Сергей Потресов (Mobile Review): о мобильном мошенничестве

Сергей Иванов: Здравствуйте, уважаемые телезрители! В эфире программа «Бизнес online», меня зовут Сергей Иванов. Как вы знаете, программы из цикла «Бизнес online» в основном посвящены заработку в интернете. Это хорошо, это очень хорошо до тех пор, пока не бьет по нашему с вами карману. Тему мобильного мошенничества, столь бурно расцветающего в последнее время, раскроет нам сегодня редактор портала Mobile-Review Сергей Потресов.

Сергей Потресов, редактор портала Mobile-Review.com.
Родился в 1956 году в городе Москва.
В 1979 году окончил Московский институт иностранных языков.
С 1980 по 2008 работал военным переводчиком, завлабом в НИИ Связи, корреспондентом и редактором во многих изданиях («Софтмаркет», «Известия», «Время новостей», «Коммерсант-Деньги», CHIP, «Мир ПК», Hard-&-Soft).
В 2004 году пришел работать в Mobile-Review.com в качестве редактора. Эксперт по мобильному контенту.

С. И.: Сергей, добрый день!
Сергей Потресов: Добрый день!
С. И.: Сергей, я думаю, многие наши телезрители хотя бы один раз просыпались в три часа ночи, разбуженные SMS с текстом: «Мама, кинь мне 500 руб. на этот номер, утром все объясню». Кое-кто даже спросонья делился деньгами с неведомым непутевым «сыночком». Ну, эти способы всем давно известны, они распространены, а какие новые способы интернет-мошенничества, больше сопряженные с развитием смартфонов и мобильного интернета, существуют в наши дни?
С. П.: Вот вы сказали насчет SMS, от которых вы просыпаетесь. Значит, вы не думайте, что человек случайно выбрал ваш номер и отправил вам SMS. Человек загружает программу в компьютер, вставляет туда SIM-карту с подключенным SMS-безлимитом и подряд по всем номерам запускает отправку.
С. И.: И неизвестно, попадет ли он на ту самую маму, у которой действительно сынок пропадает на дискотеках, теряет телефоны, прося кинуть деньги?
С. П.: Вы понимаете, это настолько массовые рассылки, в таком масштабе все отправляется, что промахнуться невозможно: хоть на кого-нибудь вы да попадете.
С. И.: Тем не менее эти методы можно назвать классическими. Мы хотим понять, с развитием смартфонов и мобильного интернета восторжествовали ли новые методы, которые в чем-то начинают напоминать всем известный способ классического интернет-мошенничества. Что нового?
С. П.: Прежде всего, банковский фрод, со всеми мобильными банками и с управлением счетами. И самое неприятное — это так называемые мидлеты: вы пытаетесь загрузить ту или иную программу, или вас почти вынуждают что-то загрузить, а на самом деле вы скачиваете нечто троянское, которое у вас будет отправлять SMS, о чем вы узнаете, только ознакомившись с состоянием счета.
С. И.: Человек блуждает по сайтам, заходит по каким-то ссылкам на нехорошие сайты, предположим, и попадается. Все это происходит в интернете.
С. П.: Вы сейчас очень правильно расставили акценты. Раньше люди-то ловили, да и сейчас ловят вирусы в компьютере. Ну, как правило, человек шастает по всяким «помоечным», сомнительным сайтам или проходит по какой-то рекламной ссылке, но таких людей сравнительно немного.
С. И.: Вы о большом интернете?
С. П.: Да. Вот в маленьком интернете, который тесно переплелся с большим, к сожалению, попасться можно в любой момент, потому что интернет прекрасно видит, с какого устройства вы заходите.

Вы читаете совершенно безобидный сайт с компьютера, но, пройдя по той же ссылке со смартфона, попадете на какую-нибудь «левую» страничку, где вам предложат что-нибудь обновить, закачать.

