Hvordan Avito identificerer svindlere og bekæmper svindel

Hej, Habr. Jeg er Igor, leder af det team, der bekæmper svindlere på Avito. I dag vil vi tale om den evige kamp mod de skurke, der forsøger at bedra internetkøbere ved hjælp af varelevering.

Vi har længe kæmpet mod svindel. Dagens svindlere bedrager folk ved at efterligne grænseflader og funktioner på online handelsplatforme. For eksempel opfinder de ordninger med kurérlevering på markedspladser.

I januar 2020 dukkede der faktisk klare instruktioner op for svindlere på internettet samt alle nødvendige værktøjer. Derefter satte selvisolering benzin på bålet: de, der tidligere svindlede og stjal på gaden og i lejligheder, blev tvunget til at gå online. Måske har også du i den seneste tid modtaget mange opkald, beskeder i messenger, sms'er og emails fra de såkaldte 'svindlere'. De udgiver sig for at være bankmedarbejdere og retshåndhævende myndigheder, fjerne slægtninge eller notarer. Skriv i kommentaren, hvilken form for svindel du sidst stødte på.

Standard svindelschemer

Den mest almindelige svindelordning rettet mod køberen ved levering af varer ser sådan ud:

1. Svindleren offentliggør en annonce med et populært produkt i mellemprisklassen. For eksempel med salg af elektriske scootere - de er populære om sommeren.
2. Ved hjælp af forskellige metoder overtaler svindleren den potentielle køber til at få varen leveret. Undskyldningerne kan være mange: jeg er rejst fra byen under pandemien, eller jeg er simpelthen for optaget til at mødes.
3. Når der er givet tilsagn, sender svindleren et falsk link til betaling. Siden via linket ligner den standardformular, som Avito bruger.
4. Offeret betaler for købene og siger farvel til pengene.
5. Svindleren forsøger at tjene flere penge ved at tilbyde at tilbagebetale betalingen. Han sender en ny formular til køberen til tilbagebetaling, men i virkeligheden trækker han pengene endnu en gang. Tilbagebetalingssiden er den samme som betalingsiden, men teksten på knappen er ændret fra 'betal' til 'refunder'.

Nedenfor er et eksempel på en falsk side, som en svindler kan sende. Domænet efterligner Avito, og selve siden ligner en bestillingsside i en webshop. Falske sider findes ofte på https-protokollen, og det er derfor umuligt at skelne dem fra ægte. Efter udfyldelse af oplysningerne lander brugeren på en betalingsside, hvor de bliver bedt om at indtaste oplysninger om deres kreditkort.

Falske betalings- og refusionssider

Vi blokerer mistænkelige sælgere. Derfor er svindlere nødt til konstant at oprette nye konti på Avito for at kunne gennemføre sådanne operationer. De registrerer enten konti selv ved hjælp af sms på et midlertidigt virtuelt nummer, eller de køber stjålne konti. Et virtuelt sim-kort koster fra 60 kopek, en andens konto på det sorte marked koster fra 10 rubler. Udgifterne til begge dele er uendeligt lavere end endda den engangige indtægt fra at bedrage brugere.

Dette var Avito Scam 1.0, men der er allerede dukket versioner op som 2.0, 3.0 og endda 4.0. Det er ikke vores betegnelser - de bruges af svindlerne selv.

De snyder ikke kun købere, men også sælgere. Den anden ordning ser sådan ud:

1. Køberen angiveligt sender penge via en sikker handel.
2. Han sender sælgeren et falsk link, hvor han kan modtage betalingen.
3. Sælgeren lander på en side, der beder om kortoplysninger, og til sidst bliver beløbet trukket fra hans konto.

Scam 3.0-ordningen fungerer sådan:

1. Sælgeren offentliggør annoncer med aktiveret levering fra Avito.
2. Når køberen betaler for varen, sender svindleren ham et screenshot, hvor Avito angiveligt beder om en bekræftelseskode.
3. Ved hjælp af koden logger sælgeren ind på brugerens konto. I køberens profil markerer svindleren, at varens er blevet modtaget. Køberen står tilbage uden penge og uden vare.

