Околомобильное: Скучный эксперимент с сервисом перехвата СМС

Переводя свой доклад о взломе электронной почты в on-line формат,  я раскопал попутно в своих архивах еще один любопытный материал родственной тематики, который давно собирался опубликовать, да все никак не доходили руки… Материал касается сервисов, якобы оказывающих услуги по чтению чужих СМС, путем предоставления «любопытным варвАрам» распечаток звонков и сообщений «заказанных» абонентов. Один из таких сервисов я, что называется, «пощупал» несколько месяцев назад — из чистого любопытства.

Материал не сильно «жареный»: ничего удивительного для себя я не обнаружил, в этой области все обстоит примерно так, как я и ожидал. В отличие от взломщиков почты, которые продвинулись весьма значительно по сравнению с временами, описанными Игорем Белкиным, мошенники, специализирующиеся на чтении СМС пока находятся примерно на том же уроовне, что и несколько лет назад, и пытаются банально впарить неосведомленному в технических аспектах клиенту липовые доказательства, склонив его к предоплате реально не выполненной работы.

Чтобы не быть голословным, приведу дословную переписку с одним из таких сервисов (как всегда не стану указывать конкретных названий, ибо это бессмысленно), которому я заказал месячный архив СМС с одного из российских номеров. Номер телефона жертвы я выбрал наобум, в качестве телефона заказчика указал номер одного своего российского коллеги, так как у меня просто нет постоянно работающего российского номера, я живу в основном в Латвии, Россию лишь иногда «проезжаю». Оформляя заказ, я представлися «Сергеем».  Итак, переписка с краткими комментариями.

Письмо о принятии заказа пришло почти сразу. Видимо этот процесс автоматизирован:

Спасибо за выбор нашего сервиса! Искренне желаем, что бы Ваши подозрения ни подтвердились. Постараемся выполнить Ваш заказ как можно быстрее. С уважением руководитель проекта servissms, Генрих Гольдс

Примерно через сутки-двое бодрый (хотя и никем не подписанный) «рапорт» об успешном выполнении заказа с вежливой просьбой оплатить «проделанную работу»:

Здравствуйте! Благодарим Вас, что Вы воспользовались услугами нашего сервиса. Надеемся на дальнейшее плодотворное сотрудничество. Ваш заказ выполнен.

—————— ** ЗАКАЗ ** ——————

  • Номер заказа: 47RSP924
  • Телефон жертвы : 79067ХХХХХХ
  • Телефон заказчика :79433ХХХХХХ
  • Заказ : Тариф 30 суток Период заказа : с 01.11.11 по 14.11.11
  • E-mail: ХХХХХХХХХ@mail.ru
  • Код скидки : первый заказ, отсутствует
  • К оплате: 2990руб.

————————- ** ДОСТАВКА ** ————————-

После поступления оплаты с Вашей стороны, Вам будет выслан архив под паролем, с файлом распечатки в формате Word 2003, пароль: abcdef Если Вы его не сможете прочесть (на разных компьютерах разная кодировка), то мы вышлем Ваш заказ в формате Word 2007.

Так же Вам будет присвоен личный Код скидки, для повторных заказов.

Очевидно, что мошенник — не желторотый полуграмотный пацан, кое-что, конечно, понимает в психологии («личный код скидок» — довольно удачная психологическая уловка, — попытка внушить потенциальной жертве подсознательную мысль, что здесь предполагается долговременное «сотрудничество»), но в общем и целом всё достаточно банально… И разводом пахнет за версту…

Однако вступаю в игру, коль я ее начал:

Приветствую, а имеются какие-то доказательства, что заказ реально выполнен?  — Сергей

и довольно быстро получаю ответ, подписанный на этот раз некоей «Татьяной»:

Уважаемый Сергей! Вам было отправлено нами тестовое сообщение с проверяемого номера на Ваш! Это означает, что мы получили доступ к серверу проверяемого абонента и действительно можем выполнить заказ! Именно поэтому и выслан счет на оплату, если мы не получили бы доступ, то счет не был бы предоставлен, и мы принесли бы Вам свои извинения. Вы получали подобную смс? — С уважением Татьяна.

