Мошенничество по электронной почте: схемы обмана и способы защиты

Введение

Обман с помощью электронной почты, совершаемый ради личной выгоды или с целью навредить другому лицу.

Мошенничество по электронной почте (или электронный обман) – это преднамеренный обман, направленный на получение личной выгоды или нанесение вреда другому лицу с использованием электронной почты в качестве средства. Почти сразу после того, как электронная почта стала широко распространенной, ее начали использовать для мошеннических действий, как и телефон и обычную почту использовали предыдущие поколения. Мошенничество по электронной почте может принимать форму аферы, основанной на доверии ("мошенничество", "афера" и т.д.). Некоторые аферы эксплуатируют жадность и нечестность своих жертв. Перспектива выгодной сделки или получения чего-то "за просто так" может быть очень соблазнительной. Как и другие подобные схемы, мошенничество по электронной почте обычно направлено на наивных людей, верящих в возможность быстрого обогащения. Это могут быть инвестиции, которые кажутся "слишком хорошими, чтобы быть правдой", или предложения о продаже популярных товаров по "невероятно низким" ценам. Другой вид мошенничества по электронной почте – это подмена отправителя (спуфинг): получатель вводится в заблуждение подделанной информацией об отправителе и совершает платеж на счет мошенника, а не на правильный счет. Этот метод известен как фишинг или спир-фишинг: фишинг предполагает рассылку тысяч электронных писем, например, с сообщением о взломе учетной записи; спир-фишинг обычно включает в себя тщательно составленное сообщение, отправленное конкретному человеку, который ожидает запрос на крупный платеж законному получателю.

Подделка

Электронная почта, отправленная от имени другого лица, известна как спуфинг. Спуфинг может осуществляться различными способами. Общим для всех них является сокрытие или маскировка имени фактического отправителя и источника сообщения от получателя. Многие случаи мошенничества с использованием электронной почты включают в себя спуфинг, и поскольку большинство мошеннических действий являются явно преступными, злоумышленники обычно стремятся избежать легкой отслеживаемости.