Og ordningen 4.0 er på følgende måde anlagt:

1. Køberen giver indtryk af at have betalt for varen og sender et falsk kvittering. Kvitteringer sendes til hvor som helst: til e-mail eller en tredjeparts beskedapp. Det afhænger af, hvilken kontakt sælgeren har givet svindleren.
2. Sælgeren modtager en sms, der efterligner en indbetaling fra banken.
3. Efter et par minutter skriver køberen, at han bedre kan bruge et produkt fra en anden sælger, og beder om at få pengene tilbage. Ofte inddrages argumentet "giv tilbage, du er vel ikke en svindler". Sælgeren sender beløbet til køberen, men fra sin egen lomme, da der ikke har været nogen betaling.

Hvad svindlere presser på med

Fem af de mest populære kontekster, hvor folk falder i svindleres kløer:

1. Unikt salgsforslag. Prisen eller produktet adskiller sig fordelagtigt fra andre tilbud.
2. Haste. Sælgeren har flere interesserede i at købe produktet, derfor tvinger han en forskudsbetaling.
3. Hastende behov. Køberen tilbyder hurtigt at købe produktet for enhver pris og beder om alle oplysninger om bankkortet for at overføre pengene.
4. Godhjertethed. Svindleren beder om hjælp til at købe produktet: for eksempel har køberen helbredsproblemer, eller han kan ikke afhente produktet personligt. Svindleren beder om kortoplysninger for at overføre penge, mens produktet angiveligt vil blive hentet af en kurér.
5. Forskellige byer og lokationer. I dette tilfælde er forskudsbetaling et obligatorisk krav for aftalen, og det åbner et stort felt for svindlere.

Svindlernes "arbejds"-ordning

I svindelsystemet deltager tre grupper af personer: arbejdere, support og TS.

Arbejderne, fra ordet worker, er den mest talrige gruppe, primært skolebørn og studerende. De opretter selv konti på Avito og søger ofre, som de kalder mammutter. Derefter overbeviser de ofrene med sociale ingeniørfærdigheder om at betale for noget og sender et falsk link. Hvis ofret betaler for "produktet", så er arbejdernes opgave, med støtte fra supporten, at få ofret til at anmode om tilbagebetaling, med henvisning til en teknisk fejl.

Support er mennesker, der hjælper nykommere blandt arbejderne med at svindle brugerne for en fast indkomst. De giver råd, anbefaler "profitabelt" produkter, og er ofte villige til at tilbyde andre tjenester mod et procentdel af den svigagtige handel, for eksempel at forberede en falsk pas i Photoshop, ringe til ofret eller skrive til dem fra teknisk support.

TS, fra Topic Starter på skyggefora, hvor arbejdet med at ansætte arbejdere oprindeligt fandt sted, fungerer i bund og grund som organisatorer. De downloader eller køber software, der består af to dele:

1. Telegram-bot, der er det primære værktøj for svindlere. I den kan man få et falsk link til et produkt, få meddelelser om overførsler eller betaling.
2. Webversionen, der står for visningen af betalings-/refusions-/modtagelsessiden. Den er også tilsluttet et betalingssystem til modtagelse af betalinger.

Organisatører tjener penge på en procentdel af hver overførsel fra offeret, som de kalder profit. Derfor forsøger de at promovere deres projekt og betaler support, så de kan træne nybegyndere. Alle omkostninger ved køb af nye domæner og kort, hvor pengene kommer ind, bæres af dem.

Efter at have set kildekoderne til mange forskellige svindelscripts er vi kommet til den konklusion, at de fleste er skrevet i PHP, men på et meget dårligt niveau. Næsten alle scripts indsamler information om deres brugere, inklusive om arbejderne. En af teorierne om, hvorfor de gør dette, er, at når de retshåndhævende myndigheder når ud til arrangøren, vil han samarbejde med efterforskningen og forsøge at nedbringe straffen mest muligt ved at afsløre arbejderne.

Foruden scripts bruger svindlere også bombere. Det er bots, der giver mulighed for at spamme telefonen med SMS'er og opkald. Bombere fungerer sådan: de besøger forskellige hjemmesider og anmoder om registrering eller nulstilling af adgangskode via telefonnummeret. Normalt tilslutter svindlerne dem til deres ofre i 2–72 timer. Og det er en vigtig grund til ikke at vise sit telefonnummer online.

Nogle TS ansætter også udviklere, der laver forbedringer til botten eller hjemmesiden. For eksempel integrerer de vurdering af arbejderne eller beskytter scripts mod sårbarheder, der findes i gratis versioner. Men i jagten på hurtig profit kan TS tage hele indtægten til sig selv og bedrage sine egne arbejderne. Der er også en gruppe fyre, der tjener penge på svindlerne ved at snyde dem for forskellige tjenester.

