Как Авито разпознава измамници и се бори с измамите

Здравей, Хабр. Аз съм Игор, ръководител на екипа, който се бори с измамниците на Авито. Днес ще говорим за вечната битка с негодяите, които се опитват и дори понякога измамват онлайн купувачите с помощта на доставката на стоки.

Отдавна се борим с измамите. Съвременните мошеници измамват хора, имитирайки интерфейси и функции на платформите за онлайн търговия. Например, измислят схеми с куриерска доставка на маркетплейсите.

През януари 2020 година в интернет излязоха готови инструкции за мошеници и всички необходими инструменти. След това самоизолацията подхрани огъня: тези, които преди това измамваха и крадяха на улицата и в апартаментите, бяха принудени да преминат онлайн. Може и на вас напоследък да ви звънят, пишат в мессенджъри, смс и писма същите тези «мошейници». Те се представят за служители на банки и органи на реда, далечни роднини или нотариуси. Напишете в коментарите с какъв вид измама сте се сблъскали за последен път.

Стандартни схеми на измами

Най-разпространената схема за измама на купувача при доставка на стоки изглежда така:

1. Мошеникът публикува обява с популярен продукт от среден ценови клас. Например, за продажба на електрически самокат — през лятото те са популярни.
2. С всевъзможни средства убеждава потенциалния купувач да избере доставка. Може да използва различни причини: оставил съм града заради пандемията или просто съм твърде зает и не мога да дойда на среща.
3. След като получи съгласие, мошеникът изпраща фалшива връзка за плащане. Страницата по връзката изглежда като стандартната форма на Авито.
4. Жертвата плаща за покупката и се сбогува с парите.
5. Мошеникът се опитва да изкара повече пари, предлагайки да върне плащането. Той изпраща на купувача нова форма за връщане на пари, но всъщност изтегля парите още веднъж. Страницата за връщане е същата като страницата за плащане, но текстът на бутона е променен от «плати» на «върни».

По-долу е пример за фалшива страницa, която може да изпрати мошеник. Доменът имитира Авито, а самият сайт прилича на страница за поръчка в интернет магазин. Фалшивите страници често са на протокол https, и по този признак тяхното разпознаване е невъзможно. След попълване на данните, потребителят попада на страницата за плащане, където му предлагат да въведе данните на банковата си карта.

Фалшиви страници за плащане на стоки и връщане на пари

Ние блокираме подозрителни продавачи. Затова, за да извършват подобни операции, мошениците трябва постоянно да създават нови акаунти в Авито. Те или ги регистрират сами с помощта на SMS на временно виртуално число, или купуват откраднати акаунти. Виртуалната SIM карта струва от 60 стотинки, чужд акаунт на сивия пазар — от 10 рубли. Разходите за двете са несравнимо по-малки от дори еднократната печалба от измамата на потребителите.

Това беше Авито Scam 1.0, но вече се появиха версии 2.0, 3.0 и даже 4.0. Това не са наши наименования — те се използват от самите мошеници.

Те измамят не само купувачите, но и продавачите. Втората схема изглежда така:

1. Купувачът уж е изпратил парите чрез безопасна сделка.
2. Той изпраща на продавача фалшива връзка, където той може да получи плащането.
3. Продавачът попада на страница, която иска реквизитите на картата му, и в крайна сметка сумата се изтегля от сметката му.

Схемата Scam 3.0 работи така:

1. Продавачът публикува обяви с активирана доставка чрез Авито.
2. Когато купувачът плати за стоката, мошеника му изпраща екранна снимка, на която Авито уж иска код за потвърждение.
3. С помощта на кода продавачът влиза в акаунта на потребителя. В профила на купувача мошеникът отбелязва отметката, че той е получил стоката. Купувачът остава без пари и без покупка.

И схемата 4.0 е устроена по следния начин:

1. Купувачът прави вид, че е платил за стоката, и изпраща фалшив фиш. Фишовете се изпращат навсякъде: на електронната поща или в страничен мессенджър. Зависи от това, какъв контакт продавачът е дал на мошенника.
2. На продавача пристига SMS, която имитира зачисление от банка.
3. След няколко минути купувачът пише, че му подхожда по-добре продукт от друг продавач и иска да му върнат парите. Често се използва аргументът "върнете, вие не сте мошеник". Продавачът изпраща сумата на купувача, но от собствения си джоб, тъй като няма никаква транзакция.

