Бензиновые разводы: мошенники освоили Telegram-ботов для криминала на волне топливного кризиса
Дефицит бензина в России привлёк внимание киберпреступников: в мессенджерах появились боты, предлагающие топливные талоны, скидки и «гарантированную заправку». За этими предложениями — кража аккаунтов, сбор платёжных данных и установка вредоносного ПО. Эксперты предупреждают: пользователи действуют в условиях паники и «экстремально сжатого времени», что делает их особенно уязвимыми, а использование ИИ позволяет злоумышленникам масштабировать атаки практически мгновенно.
На фоне топливного кризиса в России мошенники расширили применение ботов в мессенджерах для проведения преступных операций. Боты используются в широком спектре задач — от банального перевода пользователей в платные каналы, якобы содержащих информацию о ценах на топливо, до перехвата банковских данных пользователей. Об этом SecPost рассказали представители российского ИБ-рынка.
В более чем 40 регионах России (из 89 субъектов) по данным на 29 июня введены ограничения на продажу топлива. Вопросом снабжения топливом российских регионов обеспокоены на высочайшем уровне: 28 июня, как писал РБК, президент России Владимир Путин провёл совещание по этому поводу. Отмечается, что на внутренний рынок вывели ранее накопленные запасы топлива. При этом, по данным Reuters, Россия уже начала закупать бензин в Индии из-за дефицита.
Бензин за банковские реквизиты
На фоне разворачивающегося топливного кризиса специалисты начали фиксировать различные способы применения ботов в мессенджерах. По словам аналитика Kaspersky Digital Footprint Intelligence Ксении Кудашевой, некоторые злоумышленники создают ботов с приватным доступом через личные сообщения, другие же избегают прямого взаимодействия и создают Telegram-ботов для автоматической коммуникации с потенциальными жертвами.
«Обнаруженный нами бот, например, предлагал приобрести топливные талоны различных сетей АЗС. После оформления заказа такой бот запрашивает данные банковской карты для проведения оплаты. При этом в сообщениях может утверждаться, что используются исключительно защищённые способы оплаты. Однако переписку с Telegram-ботом и передачу ему платёжной информации безопасным способом взаимодействия назвать нельзя», — отмечает эксперт.
Речь идёт не о единичных случаях. F6 фиксирует в мессенджерах мошеннические боты, в названиях которых используется тематика поиска бензина или изучения цен на бензин. По словам старшего аналитика департамента защиты от цифровых рисков (Digital Risk Protection) компании F6 Марии Синицыной, почти все такие боты сразу просят подтвердить, что пользователь «не робот», для чего требуют указать номер телефона и поступивший код из сообщения. «После того как пользователь укажет номер телефона и код, те же боты призывают подписываться на платные каналы в Telegram», — отмечает эксперт. По мнению Синицыной, возможны и другие сценарии обмана.
«Кроме того, могут появляться боты с предложением установить вредоносное ПО под видом полезного приложения с уведомлениями о наличии бензина и ценах на АЗС, с угоном различных аккаунтов под предлогом получения талона на «гарантированную заправку», с фальшивой продажей талонов, топливных карт и бензина в канистрах», — говорит представитель F6.
Боты могут использоваться на всём спектре «воронки обмана». Руководитель команды сопровождения сервисов информационной безопасности NGENIX Илья Самылов отмечает, что боты могут использоваться на разных этапах атаки в схемах, связанных с топливными картами или другими сервисами. Среди задач, которые может взять на себя бот, — автоматическая обработка обращений пользователей, проверка их «права» на скидку или бонус, сбор контактных и персональных данных.
Помимо этого, посредством ботов можно перенаправлять жертву на фишинговые ресурсы или предлагать установить вредоносное приложение, говорит Самылов.
Использование фишинговых ресурсов по «топливной тематике» уже было зафиксировано ИБ-экспертами. 23 июня F6 сообщал о выявлении поддельных сайтов, действующих под видом ресурсов крупных сетей автозаправочных станций. На фейковых страничках пользователям предлагали получить по записи 20 литров бензина «без живой очереди и талонной системы». Для этого пользователю предлагается указать номер, к которому привязан Telegram-аккаунт, а затем передать полученный код безопасности. В результате этой операции у жертвы перехватывается доступ к Telegram-аккаунту.
Другое направление — посев вредоносов. 25 июня эксперты «Лаборатории Касперского» выявили и проанализировали вредонос для Android, распространяемый через сайты, эксплуатирующие темы доступности топлива. По данным аналитиков, с середины июня такие APK-файлы пытались скачать более тысячи пользователей — и это только по данным срабатывания решений «Лаборатории Касперского». Зловред под видом приложения для поиска топлива собирает документы, фотографии и видеозаписи, хранящиеся на смартфоне.