Den gennemsnitlige daglige indkomst for svindler-arbejdere er 20.000 rubler, mens svindler-arrangøren tjener 200.000 rubler. Det er vigtigt at huske: på trods af den tilsyneladende straffrihed og fordel ved "virksomheden" falder al denne aktivitet ind under artikel 159 i den russiske straffelov. Svindlere bliver anholdt og får reelle straffe selv i tilfælde, hvor skaden fra svindel er på 5-7.000 rubler.

Vi sender al den information, vi har om svindelsager, videre til de rette myndigheder. Vi er overbeviste om, at vores læsere forstår, at svindel kun praktiseres af naive mennesker, der ikke er klar over alle risiciene, på trods af at det kan synes profitabelt og let.

Den episke kamp mellem anti-svindel og svindlere

Vi vil fortælle, hvilke skridt vi tog i de første måneder af 2020 for at beskytte vores brugere, og hvordan svindlerne reagerede.

Den primære metric, vi brugte til at vurdere effektiviteten af vores arbejde, var antallet af henvendelser til support angående betalingen til svindleren. Størstedelen af svindelannoncer bliver blokeret, før de når hjemmesiden. Men da stort set al handel gik online, oplevede vi en bølge af henvendelser. Denne information bekræftes også af bankerne: i april og maj udsendte de massivt advarsler om stigende svindel ved onlinekøb.

For at få hurtig feedback på nye værktøjer infiltrerede en person fra vores team adskillige lukkede grupper af svindlere. I en af dem gennemgik han en jobsamtale som udvikler og fik adgang til koden for svindel-bots samt kom ind i gruppen af organiserende svindlere. Takket være dette har vi altid haft friske informationer fra første hånd.

Forståelse af risiciene ved starten af lockdownen gjorde, at vi begyndte arbejdet før den aktive stigning i henvendelser. En af de første tekniske foranstaltninger var implementeringen af anti-hacking for at redde brugernes konti fra kriminelles kløer. Derfor, ved korrekt indtastning af brugernavn og password, men med en mistænkelig geografisk placering, bad vi om en kode fra en sms, der blev sendt til kontoens ejer. Som svar begyndte svindlerne at registrere flere selvstændige konti. Det er en fordel for os - nye sælgerkonti giver mindre tillid.

Derefter begyndte vi at advare brugerne om at klikke på mistænkelige links i messenger. På denne måde sænkede vi antallet af klik med en tredjedel, men det havde næsten ingen indflydelse på vores hovedmetrik: dem, der blev svindlet, blev ikke stoppet af nogen advarsler.

Vi indførte en whitelist af links. Vi stoppede med at fremhæve ukendte links i Avito-messaging, og det er ikke længere muligt at klikke på dem. Ved kopiering af mistænkelige links blev der også vist en advarsel. Denne løsning har positivt påvirket vores metrik for første gang.

Vi begyndte aktivt at straffe for overførsel af mistænkelige links i Avito-messaging ved at blokere eller afvise sælgernes annoncer. Som svar begyndte svindlere at føre brugerne væk fra vores chat til andre messaging-apps. Så introducerede vi en advarsel om ikke at flytte til en anden messaging-app, hvis vi så omtale af den i chatten. Denne funktion startede med søgning via regulære udtryk, hvorefter vi skiftede til en ML-model.

Så begyndte svindlerne at føre brugerne til deres e-mail. For at gøre dette havde de brug for det samme som vi alle har - tillid. De begyndte at sende potentielle ofre billeder, hvor Avito angiveligt anmoder om køberens e-mail. Dette er en bedrageri - vi har ikke brug for købernes e-mail.

Her påstår vores support, at leveringen kræver køberens e-mail.

Og her ser det ud til, at der er kommet et nyt felt til indtastning af e-mailadresse i vores interface.

Mens en falsk link kunne skelnes af nogen, er det let at forfalske en e-mail, og den giver mere tillid. Vi begyndte at fjerne meddelelser med e-mail og vise brugeren en advarsel om farerne ved denne handling. Hvis brugeren efter advarslen sender e-mailen igen, fjerner vi den ikke længere.

Svindlerne begyndte at bede købere om at sende deres e-mailadresse i flere beskeder eller ved at erstatte symbolet @ med et andet. Så begyndte vi at vise en advarsel allerede ved anmodning om e-mail. Kombinationen af disse foranstaltninger har næsten helt forhindret, at brugerne forlader messaging til e-mail.