Да вы просто можете машинально нажать на кнопку OK — и все.
С. И.: То есть это заход на те же самые сайты, на которые мы привыкли заходить со стационарного компьютера или с ноутбука?
С. П.: Да. Вас могут перехватить на пути.
С. И.: Предложив обновить устаревший браузер?
С. П.: Да-да, предложив обновить браузер, закачать Flash-плеер — да мало ли что. Так могут непорядочные веб-мастера подрабатывать. Сейчас это целая индустрия: продается трафик с мобильных устройств, и веб-мастер получает буквально за каждый клик какие-то копеечки, и это достаточно массово.
С. И.: «Вы используете устаревшую небезопасную версию браузера» — это появляется при заходе на такой сайт?
С. П.: Это может появиться при заходе на любой сайт, вас могут перехватить по дороге. Код может в страничку на какое-то время встроить непорядочный веб-мастер. Такой код при заходе с компьютера вы не увидите. Если вы пожалуетесь, то к моменту разбирательства кода на старом месте больше не будет. Появилось и исчезло.
С. П.: Если я правильно понимаю, схема может быть устроена так: гениальный мошенник создает сайт, ничем не отличающийся от нормального, невредоносного, и в него встроен некий код, который реагирует на заход с мобильного устройства. «Прикормленный» посетитель, который знает, что сайт безопасный и в чем-то даже, может быть, ему полезный — мы не будем сейчас рассуждать о смысле слова «полезный», — заходит на него же с мобильного устройства, и все, он попал!
С. П.: Да-да. Даже не нужно ничего специального создавать, не нужно ничего похожего. Достаточно в совершенно легитимную, честную страничку вставить несколько строчек невидимого кода, и при попытке с мобильного устройства зайти на сайт вас просто перебросит на сайт мошенника. Вы и подозревать ничего дурного не будете.
С. И.: Давайте разберем немножечко все эти истории по кейсам, чтобы было понятно нашим телезрителям, чего опасаться, что с ними может случиться.
В свое время очень популярны были блокираторы. Можем сейчас даже посмотреть картинку. Блокираторы появлялись на десктоп-экранах с предупреждением о том, что вы просмотрели что-то нехорошее, неприличное, какую-то похабную картинку, и предлагалось заплатить штраф за, «нехорошее и нездоровое» любопытство. Насколько я знаю, как только эти блокираторы стали появляться, скажем так, у влиятельных людей, этим делом занялись более плотно, и они стали исчезать. Блокираторы в мобильных устройствах существуют? Есть ли они такие?
С. П.: Нет. С мобильными устройствами они связаны тем, что, как правило, предлагают либо пополнить счет какого-то непонятного абонента…
С. И.: Но тем не менее блокируют экран, правильно?
С. П.: Да. Либо отправить SMS на короткий номер.
С. И.: То есть схема похожа.
С. П.: Это был просто кошмар! Такой блокиратор ловил каждый второй пользователь, и, вы правильно говорите, видимо, однажды его поймал тот, кто решил заняться им всерьез. И операторы очень забеспокоились, начали сотрудничать с антивирусными компаниями, вывешивать предупреждения. В общем-то, эти блокираторы нам немножко помогли, потому что после них появились хотя бы бесплатные услуги по блокированию отправки SMS на короткие номера.
С. И.: Как и в случае c десктоп-блокираторами, мобильные блокираторы сыграли благую роль: они обратили внимание соответствующих органов, общественности на проблему, да?
С. П.: Да, операторам пришлось хотя бы изображать какую-то…
С. И.: Активность и заинтересованность.
С. П.: Борьбу, да.
С. И.: Хорошо, хоть одна благая весть на черном фронте. Давайте перейдем к следующему кейсу — к фальшивым аппсторам.
С. П.: Они выглядят точно как «родной» Android Market — когда он был еще Android Market, — чтобы человек попался. Но в то же время это вроде бы легальная вещь. У оператора, у контент-провайдера задача — остаться в правовом поле, чтобы не совсем уж хамить, не нарушать закон, не мошенничать.
С. И.: Чтить уголовный кодекс?
С. П.: Да, именно. Поэтому в данном случае есть договор-оферта, и там, наверное, страниц десять мелким шрифтом. С ним можно внимательно ознакомиться, прочитать его.

Попадая на такую страничку, вы думаете, что скачиваете игру. Как правило, зарабатывают деньги в основном на играх. Контент-провайдер так не думает, он эту игру упаковывает в мидлет — программулинку, которая при запуске игры будет отправлять SMS на короткий номер.

