Инна, суши и крипта: как ловили на «живца» мошенников, опустошающих карточки белорусов

Журналисты провели необычный эксперимент.

Инна была замужем. Иван искал приключений в Tinder. Инна согласилась на гостиницу с одним условием: она хотела суши. Иван заказал лучшее — по ее просьбе. И за пару минут остался без женщины, суши и 500 рублей. Журналист Onliner решил повторить путь Ивана, но взял поддержку из «Альфа-Банка».

Любой развязке нужна завязка. И она у нас мелодрамная. Пожилые люди теряют деньги с карт-счетов из-за добродушности и неумения плавать в мире технологий. Молодые ребята, помимо вышеперечисленного, — из-за гормонов.

История

— В Tinder я познакомился с замужней женщиной Инной. Я не женат, а остальное — это моральный выбор второй стороны. Фотка была одна, на ней — приятная женщина, — рассказывает Иван. Он, кстати, первым пошел на контакт, поэтому любители высказаться в стиле «сам виноват» могут торжествовать.

Иван хотел пригласить незнакомку на кофе, но та сообщила, что она «за личное общение», и предложила встречу в гостинице или квартире. С условием парень согласился, ведь он любит приключения.

— Инна написала, что принесет вино, а с меня суши. Ок, я заказал на известном мне сервисе. Но она настояла: «Нет, закажи вот здесь». На вопрос зачем, стала уходить в кокетство: ну что за мужчины, не хотят выполнять женские капризы...

Так Иван зашел на сайт сети суши sushi-yashi.online. Сейчас сайт недоступен, но выглядел он так.

— Согласитесь, что нормально выглядит, похож на интернет-магазин. Есть адреса какие-то. Меню, цены, отзывы. Конечно, никаких кафе в этих точках нет, но кто будет проверять сразу? Я даже не задумался о том, почему телефона на сайте не было — только чат.

Иван выбрал суши и пошел на страницу оплаты. Ввел данные карты. Получил номер 3D-secure — ошибка. Снова ошибка. И так несколько раз. А 39 рублей за суши (и возможный вечер с Инной) ушли. Пошел разбираться в онлайн-чат поддержки.

— Еще один звоночек. Чат не тупил, отвечали мгновенно. Сказали, что ошибка, кинули еще одну ссылку. Ввел данные карты, опять полученный из банка код. Тут бац — минус 487 рублей с карты. И сразу все исчезло — общение в онлайн-чате, история диалогов с Инной... Мне оставили на карте 23 рубля.

Иван придумал шутку: действует банда замужних женщин, которые оставляют мужчинам код «23!».

После этого парень позвонил в свой «МТБанк», заблокировал карту. Там предложили обратиться в милицию, но Иван подумал, что того не стоит.

А мы подумали — стоит. Понимая, что перед нами мошенники, мы решили сыграть с ними, чтобы показать вам всю схему.

Инны не будет. Не факт, что это была «Инна». И вообще из солидарности мужей.

Идем на сайт суши (в той форме его уже не существует, но, уверен, он живее всех живых под другими названиями).

Как это выглядит с точки зрения обманутого?

На сайте отражены услуги доставки японской кухни «с лидирующими позициями». Переходим в меню.

Заказываю «Филадельфию» и «Осаку» на 37 рублей. Ввожу адрес доставки, имя с фамилией, номер телефона, время доставки (от 34 рублей — бесплатно!).

Ок. Страница открывается с формой оплаты. Вы видите что-то подозрительное? Я — нет.

Последняя ступень безопасного платежа — SMS из банка.

Что-то не приходит.

Время истекло. Опять не приходит.

Пришло. Устарело. Еще приходит — тоже ошибка. Но 39 (!) рублей ушли. Иду в онлайн к Диане.

Она прочитала мои вопросы и кинула еще одну ссылку. Она меня сразу привела на страницу с полем ввода 3D-secure. Ввожу. Ошибка.

Диана просит скриншот из банка: действительно ли деньги ушли? Я скидываю. Диана предлагает мне пройти в платежную систему еще раз для возврата средств. Ввожу номер карты, снова жду кода. Диана между тем просит сообщить ей последний вариант кода. Сообщаю. И тут же из банка получаю SMS о попытке списать 507 рублей. Параллельно Диана просит проверить карту (банк ее только что заблокировал). Через несколько минут с моего экрана пропадает диалоговое окно. Меня обманули…

Как это выглядит с точки зрения мошенников?

Sushi-yashi.online — это оболочка для сбора данных о вашей карте. Если точнее — маска для обычного перевода P2P (person to person). Таким вы пользуетесь регулярно, если переводите деньги с карты на карту своим друзьям, например. Такие сервисы есть у каждого банка. Они открыты для любого человека с банковской картой.

Когда я ввожу данные своей карты (в якобы платежной системе), мошенники забирают их себе и вводят в заранее подготовленное поле перевода денег. Банк реагирует на их запрос и отправляет вам код 3D-secure. Вы думаете, что речь о суши, и отправляете его мошенникам. Со счета улетает первая ласточка (в моем случае это 39 рублей).

