Как Авито открива измамниците и се бори с измамите

Здравейте, Хабр. Аз съм Игор, ръководител на екипа, който се бори с измамниците в Авито. Днес ще говорим за вечната битка с негодниците, които се опитват и понякога успяват да измамят интернет потребителите чрез доставка на стоки.

Отдавна се борим с измамите. Днешните мошенически схеми подвеждат хората, като имитират интерфейси и функции на онлайн търговски платформи. Например, измислят схеми с куриерска доставка в маркетплейсите.

През януари 2020 година в интернет дори се появиха готови инструкции за измамниците и всички необходими инструменти. След самоизолацията ситуацията се усложни: тези, които преди това крадяха по улиците и в апартаментите, бяха принудени да преминат в онлайн пространството. Вероятно и на вас напоследък усилено звънят, пишат в месинджърите, смс и писма същите тези „мошеници“. Те се представят за служители на банки и правоохранителни органи, далечни роднини или нотариуси. Напишете в коментарите с какъв вид измама сте се сблъскали напоследък.

Стандартни схеми на измама

Най-разпространената схема за измама на купувачи с доставка на стоки изглежда така:

1. Мошеник публикува обява с популярен продукт от среден ценови клас. Например, продажба на електрическа тротинетка — те са популярни през лятото.
2. С всякакви средства убеждава потенциалния купувач да избере доставка. Извиненията могат да бъдат различни: „Аз съм извън града заради пандемията“ или просто „много съм зает и не мога да дойда на среща“.
3. След като получи съгласие, мошеникът изпраща фалшива връзка за плащане. Страницата по връзката изглежда като стандартната форма на Авито.
4. Жертвата плаща за покупката и се сбогува с парите си.
5. Мошеникът се опитва да спечели повече пари, като предлага да върне плащането. Той изпраща на купувача нова форма за връщане на пари, но всъщност списва средствата още веднъж. Страницата за връщане е същата страница за плащане, но текстът на бутона е променен от „плати“ на „върни“.

По-долу е пример на фалшива страница, която може да изпрати измамник. Домейнът мимикрира Авито, а самият сайт прилича на страница за оформяне на поръчка в интернет магазин. Фалшивите страници често са на протокол https, и по този признак е невъзможно да се различат. След попълване на данните, потребителят попада на страница за плащане на поръчката, където му предлагат да въведе данни за банкова карта.

Фалшиви страници за плащане на стоки и връщане на пари

Ние блокираме подозрителни продавачи. Затова, за да извършват подобни операции, на измамниците им е необходимо постоянно да създават нови акаунти в Авито. Те или ги регистрират сами с помощта на sms на временен виртуален номер, или купуват откраднати акаунти. Виртуалната сим-карта струва от 60 стотинки, чужд акаунт на сивия пазар — от 10 рубли. Разходите за двете са несоразмерно по-малки дори от единичната печалба от измама на потребителите.

Това беше Авито Scam 1.0, но вече се появиха версии 2.0, 3.0 и дори 4.0. Това не са наши обозначения — сами измамниците ги използват.

Измамват не само купувачите, но и продавачите. Втората схема изглежда така:

1. Купувачът уж е изпратил пари чрез безопасна сделка.
2. Той изпраща на продавача фалшива връзка, където той може да получи плащането.
3. Продавачът попада на страница, която изисква реквизити на неговата карта, и в крайна сметка сумата се удържа от неговата сметка.

Схемата Scam 3.0 работи така:

1. Продавачът публикува обяви с активирана доставка през Авито.
2. Когато купувачът плати стоката, измамникът му изпраща скрийншот, на който Авито уж иска код за потвърждение.
3. С помощта на кода продавачът влиза в акаунта на потребителя. В профила на купувача измамникът отбелязва отметка, че той е получил стоката. Купувачът остава без пари и без покупка.

