Чим небезпечний ТГ-бот, що дозволяє підміняти Caller-ID ?

Сьогодні в ЗМІ увірвалася новина про бот в Telegram для телефонних дзвінків з функцією підміни зворотного номера. Можливо вам може бути цікаво дізнатися трохи подробиць про функціонал бота і про загрози, які він несе.

Стара пісня на новий лад

З технічної точки зору в атаці нічого нового. Новизна, скоріше, з функціональної сторони. Поява такого бота знижує до нуля поріг входження для шахраїв. Якщо раніше треба було трохи поворушити мозком для того, щоб прочитати інструкції по налаштуванню віртуальної АТС, то зараз досить ворушити лише пальцем. Все інтуїтивно зрозуміло.

Здешевлення атаки, так само як і зниження порогу входу, сприяє зростанню популярності. Попит породжує не тільки пропозиція, але і сам сервіс. Ось і у ТГ-бота теж є можливість покурити мануали, написати в сапорт і подивитися різні звіти своєї діяльності. У кращих традиціях, прикручена партнерка з рефералами. 

Що стосується тарифів, то все більш-менш стандартно. Посекундна тарифікація і різні пакети.

З чого раптом всі накинулися на бот?

Дійсно, до самої технології претензій немає. Не секрет, що подібні звонилки багато хто використовує в мирному руслі. Тому спочатку до боту питань не було, поки не дійшло до функції зміни голосу.

Навіщо легітимному співробітнику колл-центру такий функціонал? Питання з розряду риторичних. Крім того, навіть без тестового дзвінка можна припустити, що бот змінює pitch. А це небезпечний процес, якщо записати голос людини, яка телефонувала.

У чому небезпека?

В першу чергу, як вже писав, збільшення потоку бажаючих. Класична атака складається з 2 частин: зателефонувати-налякати-переконати + вивести гроші. Частина 1 стало легше організувати. Частина 2, в принципі, відпрацьована і так.

У другу чергу змінюються підходи. Якщо раніше переважно дзвінки йшли від "співробітників служби безпеки банку", то останнім часом частіше спостерігаю двухходовку. Спершу шахраї дізнаються реальні номери відділень поліції, ПІБ працівників. Далі, дзвонять жертві з підмінного номера, представляючись співробітником відомства, і просто попереджають про зафіксованої спробі списання коштів. Ніяких дій вчиняти не просять. Всіляко розігрують виставу "Моя міліція мене береже". В кінці розмови попереджають про те, що скоро зв'яжеться співробітник банку і потрібно буде слідувати його інструкцій. Власне, заради цього напуття спектакль і починався.

Після розмови з "поліцейським" деякі жертви виявляють здоровий скепсис і лізуть в Мережу перевіряти достовірність наданої інформації. Природно, знаходять і номер, і ПІБ співробітника, від імені якого вівся розмову. It's a trap! Підозрілість знижується і звонящему банківського співробітнику вірять охочіше.

PS Не варто сподіватися, що одного разу проінформувавши родичів і знайомих про шахрайську схему, ви вирішите проблему назавжди. На жаль, практика показує, що в переважній більшості випадків жертви до останнього впевнені, що з ними такого не трапиться. А найвідчайдушніші можуть знайти бота і відтворити атаку на своїх же. Безкоштовного часу вистачить на кілька секунд. Але, сподіваюся, у вашій "жертви" настане прозріння, коли ви покажете наочно, як легко "на коліні" можна організувати атаку. Нехай запам'ятають раз і назавжди, їм дзвонити ніхто не буде. Якщо є сумніви, треба повісити трубку і самостійно зв'язатися з банком \ відділом поліції \ прокурором \ спортлото.