Многие уверены, что одноразовый код из СМС — главная защита от мошенников. Но на практике банки используют более сложные механизмы, рассказал «Газете.Ru» Роман Агабаев, заместитель руководителя отдела предотвращения мошенничества финтех-компании Paygine.
Теоретически подобрать одноразовый код можно, особенно если сервис не ограничивает попытки. Но в банках есть лимиты на ввод, короткое время жизни кода и дополнительный антифрод-контроль, поэтому массовым способом кражи такой перебор не является.
Введенный код сам по себе не означает, что деньги вернуть невозможно. Банк рассматривает всю ситуацию: как проходила операция, были ли признаки мошенничества, куда ушли деньги и выполнил ли банк требования по противодействию мошенническим переводам.
Код отвечает только на один вопрос — знает ли человек этот код. Он не доказывает, что перед банком действительно владелец счета. Поэтому антифрод смотрит на устройство, привычные операции, кому и сколько переводит человек. Чем больше операция отличается от привычного поведения, тем выше риск.
Гораздо чаще мошенникам проще не взламывать банковскую защиту, а убедить человека пройти ее за них. Звонки от «банка», «ЦБ», «Госуслуг», фальшивые инвестиции, безопасные счета — сценарии разные, но принцип один: человека торопят или пугают, заставляя подтвердить нужные действия. Социальная инженерия остается намного практичнее технического подбора кодов.
Простые привычки снижают риск: разделяйте деньги для ежедневных расходов и основные накопления. Не держите на карте для интернет-платежей всю доступную сумму. Лимиты на переводы не защищают от самого мошенничества, но могут ограничить ущерб, если доступ к счету или данным карты все-таки получен. Лимиты должны быть такими, чтобы их нельзя было мгновенно снять в том же скомпрометированном сценарии.
«Социальная инженерия опаснее технического взлома. Мошенники не взламывают банки — они взламывают людей», — резюмирует Агабаев.
Ранее мошенники перестали «запугивать» россиян в фишинговых письмах.