Новогодний «подарок» от хакеров для пользователей Яндекс — CPA Live

Сегодня, 20 декабря 2021 года, стало известно, что официальное представительство компании Яндекс в социальной сети ВКонтакте – паблик «Яндекс GO», стало жертвой взлома хакерами. Масштабы ущерба пока неизвестны, но уже точно можно сказать, что пострадали сотни, а то и тысячи пользователей, среди которых в том числе и наши с вами коллеги по цеху. О том, что именно произошло, как подобное стало возможным, и как не пополнить ряды «мамонтов», читайте ниже.

Подписывайтесь на CPA Live в Telegram!

Суть инцидента

В 9:34 утра 20.12.2021 года на стене официального сообщества Яндекс в социальной сети ВКонтакте – паблика «Яндекс GO» появился пост, информирующий аудиторию о якобы проводимом розыгрыше от компании Яндекс.

Учитывая, что разыгрывание различных призов в предновогодний-новогодний период уже давно стало обыденной практикой раскрутки пабликов в социальных сетях, а само сообщество верифицировано и имеет колоссальный кредит доверия среди своей аудитории – пользователи без задней мысли охотно решили испытать удачу.

Увы, Фортуна оказалась не на их стороне – вместо обещанного приза их ждала фишинговая ссылка от кибер-преступников, перейдя по которой пользователи лишились своих денег.

И хотя сумма ущерба для большинства пострадавших оказалась сравнительно небольшая – всего 390 рублей, приятной подобную ситуацию все равно сложно назвать. И это не говоря о другой информации, которая могла «утечь» к хакерам, после перехода по фишинговой ссылке.

Однако больше всего пострадали те, кто не заподозрил подвоха и те, кто даже уже осознав, что стал жертвой мошенников, не заблокировал карту – у таких людей с карты списывалось по несколько тысяч. Некоторые пользователи даже жаловались на то, что деньги продолжают списываться прямо у них на глазах, непосредственно во время их жалоб.

А уж учитывая то, насколько большой охват у сообщества «Яндекс GO», об истинных масштабах кибер-кражи остается лишь догадываться. Но уже сейчас известно, что пострадали сотни читателей сообщества.

Суть аферы заключалась в следующем:

Злоумышленники неизвестным образом получили доступ к одному из аккаунтов администрации сообщества «Яндекс GO»,.

На стене сообщества был опубликован пост, имитирующий проведение розыгрыша.

В тело поста была интегрирована фишинговая ссылка, предварительно укороченная с помощью сервиса tinyurl и ведущая на фейковый сайт.

Перешедшим по ссылке пользователям после непродолжительной имитации «рандомного выбора приза» выводилось сообщение о выигрыше главного приза – 3 060$.

При попытке получения денег, пользователям выводилась ошибка, извещаются о том, что деньги невозможно получить в виду межбанковской двойной конвертации валюты и инструкция по возможному исправлению проблемы.

Следуя инструкции, пользователи условно-добровольно оплачивали, якобы, комиссию за конвертацию долларов в рубли – равную 390 рублям.

После чего никаких денег, разумеется, на их счет не поступало.

У тех, кто не заблокировал карту, деньги списывались по несколько раз – в некоторых случая со счетов жертв «утекли» тысячи рублей.

Примечательно, что в официальном чате паблика уже «сидели в засаде» фейковые странички злоумышленников, положительно отвечающие на вопросы находящихся в замешательстве пострадавших, вроде: «А кто-то вообще получал выигрыш?». Это позволило хакерам выиграть время, прежде чем администрация паблика среагировала на ситуацию.

Те же, кто вовремя смекнул обратиться в техническую поддержку, столкнулись с ужасающим для них ответом – ни про какой розыгрыш в компании Яндекс не в курсе.

Почему такое возможно, ведь это же Яндекс?!

Следует понимать, что ни одна интернет-платформа, пусть даже и считающаяся самой защищенной по сегодняшним меркам, не имеет абсолютной защиты от взлома. Единственный способ не быть взломанным – не быть подключенным к интернету. И то, даже такие «изолированные» системы время от времени взламывают.

Высокая степень доверия в совокупности с удачно подобранным моментом – предновогодним периодом, сделали свое дело. Чтобы избежать подобного, следует соблюдать следующие меры:

Обязательно смотреть URL-ссылок – ни в коем случае не переходите по незнакомым ссылкам вне зависимости от того, кто их прислал.