На какво натискат мошениците

Петте най-популярни контекста, в които хората попадат в лапите на мошениците:

1. Уникално търговско предложение. Цената или продуктът значително се отличават от другите предложения.
2. Ажиотаже. Продавачът има няколко желаещи да закупят продукта, поради което принуждава към авансово плащане.
3. Спешност. Купувачът предлага спешно да закупи продукта за всяка цена и иска всички данни на банковата карта, за да преведе парите.
4. Добросърдечност. Мошеникът иска помощ при закупуването на продукт: например, купувачът има здравословни проблеми или не може лично да вземе продукта. Мошеникът иска данни на картата, за да преведе парите, а продуктът уж ще бъде взет от куриер.
5. Различни населени места и градове. В този случай авансовото плащане е задължително условие за сделката, а това открива огромно поле за дейност за мошениците.

Схемата на мошениците

В мошеническата схема участват три групи лица: работници, поддръжка, ТС.

Работниците, от думата worker, са най-многобройната група, предимно ученици и студенти. Те сами създават акаунти в Авито и търсят жертви, които наричат мамути. После с помощта на умения за социална инжинерия убеждават жертвите да платят нещо и изпращат фалшива връзка. Ако жертвата плати за "продукта", задачата на работниците е с помощта на поддръжката да преведат жертвата на връщане, позовавайки се на някаква техническа грешка.

Поддръжката са хора, които за фиксирано възнаграждение помагат на новаците работници да измамят потребителите. Те дават съвети, препоръчват "прибиращи" стоки, често срещу определен процент от мошеническата сделка са готови да предоставят и други услуги, например да подготвят паспорт в Photoshop, да звънят на жертвата, да й пишат от името на техническата поддръжка.

ТС, от Topic Starter на сивите форуми, където първоначално е било наемането на работници, по същество са организаторите. Те свалят или купуват софтуер, който се състои от две части:

1. Телеграм бот, който е основният инструмент на измамниците. С него можете да получите фалшива връзка към продукта, да получавате известия за преходи или плащания.
2. Уеб версията, която отговаря за визуализацията на страницата за плащане/връщане/приемане на пари. Към нея е свързана платежна система за приемане на плащания.

Организаторите печелят от процент от всеки превод на жертвата, който наричат печалба. Затова те се стараят да рекламират проекта си и плащат на персонала, за да обучават новачките. Те покриват всички разходи, свързани с покупката на нови домейни и карти, на които постъпват парите.

След като разгледахме кода на много варианти на измамнически скриптове, стигнахме до извода, че повечето от тях са написани на PHP, но на много лошо ниво. Почти всички скриптове събират информация за своите потребители, включително и за работниците. Едно от предположенията, защо те го правят, е, че когато правоохранителните органи се свържат с организатора, той ще сътрудничи на разследването и ще се опита да намали максимално наказанието си, разкривайки работниците.

Освен скриптовете, измамниците използват бомбери. Това са ботове, които предлагат възможността да спамите телефон с SMS и обаждания. Бомбери работят така: търсят в различни сайтове регистрация или възстановяване на парола по телефонен номер. Обикновено измамниците ги свързват с жертвите си за 2—72 часа. И това е важна причина да не показвате номера си в интернет.

Някои ТС също наемат разработчици, които правят подобрения за бота или сайта. Например, добавят рейтинг на работниците или защитават скриптовете от уязвимости, които присъстват в безплатните версии. Въпреки това, в стремежа си за бърза печалба, ТС може да задържи цялата печалба за себе си, измамвайки собствените си работници. Има група момчета, които печелят от самите измамници, като ги мамят за различни услуги.