С. И.: Но игра настоящая? В нее можно играть?
С. П.: Да, игра настоящая, в нее можно играть.
С. И.: За хорошие деньги.
С. П.: Деньги приличные получаются. Ходовой диапазон — от 600 до 1000 руб.
С. И.: Чтобы понять соотношение легального и нелегального контента, мы сейчас смотрим на Android Market, или Google Play, как он иначе называется. Ведь это основное место захода пользователей за контентом, и контента там исчисляется тысячами, десятками и сотнями тысяч единиц. Мы не можем назвать его нелегальным — он под колпаком у уважаемой корпорации Google находится, как и все разработчики. Как мне отличить «прокладочный» контент-провайдерский маркет от настоящего?
С. П.: Перво-наперво в фальшивом маркете приложений будет штук пятнадцать-двадцать. По договору, если я не ошибаюсь, для того чтобы контент-провайдер мог с вас легально взять деньги как бы за обслуживание, он обязуется держать не меньше 25 приложений, что, конечно, далеко не тысяча, которая имеется в Google Market, и, по-моему, предоставлять вам не меньше 10 или 15 ссылок на другие ресурсы с программами. Вот если он это вам обеспечивает, то считается, что за его труды, за то, что он вот эти ссылочки собрал в одном месте, он с вас берет 600, 700, 1000 руб.
С. И.: Если говорить о том, что мобильные мошенники подстерегают нас на больших дорогах, то одна из таких дорог — тропка ко всяким запрещенным развлечениям: «неправильным» играм, картинкам со всякими «нехорошим» женщинами. Второй тракт, по которому идут массово по интернет-каналам пользователи, — это социальные сети. Есть ли засада интернет-мошенников на дороге с социальными сетями?
С. П.: Здесь можно, наверное, сотни тысяч сообщений опубликовать в течение считанных минут и ждать, пока кто-то попадется, пусть даже один из ста человек.
С. И.: Первое и главное оружие социальных сетей — массовый спам.
С. П.: Массовость. Это массовость.
С. И.: И второе, насколько я понимаю, — это психологическая составляющая. Нам как раз показывают картинку, как все это выглядит. Психологическая составляющая — это картинки, вернее, сообщения типа: «Неужели это твоя фотография с именем?»
С. П.: Вот фото — чаще всего.
С. И.: И дальше что происходит? Человек думает, что если его назвали по имени, то в каком-то непотребном виде он там изображен?
С. П.: Дальше по ссылке вы идете и опять-таки загружаете себе троянчик.
С. И.: Итак, у нас есть места, в которые нас тянет. Мы хотим покупать контент в аппсторах, мы хотим заходить в социальные сети, хотим ходить на сайты. В конце концов, зачем же нам смартфон? Насколько я знаю, есть у операторов услуга — не знаю, у всех или нет, — запрет рассылки, например, SMS на короткие номера.
С. П.: Беда в том, что эти услуги очень красиво называются: «черный список», «запрет контента», «стоп-контент». К сожалению, они только блокируют отправку SMS на короткие номера и звонки на короткие номера. Все.
С. И.: От тех же троянов, которые могут распространять информацию о вас и взламывать ваши аккаунты, не спасают?
С. П.: Нет.
С. И.: А антивирусные программы насколько выручают? Или они появляются и срабатывают слишком поздно?
С. П.: Антивирус, конечно, больше для самоуспокоения. Он что-то он блокирует, он поможет заблокировать телефон, если у вас его украли, не даст отправить какую-то SMS, найдет вредную программу, но, понимаете, отправлять SMS — это функция смартфона.
С. И.: Да, но это в ручном режиме происходит, а не автоматически, правильно?
С. П.: Да, но...
С. И.: Все так же, как в компьютере.