Фишинг

Фишинг — это тип социальной инженерии, при котором злоумышленник отправляет мошенническое (например, поддельное, фальшивое или иным образом вводящее в заблуждение) сообщение, предназначенное для того, чтобы обманом заставить человека раскрыть конфиденциальную информацию злоумышленнику или установить вредоносное программное обеспечение на инфраструктуру жертвы, например, программу-вымогатель. Некоторые мошеннические сообщения выдают себя за существующую компанию, возможно, с которой предполагаемая жертва уже имеет деловые отношения. В данном случае «наживка» может выглядеть как сообщение от «отдела по борьбе с мошенничеством» банка жертвы, например, с просьбой к клиенту: «подтвердить свою информацию», «войти в свою учетную запись», «создать новый пароль» или выполнить аналогичные запросы. Вместо перенаправления на доверенный веб-сайт, жертву перенаправляют на идентичную страницу с другим URL-адресом. После ввода данных для входа в систему их имя пользователя и пароль становятся видимыми злоумышленникам. Во многих случаях фишинговые электронные письма могут казаться безобидными, например, сообщение с просьбой к получателю проверить наличие нового запроса на добавление в друзья на платформе социальной сети. Независимо от того, насколько невинным кажется сообщение, оно всегда приведет жертву на поддельную веб-страницу и запросит ввод учетных данных. В одном исследовании ученые пришли к выводу, что когнитивная рефлексия и склонность к поиску острых ощущений являются умеренными, но значимыми предикторами восприимчивости к фишингу. Кроме того, участники, на которых оказывалось давление, чтобы быстро оценить легитимность электронных писем, совершали больше ошибок. Наемный убийца: на почту жертвы приходит письмо, якобы от наемного убийцы, которого «близкий друг» получателя нанял для его/ее убийства, но убийца отменит выполнение заказа в обмен на крупную сумму денег. Обычно это сопровождается предупреждением о том, что если жертва сообщит в местную полицию или ФБР, «убийца» будет вынужден выполнить план. Это скорее вымогательство, чем мошенничество с предоплатой, но иногда «убийца» может предложить убить человека, заказавшего первоначальное убийство жертвы, в качестве награды. Инвестиционные схемы: электронные письма, рекламирующие инвестиции, обещающие высокую доходность при минимальном или отсутствии риска. Одна из версий ищет инвесторов для помощи в создании оффшорного банка. Бренд, название и логотип Fifth Third Bank часто использовались в этой афере. Компания по компьютерной безопасности McAfee сообщает, что в начале сентября 2006 года более 33% фишинговых мошеннических электронных писем, о которых сообщалось в McAfee, использовали бренд Fifth Third Bank. Романтическое мошенничество: обычно это мошенничество начинается на сайте онлайн-знакомств и быстро переносится на личную электронную почту, онлайн-чат или сайт социальной сети. В этом случае мошенники (выдающие себя за мужчин или женщин) строят онлайн-отношения, а через некоторое время просят у жертв деньги. Они утверждают, что деньги необходимы из-за того, что они потеряли свои средства (или их багаж был украден), подверглись нападению или получили другие травмы и им нужно покинуть страну, чтобы прилететь в страну жертвы. Мошенничество с вымогательством на сайтах знакомств: после того, как человека заманивают в интимные беседы, ему говорят заплатить, иначе его переписку опубликуют в Интернете и обвинят в неверности. ФБР не сообщает о случаях, когда записи действительно удаляются после оплаты. Онлайн-каталог предприятий: обычно предлагает бесплатную подписку на несуществующий каталог с высокими комиссиями за обслуживание, указанными мелким шрифтом. Мошенничество с свидетельством о смерти: мошенник получает некролог из Интернета, находит родственников, получает их адреса электронной почты и связывается с ними, рассказывая фальшивую историю о другом члене семьи, находящемся на грани смерти, используя при этом двусмысленный язык. Это происходит из Эфиопии с тегом «makelawi» в электронном письме, но может также содержать тег «de» (бесплатная немецкая электронная почта). Мошенничество с брачными агентствами: выдавая себя за переводческое агентство или брачное агентство, они на самом деле не переводят электронные письма и не знакомят с реальными невестами, а фабрикуют электронные письма и создают фальшивые профили на сайтах знакомств. Они могут использовать фотографии реальных людей с других веб-сайтов. Обычно они ориентированы на иностранных мужчин, ищущих невест из стран бывшего Советского Союза. Когда жертва проявляет интерес, они просят оплатить расходы на общение, такие как переводы, голосовые звонки, видеозвонки и «комиссию агентства». Они выдают себя за невест, а не предоставляют услуги по поиску пары. Реальные женщины могут даже не знать, что кто-то использует их личность. Тайный покупатель: предполагаемой жертве предлагается по электронной почте поработать «тайным покупателем», часто после того, как ее резюме было размещено на сайте поиска работы. После согласия жертве отправляют поддельный чек вместе с инструкциями и формами для работы тайным покупателем. В инструкциях обычно указывается совершить несколько небольших транзакций в близлежащих магазинах и записать свой опыт в официальной форме. Универсальным требованием является также выполнение значительного банковского перевода с просьбой оценить опыт. Поддельный чек обналичивается на финансовом учреждении ничего не подозревающей жертвы для выполнения указанных задач. Спам с информацией о штрафах за нарушение ПДД: мошеннические электронные письма, утверждающие, что получатель получил штраф за нарушение ПДД. Спам, использующий адрес электронной почты nyc.gov, выдавал себя за полицию штата Нью-Йорк (NYSP). «Сарафанное радио»: в этом типе спама по электронной почте утверждается, что анонимный человек опубликовал секрет о получателе, и ему необходимо заплатить комиссию, чтобы увидеть сообщение. Мошенничество с поиском работы: жертва ищет работу и размещает резюме на любом сайте поиска работы в Интернете. Мошенник находит резюме и отправляет жертве электронное письмо, утверждающее, что он представляет собой законную службу поиска работы и что у него есть клиент, который ищет сотрудника с их навыками и опытом. Жертве предлагается перейти по ссылке, чтобы подать заявку на работу. Переход по ссылке перенаправляет жертву на описание работы, специально написанное для навыков и опыта, указанных в резюме жертвы, с очень высокой зарплатой и приглашением «нажмите здесь», чтобы подать заявку. Если жертва нажимает на ссылку «подать заявку», ее перенаправляют на «форму заявки», которая запрашивает обычную информацию для подачи заявки на работу, а также номер социального страхования жертвы, дату рождения, название банка и номер счета, на который она хочет получать зарплату, контактное лицо «родственника» и т. д. С этой информацией мошенник может открыть банковский счет в любом онлайн-банке и использовать кредитную историю жертвы для покупки товаров в Интернете и отправки их сообщникам. Мошенничество с PayPal: мошеннические электронные письма, утверждающие, что жертве была выплачена сумма на его/ее счет, но обработка будет завершена только после того, как жертва отправит товар, который он/она продает, по адресу лица. Это мошенничество чаще всего встречается при продаже товаров лицам за границей.