И схемата 4.0 е устроена по следния начин:

1. Купувачът прави вид, че е платил за стоката, и изпраща фалшив чек. Чековете се изпращат където угодно: на електронна поща или в страничен мессенджър. Зависимостта е от това, какъв контакт продавачът е дал на измамника.
2. На продавача му идва sms, която мимикрира под зачисление от банка.
3. След няколко минути купувачът пише, че му е по-добре да купи артикула на друг продавач и иска да върне парите. Често се използва аргументът "върни, нали не си измамник". Продавачът изпраща на купувача сумата, но от собствен pocket, тъй като не е имало никаква транзакция.

На какво натискат измамниците

Петте най-популярни контекста, в които хората попада на лапите на измамниците:

1. Уникално търговско предложение. Цената или артикулът удобно се различават от другите предложения.
2. Напрежение. Продавачът има няколко желаещи да купят артикула, затова той принуждава да се направи предварителна вноска.
3. Спешност. Купувачът предлага спешно да купи артикула за всякакви пари и иска всички данни от банковата карта, за да преведе парите.
4. Добросърдечност. Измамникът моли за помощ при закупуването на артикула: например, купувачът има здравословни проблеми или не може лично да вземе артикула. Измамникът иска данните на картата, за да преведе парите, а артикулът предполагаемо ще бъде взет от куриер.
5. Различни населени места и градове. В този случай предварителната вноска е задължително условие за сделката, и това отваря огромно поле за действие за измамниците.

Схема на "работата" на измамниците

В измамническата схема участват три групи лица: работници, поддръжка и организатори.

Работниците, от думата worker, са най-многобройната група лица, главно ученици и студенти. Те сами създават акаунти в сайтовете и търсят жертви, които наричат мамонти. След това с помощта на социална инженерия убеждават жертвите да платят нещо и изпращат фалшива връзка. Ако жертвата плати за "артикул", задача на работниците с помощта на поддръжката е да прехвърлят жертвата на връщане, позовавайки се на някаква техническа грешка.

Поддръжката са хора, които за фиксиран доход помагат на новаците работници да измамят потребителите. Те дават съвети, препоръчват "печеливши" артикули, и често за определен процент от измамническата сделка са готови да предоставят и други услуги, например, да подготвят в Photoshop паспорт, да се свържат с жертвата или да пишат от името на техническата поддръжка.

Организаторите, от Topic Starter на сенчести форуми, където първоначално е било наето работниците, всъщност са организаторите. Те свалят или купуват софтуер, който се състои от две части:

1. Телеграм-бот, който е основният инструмент на измамниците. В него можете да получите фалшива връзка към продукт, уведомления за премини или плащане.
2. Уеб версия, която отговаря за показването на страницата за плащане/възстановяване/приемане на пари. Към нея е свързана платежна система за приемане на плащания.

Организаторите печелят процент от всяко превод на жертва, който наричат печалба. Затова се опитват да реклвамират проекта си и плащат на поддръжка, за да обучават новаците. Всички разходи по закупуване на нови домейни и карти, на които постъпват парите, също падат върху тях.

След като разгледахме изходния код на много варианти на измамнически скриптове, стигнахме до заключението, че повечето от тях са написани на PHP, но на много лошо ниво. Почти всички скриптове събират информация за своите потребители, включително и за работниците. Една от предположенията, защо го правят, е че когато организаторът бъде открит от правоприлагащите органи, ще отиде на среща с разследването и ще се опита да минимизира наказанието чрез разкриване на работниците.

Освен скриптове, измамниците използват бомбери. Това са ботове, които предлагат възможността да спамят телефон с SMS и обаждания. Бомбери работят така: обхождат различни сайтове и запитват регистрация или възстановяване на парола по номер на телефон. Обикновено измамниците прикрепят тези на жертвите си за 2—72 часа. Това е важна причина да не показвате номера си в интернет.

Някои ТС също наемат разработчици, които правят подобрения за бота или сайта. Например, добавят рейтинг на работниците или защитават скриптовете от уязвимости, които съществуват в безплатните версии. Все пак, в гонене на бърза печалба, ТС може да вземе цялата печалба за себе си, подлъгвайки собствените си работници. Има и група хора, които печелят от самите измамници, като ги мамят за различни услуги.