С. П.: Да, поэтому вообще блокировать отправку SMS невозможно. Вам нужно иметь возможность отправлять SMS. Антивирусные пакеты как-то фильтруют это дело, как-то разбираются, но все-таки нужно включать мозг.
С. И.: Ваш номер — это находка для мобильного мошенника, это и путь к вашему кошельку, и некое прикрытие их действий: вы сами ввели свой номер, вы сами подтвердили, что вы — это вы. И, таким образом, с определенным допущением можно сказать, что вы сами зарегистрировались, подписались на какую-нибудь чудесную услугу. Насколько я знаю, еще совсем недавно операторы дружно вводили так называемые landing pages, посадочные страницы, отняв у контент-провайдеров возможность самим получать эти самые номера пользователей, и поставили некую прокладку, которая каким-то образом отсекала недобросовестных контент-провайдеров, и все подтверждения номеров были у операторов. Защитила ли эта мера каким-то образом пользователей от контент-провайдеров?
С. П.: Как вам сказать? Молотком можно забивать гвозди, а можно расшибить голову. Всегда есть вторая сторона медали. В принципе, лендинговая страница — это вещь хорошая.
С. И.: Что она собой представляет?
С. П.: Как было раньше? Вы идете на сайт, вы там вводите свой номер телефона, вам приходит в SMS-сообщении код, дальше вам нужно ввести код. Эта пара — телефон плюс код — считается достаточным подтверждением того, что вы — это вы, что с вас можно снимать деньги.
С. И.: И вроде бы как по умолчанию вы согласны с этим?
С. П.: Да, вы согласны, потому что вы и номер ввели, и код. Код генерировался на стороне контент-провайдера, но вот конкретно нехороший человек Вася, который эту самую гадость придумал, доступа к коду не имел. Предполагается, что где-то на сервере у контент-провайдера генерируется этот код, он приходит вам в SMS, и Васе позволят с вас снять деньги, только если он предоставит вот эту «сладкую парочку» — ваш телефонный номер и случайным образом сгенерированный код.
С. И.: На пути у ребенка, тянувшему спичку, встает мама, которая контролирует процесс?
С. П.: Да. Ну, все-таки на откуп контенщикам это нельзя было отдавать. Человеческий фактор. Было много случаев, когда людей подписывали заведомо без их участия, когда просто телефон в ящике стола лежал или SIM-карта месяцами в телефон не вставлялась. SMS с кодами человек не получал, а по счетам получается, что он сам подписался. В общем, чтобы полностью обезопасить человека, придумали эту лендинговую страницу. Прежде чем вас подпишут, вы попадете на сайт к оператору, там вы должны прочитать, что вы подписываетесь на то-то, с вас будут брать столько-то денег, и кнопочка OK. Если вы согласились, то все, вы подписались. Но, бывает, сами лендинговые страницы так выглядят: вот такенная кнопка OK и бледненькие-бледненькие строчки про подписку.
С. И.: И человек не может понять, что, оказывается, он за что-то должен платить? Жмет OK и...
С. П.: Да, мы просто жмем OK.
С. И.: Это случайность или некий умысел оператора, какой-то сговор его с контент-провайдером? Какова ваша версия?
С. П.: Умысел, безусловно, потому что делать кнопку на пол-экрана и бледно-серый текст на черном фоне — это нужно постараться, конечно!
С. И.: Мы говорим о контент-провайдерах, о страшных интернет-мошенниках, но если в классическом интернете понятно, что это предприимчивые программисты, хакеры, то в случае с мобильным сегментом все несколько иначе, ведь для того, чтобы получить доступ к кошельку и телефону абонента, нужно все-таки пройти через врата оператора.

