Wie Avito Betrüger erkennt und gegen Betrug vorgeht

Hallo, Habr. Ich bin Igor, der Leiter des Teams, das gegen Betrüger auf Avito kämpft. Heute sprechen wir über den ewigen Kampf gegen die Bösewichte, die versuchen, Internetkäufer mit gefälschten Lieferdiensten auszutricksen.

Wir kämpfen schon lange gegen Betrug. Die heutigen Betrüger täuschen Menschen, indem sie die Oberflächen und Funktionen von Online-Handelsplattformen nachahmen. Sie erfinden zum Beispiel Lieferbetrug auf Marktplätzen.

Im Januar 2020 erschienen im Internet sogar fertige Anleitungen für Betrüger sowie alle notwendigen Werkzeuge. Die Selbstisolierung hat die Situation weiter angeheizt: Diejenigen, die früher auf der Straße oder in Wohnungen betrogen und gestohlen haben, mussten ins Internet wechseln. Vielleicht haben auch Sie in letzter Zeit verstärkt Anrufe oder Nachrichten in Messengern, SMS und E-Mails von den gleichen "Betrügern" erhalten. Sie geben sich als Mitarbeiter von Banken und Strafverfolgungsbehörden, entfernten Verwandten oder Notaren aus. Schreiben Sie in die Kommentare, mit welcher Art von Betrug Sie zuletzt konfrontiert wurden.

Typische Betrugsmaschen

Das gängigste Schema für den Betrug mit Warenlieferungen sieht folgendermaßen aus:

1. Der Betrüger veröffentlicht eine Anzeige mit einem beliebten Produkt der Mittelpreisklasse. Zum Beispiel mit dem Verkauf von Elektrorollern – im Sommer sind sie sehr gefragt.
2. Er versucht auf verschiedene Weisen, den potenziellen Käufer zur Lieferung zu überreden. Die Vorwände können vielfältig sein: Ich bin während der Pandemie aus der Stadt gefahren oder bin einfach zu beschäftigt, um zu einem Treffen zu kommen.
3. Nachdem er Zustimmung erhalten hat, sendet der Betrüger einen gefälschten Zahlungslink. Die Seite, die über den Link erreichbar ist, ähnelt dem Standardformular von Avito.
4. Das Opfer bezahlt die Einkäufe und verabschiedet sich von seinem Geld.
5. Der Betrüger versucht, mehr Geld zu verdienen, indem er anbietet, die Zahlung zurückzuerstatten. Er schickt dem Käufer ein neues Formular für die Rückerstattung, aber in Wirklichkeit belastet er das Geld erneut. Die Rückgabeseite ist dieselbe wie die Zahlungsseite, aber der Text auf der Schaltfläche wurde von „bezahlen“ auf „rückerstatten“ geändert.

Unten finden Sie ein Beispiel für eine gefälschte Seite, die von Betrügern verschickt werden kann. Die Domain ahmt Avito nach, und die Seite ähnelt einem Bestellformular eines Online-Shops. Gefälschte Seiten nutzen oft das HTTPS-Protokoll, wodurch sich diese nicht leicht identifizieren lassen. Nachdem der Benutzer seine Daten eingegeben hat, gelangt er auf eine Zahlungsseite, auf der er seine Bankkartendaten eingeben soll.

Gefälschte Zahlungsseiten und Rückerstattungsseiten

Wir blockieren verdächtige Verkäufer. Daher müssen Betrüger ständig neue Konten auf Avito erstellen, um solche Operationen durchzuführen. Sie registrieren diese entweder selbst mithilfe von SMS auf einer temporären virtuellen Nummer oder erwerben gestohlene Konten. Eine virtuelle SIM-Karte kostet ab 0,60 Rubel, ein fremdes Konto auf dem Graumarkt ab 10 Rubel. Die Ausgaben dafür sind bei weitem geringer als selbst einmalige Einnahmen durch den Betrug von Nutzern.