Теперь мошенникам нужно узнать, остались ли на счету деньги. Сначала вам дают ссылку на якобы возврат. Там только номер карты, но это бутафория, номер у них уже и так есть. Они могли бы сразу попросить код 3D-secure, но постеснялись, сочли это подозрительным.

Затем приступают к сбору информации. Начинают говорить, что проблемы оплаты могут быть, если на счету меньше 100 рублей (вдруг вы ответите: ха, там намного больше, точно не в этом проблема!). Или, как в моем случае, просят прислать скрин SMS. Через несколько минут мы сбрасываем им скрин остатка по счету (чего делать нельзя!) и одноразовый пароль из банка (тоже нельзя: это самые конфиденциальные сведения из возможных!). И они пытаются перевести себе еще большую сумму.

Деньги не списали, потому что я дорисовал одну цифру на скрине SMS и сумма перевода превысила лимит.

Но мошенники не видят причины ошибки перевода. И пытаются перевести через другой сервис.

Просьба сообщить «последний код доступа» — это уже от растерянности, люди запутались.

Как это выглядит с точки зрения банка?

Итак, у мошенников уже есть все данные моей карты — они ждут, когда я пришлю им код из банка. Получают его и сразу переводят 39,56 рубля. Большое количество ошибок и время ожидания связаны с тем, что мошенники и вы работаете параллельно, с разной скоростью.

Обратите внимание, как отображается название мерчанта, когда вы совершаете покупку по карте в магазине. Для сравнения, вот мои вчерашние похождения: поел, покурил, заправился.

А вот куда ушли 39,56 в sushi-yashi? Pritytskogo60-2 — это что? Выяснили, что это сервис переводов «Белгазпромбанка». Rez-Rez-1 — это «МТБанк». Но важны не банки, а факт появления P2P-перевода при оплате товара.

— Мы сделали запрос в банки, чтобы определить, на чей адрес ушли деньги с карты нашего клиента (автора статьи. — Прим. Onliner). И выяснилось, что деньги перевели на карту «Альфа-Банка». Владельцем ее оказался «человек-дроп», — комментирует Алексей Здоровцев, риск-менеджер управления мониторинга электронного бизнеса и эквайринга «Альфа-Банка».

«Дроп» (он же «денежный мул») — посредник, соглашающийся (сознательно или по незнанию) стать трансфером денег, собираемых мошенниками.

— Это конкретное физлицо. На наш запрос он сообщил, что пару недель назад откликнулся на предложение заработать во «ВКонтакте». Нужно было заказать неименную карту в банке и выслать ее реквизиты. За это обещали 20 рублей (и не заплатили, по его словам).

Иногда вместо белорусского «дропа» мы видим российскую карту или иностранный кошелек. Международное взаимодействие требует соблюдения бюрократических процедур, поэтому возврат денег усложняется, — уточняет Здоровцев.

— За две недели на счет «дропа» было переведено 3748 рублей от разных физлиц. Когда мы вышли на него и заблокировали счет, денег там уже не было.

Часть этих денег (мои, в частности) через ЕРИП ушли клиенту следующего банка, которым оказался «Дабрабыт».

— Мы запросили у «Дабрабыта» возможность возврата денег, но ожидаемо получили отказ. Нам ответили, что это характерный платеж для клиента, который занимается криптовалютой. То есть он продал крипту, получил белорусские рубли, чеки есть. Все остальное — через милицию, — подытоживает Алексей.

Для простоты понимания замените «криптовалюту» на «холодильник». Человек (из «Дабрабыта») продал холодильник и получил рубли. И если в такой сделке можно искать покупателя холодильника, который расплатился моими 39 рублями, то в случае с криптовалютой — это нереальная задача. Там нет ни имен, ни фамилий, ни паспортных данных. А связать этого клиента с мошенниками (если связь есть) может только милиция. Пока они этого не сделали, клиент — невиновный человек, который может лишиться денег просто так.

Как это дело видит милиция?

Логичным шагом нашего голодного расследования стало обращение в милицию. Вот все собранные данные, вот еще пострадавший (Иван был согласен открыться милиции), вот информация от банка, где мои 39 рублей тонут в нескольких тысячах, переведенных с других счетов. В заявлении попросил привлечь неустановленных лиц по статье 209 УК (мошенничество), которые завладели и пытались завладеть моими деньгами на сумму 547,06 рубля.

Все бодро началось, но закончилось никак.

«...При таких обстоятельствах орган уголовного преследования приходит к выводу о том, что в данном случае отсутствуют признаки состава преступления, предусмотренного ч. 1 ст. 209 УК Республики Беларусь, поскольку сумма причиненного ущерба Владыко А. С. составляет менее 2 базовых величин. В данном случае усматриваются признаки административного правонарушения, предусмотренного ст. 11.1 КоАП Республики Беларусь. Протокол об административном правонарушении не составляется в связи с неустановлением лица, его совершившего», — написано в письме из РУВД Московского района Минска.

Что теперь делать?

Оставайтесь внимательными.

Никому не отсылайте никакие скрины банковских SMS.

Не делитесь ни с кем одноразовыми кодами.

Изучайте незнакомые онлайн-магазины c возможностью оплаты и избегайте подозрительных.

Обходите в Tinder замужних женщин. С этого и начались наши убытки.

На это сообщение мне уже не ответили.