Социальная инженерия в звонках мошенников: суть и последствия

Техническая защита аккаунта при этом может работать штатно: операция подтверждена владельцем, потому что тот выполнил инструкции звонившего.

В 2024 году у клиентов банков похитили 27,5 млрд рублей — на 74% больше, чем годом ранее. Эта сумма включает разные виды мошенничества, поэтому приписывать её целиком телефонным атакам нельзя. Но сама механика звонков заслуживает отдельного разбора: в ней уязвимостью становится процесс принятия решения человеком.

Как устроена атака

Социальная инженерия в банковском мошенничестве строится на управлении действиями клиента. Злоумышленник использует доверие к организации, тревогу из-за возможной потери денег и дефицит времени. Цель разговора — добиться одного из двух результатов: получить секретные данные или убедить человека совершить финансовую операцию самостоятельно.

В сценариях, перечисленных Банком России за 2024 год, встречаются звонки от имени службы безопасности финансовой организации и правоохранительных органов. Также мошенники ссылаются на продление договоров или лицензий, получение господдержки и компенсаций. Роли меняются, логика остаётся прежней: звонящий объясняет, что возникла проблема, и тут же предлагает способ её решить.

Обычно схема развивается последовательно:

1. Создание доверия. Звонящий называет банк, другую финансовую организацию или ведомство. Может использовать сведения, которые звучат правдоподобно и помогают удерживать разговор.

2. Формирование угрозы или выгоды. Клиенту сообщают о подозрительной операции, угрозе счёту, проблеме с договором либо обещают выплату.

3. Ускорение решения. Звонящий подталкивает к действиям без независимой проверки. Пауза и попытка перезвонить выставляются как риск.

4. Получение доступа или перевода. Клиента просят назвать код из СМС, ввести его в разговоре или приложении, раскрыть пароль, сообщить данные карты либо перевести деньги по указанным реквизитам.

Последний шаг часто выглядит для систем банка как операция, подтверждённая самим клиентом. Код двухфакторной аутентификации предназначен для подтверждения личности на экране входа или операции. Если передать его собеседнику, тот может использовать код для доступа к аккаунту или подтверждения действия. Поэтому наличие одноразового кода не превращает операцию в безопасную автоматически.

Код подтверждает действие в системе. Он не подтверждает, что человек, который просит его назвать, действительно представляет банк.

Признаки социального инженерства в звонках

Отдельная фраза не всегда доказывает мошенничество. Надёжнее оценивать последовательность требований и то, что собеседник просит сделать. Если звонок одновременно создаёт срочность и ведёт к раскрытию секрета или переводу, разговор следует прекратить и проверить ситуацию другим каналом.

К характерным признакам относятся:

• Собеседник просит назвать код из СМС, пароль, секретное слово, полный набор данных карты или другие сведения, предназначенные для доступа к банковским операциям.
• Предлагает перевести деньги на «безопасный» счёт, чтобы защитить их от списания. По предупреждению Федеральной торговой комиссии США, перевод денег под предлогом защиты средств — основание не выполнять просьбу.
• Требует немедленно установить приложение, перейти по ссылке или выполнить действия на телефоне под диктовку.
• Запрещает завершать разговор, перезванивать в банк самостоятельно или советоваться с близкими.
• Представляется сотрудником банка или правоохранительных органов и строит разговор вокруг подозрительной операции, блокировки счёта, продления договора либо компенсации.
• Просит подтвердить операцию, которую клиент сам не начинал, или ввести код, смысл которого звонящий объясняет иначе, чем он обозначен в сообщении.

Звонящий может использовать профессиональную лексику, уверенно описывать процедуры и говорить спокойным голосом. Это не подтверждает его полномочия. Отображаемый номер тоже не следует считать достаточной проверкой: решающее значение имеет независимый канал связи, выбранный самим клиентом.

Психологическое давление в финансовых атаках обычно держится на трёх рычагах: страхе потери, обещании выгоды и контроле времени. Задача — лишить человека возможности сопоставить слова собеседника с реальным состоянием счёта. Чем настойчивее звонящий управляет темпом разговора, тем важнее остановить действия и провести проверку отдельно.

Что происходит с данными и деньгами

Последствия зависят от того, какие сведения удалось получить и какие действия совершил клиент. Переданный код может открыть доступ к аккаунту или помочь подтвердить операцию. Данные карты в сочетании с другими сведениями могут использоваться для попыток списания. Если человек сам переводит деньги, операция проходит с его участием, хотя решение принято под влиянием обмана.

Финансовый ущерб не ограничивается суммой одного перевода. После компрометации учётной записи злоумышленник может попытаться изменить настройки доступа, перехватить дальнейшие коды или использовать персональные данные в следующих атаках. Конкретные последствия определяются уровнем доступа и реакцией банка, поэтому обещать автоматический возврат средств после звонка нельзя.