Das war Avito Scam 1.0, aber es gibt inzwischen bereits Versionen 2.0, 3.0 und sogar 4.0. Das sind nicht unsere Bezeichnungen – sie werden von den Betrügern selbst verwendet.

Es werden nicht nur Käufer, sondern auch Verkäufer betrogen. Das zweite Schema sieht wie folgt aus:

1. Der Käufer hat angeblich Geld über einen sicheren Deal gesendet.
2. Er schickt dem Verkäufer einen gefälschten Link, über den dieser seine Zahlung erhalten kann.
3. Der Verkäufer gelangt auf eine Seite, die nach den Daten seiner Karte fragt, und am Ende wird der Betrag von seinem Konto abgebucht.

Schema Scam 3.0 funktioniert so:

1. Der Verkäufer veröffentlicht Anzeigen mit aktivierter Lieferung über Avito.
2. Wenn der Käufer das Produkt bezahlt, sendet der Betrüger ihm einen Screenshot, auf dem Avito angeblich um einen Bestätigungscode bittet.
3. Mit Hilfe des Codes gelangt der Verkäufer in das Benutzerkonto. Im Profil des Käufers setzt der Betrüger ein Häkchen, als ob dieser das Produkt erhalten hätte. Der Käufer bleibt ohne Geld und ohne Ware.

Und Schema 4.0 ist folgendermaßen aufgebaut:

1. Der Käufer tut so, als hätte er das Produkt bezahlt, und sendet einen gefälschten Beleg. Die Belege werden an beliebige Orte gesendet: an die E-Mail oder in externe Messenger. Es hängt davon ab, welche Kontaktinformation der Verkäufer dem Betrüger gegeben hat.
2. Der Verkäufer erhält eine SMS, die sich als Gutschrift von der Bank ausgibt.
3. Nach wenigen Minuten schreibt der Käufer, dass ihm ein Produkt eines anderen Verkäufers besser passen würde, und bittet um eine Rückerstattung. Oft wird das Argument "Geben Sie es zurück, Sie sind doch kein Betrüger" verwendet. Der Verkäufer überweist dem Käufer den Betrag, aber aus eigener Tasche, da keine Zahlung erfolgt ist.

Auf was Betrüger Druck ausüben

Fünf der häufigsten Kontexte, in denen Menschen in die Fänge von Betrügern geraten:

1. Einzigartiges Verkaufsangebot. Preis oder Produkt heben sich vorteilhaft von anderen Angeboten ab.
2. Hype. Der Verkäufer hat mehrere Interessenten für das Produkt, daher zwingt er zur Vorauszahlung.
3. Dringlichkeit. Der Käufer bietet an, das Produkt um jeden Preis sofort zu kaufen, und bittet um alle Daten der Kreditkarte, um Geld zu überweisen.
4. Gutherzigkeit. Der Betrüger bittet um Hilfe beim Kauf des Produkts: Zum Beispiel hat der Käufer gesundheitliche Probleme oder kann das Produkt nicht persönlich abholen. Der Betrüger verlangt die Kartendaten, um Geld zu überweisen, und das Produkt würde angeblich von einem Kurier abgeholt.
5. Verschiedene Orte und Städte. In diesem Fall ist die Vorauszahlung eine zwingende Voraussetzung für den Deal, was ein enormes Betätigungsfeld für Betrüger öffnet.

Schema «Arbeitsweise» von Betrügern

An dem betrügerischen Schema sind drei Gruppen von Personen beteiligt: Worker, Support, TS.

Worker, vom Wort 'worker', stellen die größte Gruppe dar, hauptsächlich Schüler und Studenten. Sie erstellen eigenständig Konten auf Avito und suchen nach Opfern, die sie 'Mamuts' nennen. Mithilfe sozialer Ingenieurskunst überzeugen sie die Opfer, etwas zu bezahlen, und senden einen gefälschten Link. Wenn das Opfer das 'Produkt' bezahlt, besteht die Aufgabe der Worker darin, das Opfer mit Unterstützung des Supports auf eine Rückerstattung zu lenken, indem sie auf einen technischen Fehler hinweisen.