Phishing is a type of social engineering where an attacker sends a fraudulent (e. g., spoofed, fake, or otherwise deceptive) message designed to trick a person into revealing sensitive information to the attacker or to deploy malicious software on the victim's infrastructure such as ransomware. Some spoof messages purport to be from an existing company, perhaps one with which the intended victim already has a business relationship. The 'bait' in this instance may appear to be a message from "the fraud department" of, for example, the victim's bank, which asks the customer to: "confirm their information"; "log in to their account"; "create a new password", or similar requests. Instead of being directed to the website they trust, they are referred to an identical looking page with a different URL. After entering their log in details, their username and password is visible to the perpetrators. In many cases, phishing emails can appear to be benign for example, a message prompting the receiver that they have a new friend request on a social media platform. Regardless of how innocent the message is in itself, it will always lead the victim to an imitation web page and false log in prompt. In a study, researchers concluded that cognitive reflection and sensation seeking tendencies are modest but significant predictors of susceptibility to phishing. Additionally, participants who were pressured to make quick email legitimacy judgments made more errors. Hitman: An email is sent to the victim's inbox, supposedly from a hitman who has been hired by a "close friend" of the recipient to kill him or her but will call off the hit in exchange for a large sum of money. This is usually backed up with a warning that if the victim informs local police or the FBI, the "hitman" will be forced to go through with the plan. This is less an advance fee fraud and more outright extortion, but a reward can sometimes be offered in the form of the "hitman" offering to kill the man who ordered the original hit on the victim. Investment schemes: Emails touting investments that promise high rates of return with little or no risk. One version seeks investors to help form an offshore bank. The Fifth Third Bank brand, name, and logo have been frequently exploited in this scam. The computer security company McAfee reports that, at the beginning of September 2006, over 33% of phishing scam emails being reported to McAfee were using Fifth Third Bank's brand. Romance scam: Usually this scam begins at an online dating site, and is quickly moved to personal email, online chat room, or social media site. Under this form, fraudsters (pretended males or females) build online relationships, and after some time, they ask for money from the victims. They claim the money is needed due to the fact they have lost their money (or their luggage was stolen), they have been beaten or otherwise harmed and they need to get out of the country to fly to the victim's country. Dating extortion scam: After baiting an individual into intimate conversations, they are told to pay unless they want their conversations posted online and they are named a cheater. There are no reports from the FBI that indicate that the records are actually removed once payment has been made. Online business directory: Typically offering a free subscription to a non existent directory with hefty fees for maintenance in the fine print. Death certificate scam: Person will get an obituary off Internet. Find out relatives related. Get their emails. Contact them with fake story of another family member near death, which of course, is only told in ambiguous language. It originates out of Ethiopia with the "makelawi" tag in the email, but it can have de (German free email tag) along with it. Marriage agency scam: Pretending to be translation agency or marriage agency, they do not actually translate emails nor connect to real brides, but fabricate emails and create fake profiles on dating sites. They can use pictures of real people from other websites. Typically they are aimed at foreign men looking for brides from the former Soviet countries. When a victim is engaged, they ask for communication expenses such as translations, voice phone calls, video calls, "agency fees". They impersonate the brides instead of providing a matchmaking service to them. The real ladies may not be aware that someone is using their identity. Secret shopper: The intended victim is solicited via email to work as a 'secret shopper', often after the victim's resume has been posted at a job search site. Once engaged, the victim is sent a counterfeit check along with instructions and forms for work as a secret shopper. The provided instructions typically are to make several small transactions at nearby businesses, recording their experience on an official looking form. Universally is the instruction for the victim to also create a significant wire transfer, with a request to rate the experience. The counterfeit check is cashed at the unsuspecting victim's financial institution in order to accomplish the listed tasks. Traffic ticket spam: Fraudulent emails claiming the recipient had been issued a traffic ticket. The spam, which spoofed a nyc. gov email address, claimed to be from the New York State Police (NYSP). Word of Mouth: This type of email spam states that an anonymous person posted a secret about the recipient and that he needs to pay a fee in order to see the message. Job Scams: The victim is seeking a job and posts a resume on any internet job site. The scammer spots the resume and sends the victim an email claiming to be a legitimate job listing service, and claiming to have a client who is looking for an employee with their skills and experience. The victim is invited to click on a link to apply for the job. Clicking the link takes the victim to a job description specifically written for the skills and experience on the victim's resume, and provides a very high salary, and invites them to "click here" to apply for the job. If the victim clicks on that "apply" link, they are taken to an "application" form that asks for the normal job application information, PLUS the victim's social security number, date of birth, the name of the bank and account number where they will want their paycheck to be deposited to, a "relative" reference, etc. With this information, the scammer can open up a bank account in any on line bank and utilize the victim's credit to buy items online and ship them to associates who are in on the scam. PayPal scam: Fraudulent emails claiming the victim has been issued a payment to his/her account, however processing will be complete once the victim has sent the item he/she is selling to the individuals address. This scam is mostly common in selling items to individuals abroad.