С. И.: Кто такие контент-мошенники, вот эти контент-провайдеры, и в каких отношениях они с оператором находятся, ведь это не случайные люди?
С. П.: Отношения у них, естественно, самые теплые, оператор получает половину денег. Ну, в среднем половину — 40, 60%.

С. И.: ...которые, как известно, не пахнут?
С. П.: Да, но, вы знаете, это хороший источник дохода. В какой-то мере операторы сами себя загнали в ловушку, выглядят они не самым красивым образом.
С. И.: Да, репутационные риски, по-моему, очень велики?
С. П.: Да, но в то же время, во-первых, это большие деньги, а во-вторых, грубо говоря, если я начну закручивать гайки и закрывать доступ ко всяким условно легальным сервисам, то люди, которые захотят этим заниматься, просто побегут к другому оператору. Если тот начнет закручивать гайки, они побегут к третьему. У них же конкуренция! Закручивание гаек — это потеря денег.
С. И.: А насколько серьезна потеря денег? Операторы обладают миллионными абонентскими базами.
С. П.: Они не разглашают конкретных цифр. Это все проходит как дополнительные услуги. Легальная SMS — это тоже дополнительная услуга, мобильный интернет — это тоже дополнительная услуга, но даже по объемам штрафов, которые исчисляются миллионами, десятками миллионов рублей, можно предположить, что объемы самого бизнеса велики.
С. И.: Штрафы, накладываемые на кого?
С. П.: Россия — такая странная страна, в которой пчел заставляют воевать с медом...
С. И.: Вы имеете в виду контент-провайдеров и операторов?
С. П.: Да, наверное, грубо будет сказать, что вора заставляют работать полицейским, но в какой-то мере это действительно так. То есть оператор, страдая, скрепя сердце, все-таки заставляет контент-провайдеров пытаться хоть как-то удерживаться в правовом поле, чтобы, грубо говоря, оператору не попасть под суд. Еще нужно сказать, что в договоре с оператором есть замечательные строчки о досудебном урегулировании. По сути дела, оператора поймать за мобильное мошенничество, по-моему, нереально.
С. И.: Тем более что вроде как теоретически он-то и ни при чем, это же ведь контент-провайдер.
С. П.: Все равно он обязан контролировать, все равно это попустительство, но если у вас украли деньги…
С. И.: Да, что делать?
С. П.: Вам нужно идти к оператору.
С. И.: Не к контент-провайдеру?
С. П.: Нет, боже упаси! Контент-провайдер единственное, что может сделать, — это отключить вам подписку. Он может сказать: сам дурак, надо было читать внимательно, там вот написано было.
С. И.: На 14-й странице мелким шрифтом?
С. П.: Да. Вот оператор может вернуть деньги. Он просто заплатит меньше тому же контент-провайдеру, иногда даже оштрафует его. Самое страшное наказание — это когда к контент-провайдеру подключают advice of charge, когда при попытке отправить SMS на короткий номер вы сначала получаете SMS-сообщение от системы, где пишут, что вы собираетесь подписаться на прогноз погоды за 340 руб., мол, оно вам нужно? Вы с ужасом смотрите: да нет, конечно, мне не нужно, я только фотографию хотел посмотреть, какой прогноз погоды!
С. И.: Ну что ж, Сергей, большое спасибо за ценную информацию! К сожалению, наше время подходит к концу. Способов интернет-мошенничества достаточно много, способ защиты от них практически только один — постоянно находиться в сознании, не делать необдуманных поступков, повинуясь невнимательности, инстинкту, азарту и т. д., и т. п.
С. П.: Ну вот видите, сегодня и кнопку OK не всегда можно нажимать!
С. И.: Да, но в любом случае быть бдительным. Мы знаем, что можно пойти к оператору, можно потребовать разбирательств, и если все 100% абонентов будут поступать так, то оператор, по-моему, сочтет за благо скорее выгнать нерадивых контент-провайдеров, чем разбираться с каждым поодиночке и возвращать деньги, которые даже не успели погреть ему руки.С. П.: Резюмируя, наверное, можно сказать, что, во-первых, обязательно все-таки подключите запрет контента: не нужны вам эти трояны, которые сами отправляют SMS. Во-вторых, обращайтесь к оператору. В-третьих, есть такая маленькая тонкость — требуйте возврата денег у оператора. Если вы напишите оператору: «Меня обманул контентщик. Что мне делать, как мне быть?»...
С. И.: Вероятность велика возврата денег?
С. П.: Вероятность почти 100%, если вы напрямую потребуете вернуть деньги. Если вы потребовали в письменном виде: «Меня обманули, я не увидел, там было мелким шрифтом напечатано что-то, я вообще не понял, что происходит, верните мне все деньги!» — вам деньги вернут. Если вы напишите: «Отключите мне подписку», то вам отключат подписку, а деньги не вернут. Нужно просто требовать деньги назад, и требовать от оператора.
С. И.: Мы призываем вас активно пользоваться мобильным интернетом, пользоваться новыми технологиями, но ни в коем случае не дарить свои деньги тем мошенникам, которые всегда стремятся на вас поживиться. Это была программа «Бизнес online», всего доброго, пока!