Ну что же, все понятно. Разумеется, я охотно верю (и даже не стал этого проверять), что мой коллега, телефон которого я использовал в качестве «контактного телефона заказчика», действительно получил «тестовое сообщение с проверяемого номера». Другое дело, что этот дешевый трюк уж никак не может служить доказательством получения доступа к серверу, или вообще к чему бы то ни было, кроме разве что доступа к шуточной интернет-услуге, позволяющей любому школьнику (обычно за вполне разумное вознаграждение, — не более пары десятков рублей, — отправить СМС на любой номер, указав в качестве отправителя произвольное сочетание символов. Обычно такими сервисами пользуются для веселых розыгрышей, — например, можно отправить другу СМС из «налоговой полиции», или от «террориста Дудаева»… Допускаю, что кто-то может и не знать о существовании подобных сервисов, — сейчас их действительно стало несколько поменьше, видимо не пользуются особым спросом уже, но когда-то, лет 5 назад, таким сервисы плодились как грибы после дождя и видимо их содержание окупалось… Как бы там ни было, трюк этот очень старый, о чем я, разумеется, попытался указать мошенникам, побудив их к более конструктивному диалогу, так сказать, «без дураков»:

Уважаемая Татьяна, Отправка таких сообщений не может служить доказательством доступа к серверу. Я и сам могу отправить на любой телефон сообщение хоть от президента… Предлагаю в качестве доказательства предоставить мне текст моей собственной смс, отправленной на проверяемый номер 5 ноября в 16:37. Полагаю, что это не должно вызвать у Вас затруднений… — С уважением, Сергей

Разумеется, никаких тестов я никуда не отправлял, это был блеф… хотя я мог бы такую СМС и отправить при необходимости… Но решил не «запариваться», поскольку к этому моменту особых сомнений в примитивности методов мошенников у меня уже не оставалось, но просто нужно было довести «партию до конца».

Далее последовал взаимообмен вежливыми (чуточку ироничными с моей стороны) «увещеваниями»…

Наш сервис раньше предварительно высылал несколько содержательных смс из распечатки, чтобы заказчик убедился, что информация действительно получена. Но мошенники быстро смекнули (мы не имеем в виду вас), что можно переслать заказ жертвы такому сервису и получить подтверждающие смс, которые затем отправить жертве и получить от нее деньги. От этой практики отказались, поскольку тестовые смс больше не гарантируют добросовестность продавца.

Как умный и адекватный человек вы должны понимать следующее:

Средства, вложенные в разработку, введение, рекламу нашего сервиса несоизмеримы тем деньгам, которые мы могли бы получить, руководствуясь жаждой легкой наживы, учитывая «разовость» данного деяния. Мы заинтересованы получать не плохую прибыль, работая долго и честно!

Мы очень дорожим своей репутацией и добиваемся постоянного улучшения сервиса, чтобы мнение о нас позволяло зарабатывать доверие новых клиентов, расширяя и развивая наш бизнес.   Ваш заказ, это не товар который можно перепродавать, а информация необходимая только вам, для других она не имеет ценности.

Если не хотите с нами работать можете воспользоваться сервисами типа: «отправь смс на короткий номер и увидишь местонахождение абонента», «отправь смс и тебе придет несколько последних смс», ну и т. д. Некоторые думают , что за стоимость отправленного смс сообщения можно получить столь пикантную информацию! После отправки они видят следующее, посмотрите на сайте: http://surf-expert.info/links/recommended/mobiltreker.html  Увы, информация стоит денег!

Если Вы все-таки решились, то ожидаем оплаты. Если Вы откажетесь, то если не трудно сообщите, пожалейте, пожалуйста, наше время. В любом случае удачи Вам. Надеемся, что мы не зря потратили свое время и средства, рады будем видеть Вас в числе наших постоянных клиентов. Татьяна.