Средният дневен доход на изпълнителя измамник е 20 000 рубли, а на организатора измамник — 200 000 рубли. Важно е да запомните: въпреки привидната безнаказаност и изгодите на „бизнеса“, цялата тази дейност попада под член 159 от Наказателния кодекс на Руската федерация. Измамниците биват задържани и получават реални срокове дори в случаи, когато щетите от измамата са 5—7 хиляди рубли.

Цялата налична информация за факти на измама предаваме на правоохранителните органи. Убедени сме, че, въпреки на пръв поглед печелившостта и лекотата на схемата, нашите читатели разбират, че с измами се занимават само неразумни хора, които не осъзнават всички рискове.

Епична битка между антифрод и измамници

Ще разкажем какви стъпки предприехме през първите месеци на 2020 година, за да защитим нашите потребители, и как отговориха измамниците.

Основната метрика, на която се ориентирахме при оценка на ефективността на работата, е броят на запитванията в поддръжката с платена доставка на измамника. Голямата част от измамническите обяви блокираме още преди да се появят на сайта. Но, когато почти всичката търговия премина в онлайн, фиксирахме изблик на запитвания. Тази информация потвърдиха и банките: през април и май те масово разпращаха предупреждения за ръст на измамите при онлайн пазаруването.

За да получаваме бърза обратна връзка за новите инструменти, член от нашия екип влезе в десетки затворени групи на измамници. В една от тях той премина интервю за разработчик и получи достъп до кодовете на измамническите ботове, а също така влезе в групата на организаторите. Благодарение на това винаги имахме свежа информация от първа ръка.

Разбирайки рисковете от началото на самоизолацията, започнахме работа преди активния ръст на запитванията. Едно от първите технически мерки беше реализацията на антиизмама, за да изтеглим акаунти на потребители от лапите на злонамерени лица. За това, при правилно въвеждане на потребителско име и парола, но подозрителна геолокация, изисквахме код от смс, който идваше на собственика на акаунта. В отговор, измамниците започнаха да регистрират повече независими акаунти. Това ни е на ръка – свежите акаунти на продавачите внушават по-малко доверие.

След това започнахме да предупреждаваме потребителите за преминаването по подозрителни линкове в месиджъри. Така намалихме броя на кликванията с една трета, но на основната ни метрика това почти не се отрази: тези, които бяха измамени, не спираха пред никакви предупреждения.

След това въведохме бял списък с линкове. Спряхме да оцветяваме непознати линкове в месенджера Авито, не можем да преминем през тях с един клик. Когато се копират съмнителни линкове, също се показва предупреждение. Това решение за първи път оказа положително влияние върху нашата метрика.

Започнахме активно да наказваме за предаване на съмнителни линкове в месенджера Авито: блокиране или отхвърляне на обяви на продавача. В отговор мошениците започнаха да отклоняват потребителите от нашия чат към странични месенджери. Тогава въведохме предупреждение да не се премества в друг месенджер, ако видим споменаване на него в чата. Тази функция стартира с търсене по регулярни изрази, след това я заменихме с ML модел.

Тогава мошениците започнаха да отклоняват потребителите към електронна поща. За това им беше нужно същото, което и на всички нас – доверие. Те започнаха да изпращат на потенциални жертви изображения, на които Авито уж иска имейл на купувача. Това е измама – електронната поща на купувачите не ни е нужна.

Тук нашата поддръжка уж отговаря, че за доставка е необходим имейл на купувача.

А тук в нашия интерфейс сякаш се е появило ново поле за въвеждане на електронна поща.

Ако някой е могъл да различи фалшивия линк, то писмото лесно може да бъде красиво подправено, и то предизвиква повече доверие. Ние започнахме да изтриваме съобщенията с имейл и да показваме на потребителя предупреждение за опасността от такова действие. Ако след предупреждението потребителят отново изпрати имейл, вече не го изтриваме.

Мошениците започнаха да просят купувачите да изпратят адрес на електронната поща в няколко съобщения или с подмена на символа @ с друг. Тогава започнахме да изписваме предупреждение още при искането на пощата. Комплексът от тези мерки позволи почти напълно да се предотврати излизането на потребителите към пощата от месенджера Авито.