Vores nuværende mekanik er ret effektiv, men ikke brugervenlig. Meddelelsen med e-mailen bliver helt fjernet, og der er ofte anden tekst i den. Men dette var den hurtigste og billigste løsning at udvikle. Vi overvejer, hvordan vi kan redesigne og forbedre den.

En af vores seneste initiativer er at ringe til nummeret. Som regel lever de numre, som svindlere registrerer konti på, ikke længe. Vi ringer til sælgerens nummer, efter at annoncen er sendt ind på Avito. Hvis det ikke lykkes at komme igennem, bliver annoncen afvist af moderationen. Svindlere er begyndt at ændre telefonnummeret umiddelbart før offentliggørelsen, så vi kan nå at ringe, mens det stadig er tilgængeligt.

Her er tilbagemeldingen fra en svindler

I mistænkelige tilfælde sænker vi annoncers prioritet i visningen og fjerner dem fra anbefalingerne. Vi indfører også en forsinkelse i visningen på op til 48 timer, så vi med sikkerhed kan tjekke alt grundigt og give svindlerne lidt mere besvær.

Dette er kun toppen af isbjerget, der findes mange flere former for svindel

Desværre er det umuligt at beskrive alle former for svindel i en enkelt artikel. Da vi blev klar over indførelsen af selvisolering, var det straks klart, at svindlere, der tjente penge offline, ville bevæge sig online. De ønsker jo ikke at ændre deres adfærdsmønstre i flere måneder og blive ordentlige borgere. Dette førte til en ægte svindelbølge på alle online platforme og pr. telefon.

Blandt svindeltyperne findes sjældne og endda sjove. For eksempel her, hvor svindleren lader som om han er en robot for at reducere omkostningerne ved kommunikation:

Selvom antallet af svindlere på Avito falder fra dag til dag, og der på landsplan gennemføres razziaer, hvor politiet finder dem, på trods af proxy og VPN, arrestere dem og bringe dem til fængsel i op til 2 år for bedrag på 2500–5000 rubler, er det helt umuligt at kvitte sig med svindel.

Vi vil ikke offentliggøre andre ideer og innovationer for at undgå at lette arbejdet for svindlerne. Vi forstår, at denne kamp vil fortsætte. Vores opgave er at gøre livet så besværligt som muligt for svindlerne, at gøre denne form for aktivitet på vores platform simpelthen ufordelagtig og alt for farlig, samtidig med at vi minimal berører gode brugere.

Resultaterne af arbejdet

Her er grafen over henvendelser til support vedrørende svindel i levering. I de seneste uger har den holdt sig på et stabilt lavt niveau:

Hvordan man undgår at blive svindlet

Snyltere er en skefuld tjære i en tønde med fordelagtige tilbud. For altid at forblive sikker, er det tilstrækkeligt at følge disse regler:

1. Del ikke følsomme oplysninger. Ingen: Fulde navn, telefonnummer, adresse, e-mail, fødselsdato og -sted, oplysninger om familie og indtægter, kortoplysninger, kontakter i andre messenger-apps. Tal aldrig koder fra sms'er og push-beskeder.
2. Før al kommunikation udelukkende inden for vores messenger, så kan vi advare dig i tilfælde af fare.
3. Tjek sælgerens vurdering og profilens alder. Mistænkelige indikeres ved lave priser, en ny registreringsdato på siden og negative anmeldelser.
4. Hvis knappen ‘Køb med levering’ ikke er aktiv, er der ingen levering af varer gennem pålidelige Avito-partnere. Andre leveringsmetoder – altid en risiko.
5. Klik ikke på links. Et betalingslink eller et link til at modtage penge skal komme som et systemmeddelelse i Avitos indbyggede messenger. Det rigtige link begynder altid med domænet www.avito.ru. Enhver anden kombination af ord og symboler – svindel.
6. Skynd dig ikke, og foretag alle køb med et klart sind. Vær opmærksom på enhver detalje. Snyltere presser ofte potentielle købere og truer med at sælge varen til en anden. Ærlige sælgere er åbne og klar til yderligere spørgsmål.
7. Overfør ikke forskud for nogen tjenester, hvis du ikke er sikker på sælgeren.
8. Installer ikke nogen tredjepartsudvidelser og programmer.
9. Hvis du ser en mistænkelig profil eller annonce – skriv til vores support. Vi vil tjekke sælgeren. Det er bedst ikke at stole på nogen online og lave yderligere kontroller.

Kilde: habr.com