Масштаб проблемы виден в нескольких разных показателях. По данным ФинЦЕРТ, за 2023 год участники информационного обмена сообщили более чем о 100 тысячах успешных компьютерных атак на клиентов финансовой сферы с применением социальной инженерии. Это более чем вдвое выше уровня 2022 года; большинство таких атак проводилось через звонки, в том числе в мессенджерах.

В отчётности банков за III квартал 2024 года было отражено 28 687 случаев использования методов социальной инженерии. Это на 29,22% выше среднего значения четырёх предшествующих кварталов, составлявшего 20 305 случаев. Эти данные описывают зарегистрированные случаи в конкретном периоде и не дают универсальной вероятности потери денег при каждом звонке.

В том же 2024 году Банк России инициировал блокировку почти 172 тысяч телефонных номеров злоумышленников. Блокировки сокращают доступность отдельных каналов, но не меняют основную механику: сценарии можно перенести на новый номер или в мессенджер. Поэтому защита, которая зависит только от блокировки известного номера, не закрывает риск полностью.

Как проверить звонок и прервать сценарий

Проверка должна проходить вне разговора с потенциальным мошенником. Не нужно выяснять у него, настоящий ли он сотрудник: ответ собеседника не будет независимым подтверждением.

Практический порядок действий:

1. Прекратить разговор. Не сообщать коды, пароли, секретные слова и данные карты. Не выполнять инструкции по переводу денег, входу в приложение или установке программ.

2. Самостоятельно связаться с банком. Использовать номер на карте, в выписке или в официальном приложении. Не перезванивать по номеру, который продиктовал собеседник, и не переходить по присланной ссылке.

3. Проверить состояние счёта и операции. Если обнаружено неизвестное действие, сообщить об этом банку через официальный канал. Чем раньше зафиксирована проблема, тем быстрее можно начать процедуры ограничения доступа и проверки операции.

4. Сменить данные доступа при подозрении на компрометацию. Если код или пароль уже передан, связаться с банком без задержки, заблокировать доступ способом, который он предлагает, и проверить настройки аккаунта.

5. Сохранить сведения о контакте. Номер, время звонка и содержание просьб могут пригодиться при обращении в банк или правоохранительные органы. Запись разговора не заменяет уведомление финансовой организации.

Банк России рекомендует кредитным организациям предупреждать клиентов о недопустимости передачи посторонним персональных данных, данных карты, паролей из СМС и секретных слов для банковских операций. Это соответствует базовой модели защиты: секреты аутентификации остаются у владельца, а проверка личности звонящего проводится через канал, который клиент выбирает самостоятельно.

Для компаний тот же принцип относится к процессам поддержки и выдачи доступа. Сотрудник не должен обходить регламент из-за срочности, названной по телефону. Запрос на смену реквизитов, сброс доступа или подтверждение операции требует предусмотренной внутренней проверки. Если организация управляет не только финансовыми, но и физическими потоками, контрольные процедуры строятся по той же логике разделения каналов; схожие подходы к мониторингу и защите описаны в материале о безопасности грузоперевозок и мониторинге.

Почему техническая защита не решает всё

Банковские системы могут выявлять нетипичные операции, ограничивать подозрительные действия и применять многофакторную аутентификацию. Но эти механизмы не всегда распознают обман, если клиент сам подтверждает вход или перевод. Система видит корректный код и выполненную операцию; причина, по которой человек действовал, может остаться за пределами технического контроля.

Это не делает аутентификацию бесполезной. Она защищает аккаунт от части сценариев, в которых злоумышленник пытается получить доступ без участия владельца. Но передача кода третьему лицу разрушает этот барьер: секрет становится доступен тому, кто управляет разговором. Дополнительный фактор работает только при сохранении контроля над ним.

Для банков и финтех-компаний задача состоит в согласовании нескольких уровней защиты: понятных предупреждений в момент операции, мониторинга подозрительного поведения и процедур быстрого обращения при компрометации. Предупреждение должно объяснять смысл действия простыми словами. Если интерфейс сообщает лишь о необходимости ввести код, пользователь может не понять, что фактически подтверждает вход другого лица или перевод.

Данные опроса Банка России за 2024 год показывают, что с различными видами кибермошенничества сталкивались 34% участников опроса. Среди контактировавших со злоумышленниками 9% сообщили о потере денег. Эти показатели нельзя автоматически переносить на всё население России: они описывают ответы участников исследования, а не долю всех жителей страны.

Социальная инженерия остаётся рабочим методом потому, что соединяет технические действия с манипуляцией поведением. Система может защитить канал, но не может считать безопасным любой перевод, который человек подтвердил под давлением. Поэтому критическая граница проходит в момент просьбы назвать секрет или переместить деньги: разговор прекращают, а банк проверяют через официальный канал.