Средният дневен доход на изпълнителя измамник е 20 000 рубли, а на организатора измамник — 200 000 рубли. Важно е да запомните: въпреки привидната безнаказаност и печалба на "бизнеса", цялата тази дейност попада под член 159 от Наказателния кодекс на РФ. Измамниците биват задържани и им се дават реални присъди дори в случаи, когато щетите от измамата са от 5 до 7 хиляди рубли.

Цялата налична информация за фактите на измама предаваме на органите на реда. Убедени сме, че, въпреки привидната печалба и леснотата на схемата, нашите читатели разбират, че измамата е дело само на недалновидни хора, които не осъзнават всички рискове.

Епичната битка между антифрода и измамниците

Ще разкажем какви стъпки предприехме през първите месеци на 2020 година, за да защитим потребителите ни и как реагираха измамниците.

Основната метрика, на която се ориентирахме за оценка на ефективността, е броят на сигнала за поддръжка с платена доставка на измамника. Повечето измамни обяви блокираме преди да достигнат сайта. Но когато почти всичката търговия премина в онлайн, наблюдавахме ръст на запитванията. Тази информация е потвърдена и от банките: през април и май те масово разпращаха предупреждения за растежа на измамите при онлайн покупки.

За да получаваме бърза обратна връзка относно новите инструменти, човек от екипа ни се внедри в десетки затворени групи на измамници. В една от тях той премина интервю за разработчик и получи достъп до изходния код на скриптове за измами, а също така влезе в групата на организаторите. Благодарение на това винаги имахме свежа информация от първа ръка.

Осъзнавайки рисковете в началото на самоизоляцията, започнахме работа преди активния ръст на запитванията. Една от първите технически мерки беше реализирането на антихак, за да изтеглим акаунти на потребители от ръцете на злонамерени лица. За целта, при правилно въвеждане на потребителско име и парола, но подозрителна геопозиция, изисквахме код от SMS, който получаваше собственикът на акаунта. В отговор измамниците започнаха да регистрират повече нестандартни акаунти. Това ни е в полза – новите акаунти на продавачите внушават по-малко доверие.

След това започнахме да предупреждаваме потребителите за преминаване по подозрителни връзки в месинджъра. Така намалихме броя на кликванията с една трета, но нашата основна метрика почти не беше засегната: тези, които бяха измамени, не спираха нито предупрежденията.

След като въведохме списък с разрешени линкове, спряхме да маркираме неизвестни линкове в месинджера на Авито. Не е възможно да се премине по тях с един клик. Когато се копират съмнителни линкове, също показвахме предупреждение. Това решение първоначално оказа положително влияние върху нашата метрика.

Започнахме активно да наказваме за предаването на съмнителни линкове в месинджера на Авито: блокираме или отказваме обяви на продавачи. В отговор, мошениците започнаха да отвеждат потребители от нашия чат в странични месинджери. Тогава пуснахме предупреждение да не се преминава в друг месинджер, ако видим споменаване за него в чата. Тази функция стартира с търсене по регулярни изрази, след което я заменихме с ML модел.

Тогава мошениците започнаха да отвеждат потребители към електронна поща. За това им беше нужно същото, което и на нас - доверие. Те започнаха да изпращат на потенциалните жертви изображения, на които Авито уж иска имейла на покупателя. Това е измама - електронната поща на покупателите не ни е нужна.

Тук нашата поддръжка уж отговаря, че за доставката е нужен имейл на покупателя.

А тук в нашия интерфейс сякаш се е появило ново поле за въвеждане на електронна поща.

Ако фалшив линк някой можеше да различи, то писмото лесно може да бъде качествено фалшифицирано и предизвиква повече доверие. Започнахме да премахваме съобщения с имейл и да показваме на потребителя предупреждение за опасността от такова действие. Ако след предупреждението потребителят изпрати имейл отново, ние вече не го премахваме.

Мошениците започнаха да просят от купувачите да изпратят имейл адрес в няколко съобщения или с заменен символ @ на друг. Тогава започнахме да показваме предупреждение още при искането на имейл. Комплексът от тези мерки почти напълно предотврати изхода на потребителите към електронната поща от месинджера на Авито.

