил антивирусные базы и решил посмотреть — что же предлагается по указанному адресу. Вирусов там обнаружено не было, но зато предлагалась вполне сносно слепленная фишинговая страница для кражи пароля:

спам в одноклассникахНу чтож, неплохо для начала, хотя и банально… однако, что дальше? Оказалось, что для особо любопытных и доверчивых программа развлечений на «поле чудес в стране дураков» на этом не заканчивается. Введя в строку e-mail адрес idiot@mail.ru а в строку пароля «хрена лысого ты получишь пароль«, я был успешно перемещен на следующую страницу… Кто бы сомневался, что пароль подойдет! 🙂 Надеюсь, что злоумышленникам, которые его получили, он тоже понравился, и главное — пригодился… 🙂 ).

Однако, цирковое представление продолжалось. На следующей странице мне предлагались платные акции якобы от портала «Одноклассники», оплачиваемые, разумеется, через одну из систем sms-биллинга.

спам в одноклассниках

 

Вообще-то на «одноклассниках» дизайн регулярно меняется, как и на большинстве других сайтов, но в тот момент, когда был сделан этот снимок, внешний вид сайта был именно таким, и отличить его по внешнему виду было бы сложно даже эксперту. Но вот с доменным именем мошенники прокололись, потому что домен best-akcya.ru бросается в глаза даже не слишком опытному пользователю. Думаю, что намного более эффективно это сработало бы, если бы злоумышленники создали на своем домене best-acsya поддомен с именем «odnoklassniki». Тогда это могло бы выглядеть намного более правдоподобно, и опытные мошенники, практикующие фишинг, обычно именно так и поступают.

Для тех, кто по какой-то причине не в курсе, напомню, что наиболее часто этот вариант «развода» организуется следующим образом:

Мошенник регистрируется в партнерской программе по продаже мобильного контента, ну а жертва, отправляя платные (и очень недешевые) смс на указанные номера, получает за это какие-нибудь абсолютно ненужные заставки, рингтоны или игры для мобильного телефона. Что получает при этом мошенник? Разумеется, комиссионные проценты. Бывает и так, что мошенник регистрирует свой собственный аккаунт в системе sms-биллинга, и предоставляет какие-то услуги по отправке прогноза погоды, гороскопов, или просто собирает пожертвования. Хотя в этом случае мошенник намного больше рискует, потому что жалобы пострадавших могут лишить его «награбленного»… В случае с партнерской программой добраться до него сложнее, — тоже можно, но дольше и хлопотнее.

 

Однако, вернемся к истории. Конечно, я полюбопытствовал и тем, что ждет самых доверчивых граждан… (экспериментировать — так уж до конца!) Введя в форму подтверждения (см. предыдущий рисунок) 12345 (понятно, что подойдет любая комбинация), я был перемещен на уморительную заставку, которая еще долго отсчитывала секунды на мониторе…

спам через одноклассники

Прикольная надпись о том, что авторизация может длиться до 120 часов не могла не вызвать улыбки. Наши затейники явно обладают хорошим чувством юмора… Впрочем, возможно, что это расчет на то, что жалоб на эту аферу со стороны совсем доверчивых сограждан не будет как минимум в течение 120 часов…

Подобные мошеннические акции проводятся сейчас во всех социальных сетях, причем очень часто. И после очередной серии таких акций, одна из которых была проведена уже от моего имени, по списку моих друзей, я решил серьезно ограничить свое участие на «Одноклассниках» и в других социальных сетях. Каким образом был взломан мой аккаунт — осталось неизвестным (думаю, что это был какой-то вирус-троян), но очевидно лишь одно: администрация подобных сетей не в состоянии обеспечить необходимой защиты личных данных, потому что фишинг в моем случае исключен, как слишком хорошо известное мне явление, а взлом моего менеджера паролей на локальном компьютере слишком маловероятен. Остается взлом базы данных самих «Одноклассников».

Однако, как избежать такого обмана в социальных сетях, если вы все же в них продолжаете общаться?

1. Прежде всего, логично считать, что любая акция, организованная социальным сайтом, вполне может и должна базироваться на собственном домене этого сайта, то есть внутри портала. Поэтому переадресация (или открытое приглашение) на любой другой домен, однозначно свидетельствуют о попытке мошенничества. Часто бывает, что мошеннический домен созвучен с настоящим, — например, он может отличаться на одну букву: сравните odnoklassniki.ru и odnok1assniki.ru. При невнимательном взгляде можно не заметить, что в доменном имени буква l заменена единицей 1, внешне похожей на букву. Могут быть и другие варианты, например: odnoklasniki или odnolkassniki. Кстати, такая разновидность мошенничества называется «тайпсквоттингом». Эта весьма коварная разновидность фишинга более подробно рассматривается в отдельной заметке здесь, в этом блоге.

2. Обращайте внимание на стиль сообщений, полученных от друзей в социальных сетях. Как правило друзья обращаются к нам, используя привычные имена или ники. Злоумышленники чаще всего используют обезличенные формы обращения, поскольку подстановка имен существенно затрудняет автоматизацию рассылки спама. Впрочем, в последнее время злоумышленникам все чаще удается обойти и этот критерий. В тех же «Одноклассниках» я лично наблюдал несколько мошеннических акций с использованием регистрационных записей моих друзей, где меня называли по имени, хотя и непривычным образом. У имен также есть несколько вариантов, и если , к примеру, моя жена вдруг назовет меня «Константином», то удивлению моему не будет предела… Так же как если кто-то из дальних знакомых станет называть меня «Костиком». В любом случае на это нужно обращать внимание и если что-то кажется подозрительным — лучше написать ответную реплику и поинтересоваться — «откуда ветер дует»…

3. Если «терзают смутные сомнения» (то есть, как говорится, «и хочется и колется»), то проверить «подставу» не сложно: введите на фишинговой странице ошибочный пароль и посмотрите — сработает или нет. На фишинговых страницах пароли, разумеется, не проверяются, а просто отправляются злоумышленникам, при этом либо имитируется вход в систему, либо генерируется сообщение об ошибке входа и пользователь отправляется на настоящую страницу. Возможны варианты.

Между прочим, стопроцентную защиту от фишинга вообще, — и в социальных сетях в частности, — обеспечивают такие автоматические менеджеры паролей, как Roboform. Защита обеспечивается благодаря тому, что Roboform не может найти подходящий пароль для страницы, если она отличается хотя бы на один символ от настоящей. Мы этого можем «с усталых глаз» не заметить, но для программы Roboform это будет формально другой страницей и он не сможет подставить пароль в форму.

Соблюдения этих несложных правил обычно достаточно чтобы обезопасить себя от мошенничества в социальных сетях, хотя направление это чрезвычайно популярно в настоящее время среди мошенников и потому здесь желательно, как говорится, «держать нос по ветру». Новые направления мошенничества в этой области, думаю, не заставят себя долго ждать.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Этот сайт использует Akismet для борьбы со спамом. Узнайте как обрабатываются ваши данные комментариев.