Кудашева из Kaspersky Digital Footprint Intelligence отмечает, что мода на использование ботов в мессенджерах в последние годы только набирает обороты, и площадки сопротивляются этому: так Telegram внёс отображение количества пользователей у каждого конкретного бота. Так пользователям становится проще выявлять подозрительные сервисы — «небольшое число пользователей у якобы официального бота известной компании может стать дополнительным поводом насторожиться». При этом применение ботов в мошеннических схемах теоретически возможно «в любых сценариях, которые позволит реализовать фантазия», говорит Кудашева.
«На практике речь идёт прежде всего об автоматизации уже существующих мошеннических схем: краже учётных данных, сборе платёжной информации, распространении вредоносного ПО, перенаправлении пользователей на фишинговые ресурсы и других сценариях социальной инженерии. Боты позволяют автоматизировать взаимодействие с жертвами, сократить количество личных контактов и потенциально усложнить процесс деанонимизации злоумышленников», — отмечает эксперт.
«Затуманенный страхом мозг не заметит кривой домен»
Специалисты F6 и Kaspersky Digital Footprint Intelligence отмечают, что киберпреступники традиционно стремятся использовать горячие информационные поводы для реализации собственных схем. «Топливная тема» тоже не новинка — по словам Кудашевой, история с злоупотреблением программами лояльности АЗС эксплуатируется как минимум с 2022 года: «в различных Telegram-каналах продолжают распространяться предложения о продаже топливных карт и талонов».
«Чем больше ажиотажа и внимания к теме, тем сильнее интерес к ней злоумышленников», — резюмирует Синицына из F6.
Но есть и фундаментальные отличия у зафиксированной сейчас «топливной» волны мошеннической активности. По словам председателя совета по противодействию технологическим правонарушениям КС НСБ России Игоря Бедерова, когда мошенники эксплуатируют сезонные поводы вроде «чёрной пятницы» или налогового вычета, у жертвы есть время на обдумывание. Теперь же потенциальная жертва мошенников действует в «экстремально сжатом времени принятия решений и эффекте «стадности»», говорит эксперт.
По словам Бедерова, сказывается и «крайне низкая цифровая гигиена именно в этом сегменте». На АЗС сложилась экосистема приложений с лояльностью и скидками, и пользователь привык, что существуют десятки разных программ от трейдеров и агрегаторов.
«Преступникам достаточно сделать примитивный лендинг, мимикрирующий под приложение «Топливо Плюс» или несуществующий бот некой «Государственной топливной программы». Расчёт на то, что затуманенный страхом мозг не заметит кривой домен и отсутствие цифровой подписи», — подчеркивает эксперт.
«Мошенник продаёт снятие тревожности»
Тренд на использование ИИ-технологий в кибератаках может сказаться и на текущей волне «топливных схем». Как отмечает руководитель команды сопровождения сервисов ИБ Ngenix Илья Самылов, они могут применяться и в ботах. Сейчас боты — это уже не примитивные программы, а сложные инструменты автоматизации, возможности которых за последние годы заметно выросли, в том числе благодаря развитию генеративного ИИ, отмечает эксперт.
«По данным отраслевых исследований, доля бот-трафика сегодня уже приближается к половине всего интернет-трафика. Боты способны не только выполнять заранее заданные действия, но и адаптировать сценарии взаимодействия, персонализировать сообщения и масштабировать мошеннические кампании практически без участия человека», — говорит Самылов.
Бедеров отмечает, что главная роль ИИ в мошенничестве — не создание контента, а автоматизированный пресейл (предварительный отбор) и масштабирование. Если раньше на качественное фишинговое приложение уходили часы работы программиста, то сейчас нейросеть генерирует код и интерфейс, адаптируя дизайн под бренд конкретной сети АЗС в конкретном регионе буквально за минуты.
«Блокировка одного домена приводит к мгновенному поднятию зеркала. Это борьба с гидрой, где скорость отращивания голов выросла кратно», — подчеркивает эксперт.
По мнению Бедерова, единственный путь противостояния мошенничеству лежит через ликвидацию цифровой безграмотности. Алгоритмы поисковых сервисов не всегда успевают вычистить фишинговый сайт из выдачи быстрее, чем за полчаса, а именно этот период — пик конверсии в мошеннической воронке, говорит эксперт. Ключевой навык — визуальная криминалистика ссылки или принцип «нулевого доверия».
«Главная уязвимость сейчас — не утечка паспортных данных и даже не взлом аккаунта, а психосоциальный триггер. Мошенник продаёт не дешёвый бензин, он продаёт снятие тревожности. Нужно усвоить жёсткую аксиому: если вам предлагают заплатить за услугу через бота, чат-поддержку или физлицо по номеру телефона/карты — вас разводят», — подчеркивает Бедеров.