Речь идет не о «нескольких содержательных смс из распечатки», текст которых мне может быть не известен, и содержание которых я хотел бы знать (ибо оно является в нашем случае товаром, за который я готов заплатить). Но речь идет о моей собственной смс, отправленной ранее на проверяемый номер коллеги в указанное мною время. Содержание этой смс не является тестом, это обычное повседневное сообщение. Оно не может быть использовано мною в мошеннических целях для введения кого-то в заблуждение, поскольку его содержание не известно никому, кроме меня и получателя, ну и еще того, кто имеет доступ к распечатке смс. Вы утверждаете, что у Вас есть этот доступ к распечатке. В чем же тогда проблема, — сообщите мне текст указанной смс, и это будет стопроцентным доказательством того, что Вы имеете товар. Насколько я понимаю, никаких дополнительных усилий для этого предпринимать не требуется.

Мы все понимаем, но правила едины для всех, понятно это небольшая потеря клиентов, но все же лучше чем нести убытки из-за недобросовестных клиентов (не имеем в виду Вас). Решение у нас принимает не один человек, и в первую очередь это связанно с безопасностью. Вы ведь понимаете, что наша деятельность мягко сказать незаконна. Одна-две смс это риск. Нужно зайти «напрямую» на сервер оператора и сделать выборку, большая вероятность получить сбой в системе, и не иметь в дальнейшем возможности скачать полный архив! Мы работаем по автоматической технологии, скачиваем архив и в полном объеме предоставляем заказчику, без выборки и вмешательства. Решать Вам, но поверьте никто Вас не собирается обманывать. Мы работаем честно, стабильно и профессионально! С расчетом на дальнейшее сотрудничество. Наш сервис держится и функционирует в основном из-за постоянных клиентов. — С уважением Татьяна.

Если архив смс находится у вас, и это действительно так, то нет ничего проще прочитать в нем одну смс и сообщить мне ее в качестве стопроцентного доказательства того, что архив находится у вас. Вашей вины перед законодательством это не усугубит (законодательство уже нарушено) и риска не прибавит (в чем риск — открыть собственный файл на локальном компьютере). Пояснение «Правила едины для всех (даже если мы теряем деньги и тратим попусту время)» — это скорее лозунг чиновников-бюрократов, чем принцип действия бизнесменов… Не вижу пока иных причин, по которым вы отказываетесь предоставить доказательства, кроме одной — отсутствие у вас архива.

PS: А кого вы назваете «недобросовестными клиентами» — тех, кто не хочет платить за «кота в мешке»? Прошу простить за иронию, но ничего другого не остается…

после чего наша переписка оборвалась…

Не могу еще раз не отметить, что психологически мошенник оказался подготовлен сравнительно неплохо: Меня несколько раз похвалили, назвав «умным» и «адекватным» :-), мое внимание попытались отвлечь, сославшись на шуточный сервис геолокации, выставив его как «дешевый мошеннический трюк», меня попытались «усовестить» (мы типа работали… а вы…) мне даже попытались логически обосновать причины, по которым затребованное мною доказательство якобы не может быть использовано, мне снова попытались внушить мысль, что я имею дело с солидным сервисом, при этом мошенник до самого конца «выдержал мину», не сорвался на грубость даже в конце, когда уже стало совершенно очевидно, что развести клиента не удается. И это, в общем-то, логично: когда реальных технических методов (как в случае со взломщиками почты и аккаунтов в социальных сетях) нет, единственным оружием мошенника остается психология…  Конечно, будь мошенник поопытнее, он мог бы попытаться выкрутиться из затруднительного положения с «доказательством» более изящно… но я не буду здесь подсказывать — как, поскольку уверен, что данный материал будут читать и мошенники :-))

В общем и целом я конечно был разочарован этим своим экспериментом: надежда «нарыть» что-то действительно интересное и уникальное у меня в начале все же была… но не получилось. По этой причине видимо материалы эти и пролежали в моих архивах несколько месяцев — аж с ноября прошлого года… Однако перечитав эту переписку пару дней назад, я все же решил выложить ее здесь, посчитав, что когда-нибудь это может стать прелюдией к описанию более интересных экспериментов, которые я непременно продолжу.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Этот сайт использует Akismet для борьбы со спамом. Узнайте как обрабатываются ваши данные комментариев.