Нашата текуща механика е доста ефективна, но не е приятелска към потребителите. Съобщението с електронна поща се премахва изцяло, а в него често има и друг текст. Но това беше най-бързото и икономично решение за разработка. Мислим как да го преработим и подобрим.

Една от последните ни инициативи е проверка на телефонни номера. Обикновено номера на мошеници, на които те регистрират акаунти, не съществуват дълго време. Ние се обаждаме на телефона на продавача след подаване на обявата в Авито. Ако не успеем да се свържем, модерацията отхвърля обявата. Мошениците започнаха да променят телефонния номер непосредствено преди публикуването, за да успеем да се обадим, докато той все още е наличен.

Ето я и обратната връзка от мошеника

В подозрителни случаи ние понижаваме приоритета на обявата в резултатите и я отстраняваме от препоръките. При това ние поставяме забавяне в резултатите до 48 часа, за да можем да проверим всичко внимателно и да нанесем малко повече неудобства на мошениците.

Това е само върхът на айсберга, видовете измами са много повече.

За съжаление, е невъзможно да се опишат всички видове измами в една статия. Когато научихме за въвеждането на режима на самоизолация, веднага стана ясно, че мошениците, които печелеха в офлайн среда, ще се насочат онлайн. Те нямат желание да променят моделите си на поведение за няколко месеца и да станат порядъчни граждани. Това доведе до истински бум на измамите на всички онлайн платформи и по телефона.

Сред типичното измамничество се срещат редки и дори забавни случаи. Например, тук мошеникът се преструва на робот, за да намали разходите за комуникация:

Въпреки че мошениците на Авито стават все по-малко с всеки изминал ден, а в цялата страна се провеждат рейдове, при които служителите на правоохранителните органи ги откриват, въпреки проксито и VPN, арестуват ги и им дават реални срокове до 2 години затвор за измами на стойност 2500—5000 рубли, напълно да се избавим от измамите е невъзможно.

Ние няма да съобщаваме публично за други идеи и нововъведения, за да не улесняваме работата на мошениците. Разбираме, че тази битка ще продължи. Нашата задача е да усложним максимално живота на мошениците, да направим този вид дейност на нашия ресурс просто неизгоден и изключително опасен, като същевременно минимално засягаме добрите потребители.

Резултати от работата

Ето графика на обращенията в подкрепа по въпросите на измамите в доставките. Последните седмици той остава на стабилно ниско ниво:

Как да не станеш жертва на мошеник

Мошенниците са червена лампичка в бочката с изгодни предложения. За да останете винаги в безопасност, просто следвайте следните правила:

1. Не споделяйте чувствителни данни. Никакви: имена, телефонен номер, адрес, имейл, дата и място на раждане, информация за семейството и доходите, данни на картата, контакти в други месинджъри. Никога не казвайте кодовете от SMS и push известия.
2. Водете цялата комуникация единствено в нашия месинджър, за да можем да ви предупредим в случай на опасност.
3. Проверявайте рейтинга на продавача и възрастта на профила. Съмнение предизвикват ниските цени, наскоро създаденият профил на сайта и отрицателните отзиви.
4. Ако бутонът „Купи с доставка“ не е активен, няма доставка на стоката чрез проверени партньори на Авито. Други методи на доставка винаги са риск.
5. Не кликвайте на линкове. Линкът за плащане или получаване на пари трябва да дойде в интегрирания месинджър на Авито, като системно съобщение. Истинският линк винаги започва с домейна www.avito.ru. Всички други комбинации от думи и символи са измама.
6. Не бързайте и правете всички покупки с ясна глава. Бъдете внимателни към детайлите. Мошениците често оказват натиск върху потенциалните купувачи и заплашват, че ще продадат стоката на друг. Честни продавачи са лоялни и готови да отговорят на допълнителни въпроси.
7. Не превеждайте предплата за никакви услуги, ако не сте сигурни в продавача.
8. Не инсталирайте никакви външни разширения и програми.
9. Ако видите подозрителен профил или обява, напишете за това в нашата поддръжка. Ние ще проверим продавача. В интернет е по-добре да не се доверявате на никого и да направите допълнителни проверки.

Източник: habr.com