Support sind Personen, die für ein festes Einkommen den neuen Workern helfen, Nutzer zu betrügen. Sie geben Ratschläge, empfehlen 'profitablen' Waren und sind oft bereit, gegen eine Provision zusätzliche Dienstleistungen anzubieten, beispielsweise einen Pass in Photoshop vorzubereiten, das Opfer anzurufen oder ihm im Namen des technischen Supports zu schreiben.

TS, abgekürzt für Topic Starter in Schattenforen, wo ursprünglich Worker eingestellt wurden, fungieren im Wesentlichen als Organisatoren. Sie laden Software herunter oder kaufen sie, die aus zwei Teilen besteht:

1. Ein Telegram-Bot, der das Hauptinstrument von Betrügern darstellt. Hier kann man einen gefälschten Link zu einem Produkt erhalten und Benachrichtigungen über Klicks oder Zahlungen bekommen.
2. Die Webversion, die für die Anzeige der Zahlungs-/Rückgabe-/Geldannahmeseite verantwortlich ist. Sie ist auch mit dem Zahlungssystem verbunden, das die Zahlungen annimmt.

Die Organisatoren verdienen an einem Prozentsatz jeder Überweisung des Opfers, den sie als Gewinn bezeichnen. Daher werben sie aktiv für ihr Projekt und bezahlen einen Support, der Neulinge schult. Alle Kosten für den Erwerb neuer Domains und Karten, auf die das Geld eingeht, tragen sie ebenfalls.

Nachdem wir die Quellcodes vieler betrügerischer Skripte untersucht haben, sind wir zu dem Schluss gekommen, dass die meisten in PHP geschrieben sind, jedoch auf einem sehr schlechten Niveau. Fast alle Skripte sammeln Informationen über ihre Nutzer, einschließlich der Arbeiter. Eine der Vermutungen, warum sie dies tun, ist, dass, wenn die Strafverfolgungsbehörden den Organisator erreichen, er mit der Ermittlungsbehörde kooperiert und versucht, die Strafe durch die Offenlegung der Arbeiter möglichst zu mildern.

Neben Skripten verwenden Betrüger auch Bomber. Das sind Bots, die es ermöglichen, das Telefon mit SMS und Anrufen zu überfluten. Bomber funktionieren so: Sie besuchen verschiedene Websites und verlangen die Registrierung oder das Zurücksetzen des Passworts über die Telefonnummer. In der Regel verbinden Betrüger ihre Opfer für 2 bis 72 Stunden. Das ist ein wichtiger Grund, seine Telefonnummer nicht im Internet offenzulegen.

Einige Betrüger-Teams engagieren auch Entwickler, die Verbesserungen für den Bot oder die Website vornehmen. Zum Beispiel integrieren sie ein Bewertungssystem für Arbeiter oder schützen die Skripte vor Sicherheitslücken, die in den kostenlosen Versionen vorhanden sind. Doch im Streben nach schnellem Gewinn kann das Team die gesamten Einnahmen für sich behalten und seine eigenen Arbeiter betrügen. Dabei gibt es eine Gruppe von Leuten, die selbst an den Betrügern verdienen, indem sie ihnen verschiedene Dienstleistungen verkaufen.

Das durchschnittliche Tagesgehalt eines ausführenden Betrügers beträgt 20.000 Rubel, während das eines organisierenden Betrügers 200.000 Rubel beträgt. Es ist wichtig zu bedenken: Trotz der scheinbaren Straflosigkeit und Profitabilität des "Geschäfts" fällt all diese Tätigkeit unter Artikel 159 des Strafgesetzbuches der Russischen Föderation.. Betrüger werden festgenommen und erhalten reale Haftstrafen, selbst in Fällen, in denen der Betrug Schäden von 5.000 bis 7.000 Rubel verursacht hat.

Alle uns vorliegenden Informationen über Betrugsfälle leiten wir an die Strafverfolgungsbehörden weiter. Wir sind überzeugt, dass unsere Leser, trotz der scheinbaren Rentabilität und Leichtigkeit solcher Machenschaften, verstehen, dass Betrug nur von Menschen betrieben wird, die nicht alle Risiken erkennen.