Сопоставлять «видимое» с «реальным» – просто подумайте, насколько нелепой выглядит мысль о том, что компания Яндекс стала бы использовать укороченную с помощью сервиса tinyurl ссылку, имея при этом собственный сервис для сокращения ссылок. Зачем Яндексу, являющемуся полностью российской компанией, проводить розыгрыш в долларах? Следовало всего-навсего задуматься о таких простых вопросах, и скама удалось бы избежать.

Будьте всегда максимально недоверчивы – увы, сегодня это единственный способ сохранить хоть какое-то подобие защищенности от кибер-мошенников. Критически относитесь ко всему, что видите в интернете. В особенности если это «что-то» сулит вам быструю выгоду.

Особое внимание обратите на последний пункт. Статистика случаев, похожих на сегодняшний, лишь подтверждает печальное предположение о том, насколько пренебрежительно пользователи относятся к вопросу кибер-безопасности.

В случае с арбитражем трафика, вопрос кибер-безопастности актуален как никогда – потому как и бюджеты в рекламу вливаются огромные, и многие инструменты, столь необходимые в нашем с вами ремесле, несут уйму рисков с точки зрения потенциальной возможности оказаться взломанным.

Советы экспертов

Технический директор филиала Trend Micro в СНГ Михаил Кондрашин:

«Термин фишинг давно вышел за рамки email-рассылок с целью заманить жертву на хакерский сайт. Сегодня фишинговые атаки становятся все более изощренными. Но в их основе все также лежит легкомысленное отношении самих пользователей – именно оно делает возможным подобные преступления»

Советник по вопросам кибер-бизепостаности Check Point Software Technologies Алексей Белоглазов:

«Фишинг возможен везде, где возможна коммуникация между пользователем и злоумышленником. Для этого может быть использовано все что угодно – начиная от мессенджеров и электронной почты, и заканчивая сайтами корпораций или даже городским телефоном»

Глава департамента реагирования на инциденты информационной безопасности (CERT) корпорации Group-IB Александр Калинин:

«Очень важно в профилактических беседах о фишинге не зацикливаться исключительно на классических примерах вроде электронной почты или СМС. Люди запоминают эти шаблоны и в упор не видят других уязвимостей. Ожидайте подвоха абсолютно везде – вас могут взломать даже через рекламное объявление»

Руководитель отдела технического сопровождения антивируса ESET Сергей Кузнецов:

«Не стоит забывать о такой экзотике, как фишинг через физические носители данных – сегодня доля таких атак высока как никогда ранее. Самый яркий пример – взлом иранской ядерной программы через проданную случайным образом флешку в магазине»

Что делать, если вы пострадали от подобного?

Увы, подобные прецеденты редко заканчиваются положительным исходом для пострадавших – найти хакеров удается гораздо реже, чем им самим удается совершать правонарушения. Если вы стали жертвой сегодняшнего либо подобного обмана – обязательно пишите заявление в полицию.

В случае с сегодняшним инцидентом, возможны следующие варианты решения проблемы:

Написать заявление в полицию и дождаться итогов расследования – чем больше людей напишут заявление, тем выше шанс, что правоохранительные органы подключат для решения вопроса серьезных ИТ-специалистов.

Дождаться заявления компании Яндекс об инциденте – поисковик пока никак не комментировал данное происшествие. Вполне возможно, что после установления реального ущерба, Яндекс сам предложит пострадавшим пользователям компенсацию. Компенсация, скорее всего, будет либо в виде Яндекс-денег, либо в виде эквивалентных бонусов, которые можно будет потратить на оплату услуг сервиса. Однако это лишь предположение автора.

Подать иск против компании Яндекс – насколько это перспективно, судить сложно. С одной стороны, если бы не получение хакерами доступа к аккаунту администратора официального сообщества Яндекса – ничего бы не было. С другой – пользователи переводили деньги условно-добровольно. Здесь лучше проконсультируйтесь с юристом.

Подводя итоги

К сожалению, подобные случаи происходят сотнями по всему миру ежедневно. В особенности, во время праздников – когда всем нам немножечко хочется верить в чудо.

Мы призываем вас быть бдительными, изучать основы кибер-безопасности и не переходить по неизвестным ссылками, даже если они были получены с помощью сервисов, которым можно доверять.

Надеемся, никому из наших читателей не придется столкнуться с подобным. Удачи, друзья!