Нашата текуща механика е доста ефективна, но не е дружелюбна към потребителите. Съобщението с електронна поща се изтрива напълно, а в него често има и друг текст. Но това беше най-бързото и евтино решение за разработка. Ние обмисляме как да го преработим и подобрим.

Една от нашите последни инициативи е проверка на номера. Обикновено номерата на измамниците, на които те регистрират акаунти, не живеят дълго. Ние звъним на номера на продавача след публикуването на обявата в Авито. Ако не успеем да се свържем, модерацията отхвърля обявата. Измамниците започнаха да сменят телефонния номер непосредствено преди публикуването, за да успеем да се свържем, докато той все още е достъпен.

А ето и обратна връзка от измамник

В подозрителни случаи понижаваме приоритета на обявата в резултатите и я премахваме от препоръките. При това ние задаваме забавяне в показването до 48 часа, за да можем гарантирано да проверим всичко внимателно и да предизвикаме малко повече неудобство на измамниците.

Това е само върха на айсберга, видовете измами са много повече.

За съжаление, описанието на всички видове измами в една статия е невъзможно. Когато разбрахме за въвеждането на режима на самоизолация, веднага стана ясно, че измамниците, които печелеха в офлайн, ще се опитат да преминат в онлайн. Те не биха искали да променят своите поведения за няколко месеца и да станат добропорядъчни граждани. Това доведе до истински бум на измамите на всички онлайн платформи и по телефона.

Сред видовете измами се срещат редки и дори забавни. Например, тук измамникът се преструва на робот, за да намали разходите за комуникация:

Въпреки че измамниците в Авито стават все по-малко с всеки изминал ден, а в цялата страна се провеждат рейдове, на които служителите на правоохранителните органи ги намират, въпреки проксита и VPN, арестуват и налагат действителни присъди до 2 години лишаване от свобода за измами на стойност 2500—5000 рубли, напълно да се избавим от измамите е невъзможно.

Ние няма да разкриваме публично други идеи и нововъведения, за да не облекчаваме работата на измамниците. Разбираме, че тази битка ще продължи. Нашата задача е да усложним максимално живота на измамниците, да направим този вид дейност в нашия ресурс просто неизгоден и прекалено опасен, при това минимално засягайки добрите потребители.

Резултати от работата

Ето график на запитванията в поддръжката по измами в доставката. През последните седмици той остава стабилно нисък:

Как да не станете жертва на измамник

Мошеникът е лъжица катран в бъчва с изгодни предложения. За да останете в безопасност, просто следвайте следните правила:

1. Не споделяйте чувствителни данни. Никакви: имена, телефонен номер, адрес, електронна поща, дата и място на раждане, информация за семейството и доходите, данни за картата, контакти в други месинджъри. Никога не казвайте кодовете от смс и push-уведомления.
2. Поддържайте цялата комуникация само в нашия месинджър, тогава можем да ви предупредим в случай на опасност.
3. Проверявайте рейтинга на продавача и възрастта на профила. Ниски цени, скорошна дата на регистрация на сайта и негативни отзиви предизвикват подозрение.
4. Ако бутонът „Купи с доставка“ не е активен, доставка чрез проверени партньори на Авито няма. Други методи на доставка - винаги риск.
5. Не кликвайте на линкове. Линкът за плащане или получаване на пари трябва да дойде в вградения месинджър на Авито като системно съобщение. Истинският линк винаги започва с домейна www.avito.ru. Всякакви други комбинации от думи и символи - измама.
6. Не бързайте и правете всички покупки с трезва глава. Бъдете внимателни към всякакви детайли. Мошениците често натискат потенциалните купувачи и заплашват да продадат стоката на друг. Честните продавачи са лоялни и готови за допълнителни въпроси.
7. Не превеждайте предварителни плащания за каквито и да било услуги, ако не сте сигурни в продавача.
8. Не инсталирайте никакви странични разширения и програми.
9. Ако видите подозрителен профил или обява - пишете за това в нашата поддръжка. Ние ще проверим продавача. В интернет е по-добре да не се доверявате на никого и да правите допълнителни проверки.

Източник: habr.com