Epischer Kampf zwischen Antibetrug und Betrügern

Wir werden erläutern, welche Maßnahmen wir in den ersten Monaten des Jahres 2020 ergriffen haben, um unsere Nutzer zu schützen, und wie die Betrüger darauf reagierten.

Die Hauptmetrik, die wir zur Bewertung der Effektivität herangezogen haben, ist die Anzahl der Supportanfragen im Zusammenhang mit der an Betrüger gezahlten Lieferung. Den Großteil der betrügerischen Anzeigen blockieren wir, bevor sie auf die Website gelangen. Doch als praktisch der gesamte Handel online stattfand, haben wir einen Anstieg bei den Anfragen festgestellt. Diese Information wird auch von den Banken bestätigt: Im April und Mai versandten sie massenhaft Warnungen über den Anstieg von Betrug bei Online-Käufen.

Um schnellen Rückfluss zu neuen Tools zu erhalten, hat sich ein Mitglied unseres Teams in Dutzende geschlossene Gruppen von Betrügern eingeschleust. In einer dieser Gruppen wurde er zum Entwickler interviewt und erhielt Zugang zu den Quellcodes von Scam-Bots sowie zu einer Gruppe von Organisatoren. Dadurch hatten wir immer frische Informationen aus erster Hand.

Um die Risiken durch den Beginn der Selbstisolation zu verstehen, haben wir begonnen, Maßnahmen zu ergreifen, bevor die Anfragen aktiv anstiegen. Eine der ersten technischen Maßnahmen war die Implementierung von Anti-Hack-Maßnahmen, um Benutzerkonten aus den Händen von Tätern zu retten. Bei korrekter Eingabe von Benutzername und Passwort aber einer verdächtigen Geoposition forderten wir einen Code aus einer SMS an, der an den Kontoinhaber gesendet wurde. Als Antwort begannen die Betrüger, mehr eigene Konten zu registrieren. Das kommt uns zugute – frische Verkäuferkonten wecken bei allen weniger Vertrauen.

Wir haben begonnen, Nutzer über den Besuch von verdächtigen Links in Messaging-Diensten zu warnen. Dadurch konnten wir die Anzahl der Klicks um ein Drittel reduzieren, jedoch hatte dies kaum Auswirkungen auf unsere Hauptkennzahl: Warnungen hielten diejenigen, die von Betrügern getäuscht wurden, nicht ab.

Daraufhin haben wir eine Whitelist für Links eingeführt. Wir haben aufgehört, unbekannte Links in der Messaging-Anwendung von Avito hervorzuheben; ein Klick darauf ist nicht mehr möglich. Beim Kopieren eines verdächtigen Links wurde ebenfalls eine Warnung angezeigt. Diese Maßnahme wirkte sich erstmals positiv auf unsere Kennzahlen aus.

Wir haben aktiv bestraft, wenn verdächtige Links in der Avito-Messaging-Anwendung weitergegeben wurden: Wir sperrten oder wiesen die Anzeigen von Verkäufern zurück. In der Folge begannen Betrüger, Nutzer aus unserem Chat in externe Messenger zu locken. Daher haben wir eine Warnung eingeführt, die rät, nicht zu einem anderen Messenger zu wechseln, wenn wir dessen Erwähnung im Chat bemerken. Diese Funktion startete mit einer Suche durch reguläre Ausdrücke, die wir dann durch ein ML-Modell ersetzt haben.

Dann begannen die Betrüger, die Nutzer auf ihre E-Mail zu lenken. Dafür benötigten sie dasselbe, was auch wir brauchen – Vertrauen. Sie fingen an, potenziellen Opfern Bilder zu schicken, auf denen Avito angeblich die E-Mail-Adresse des Käufers anfordert. Das ist ein Betrug – wir benötigen die E-Mail-Adressen der Käufer nicht.

Hier scheint unser Support angeblich zu antworten, dass für die Lieferung die E-Mail-Adresse des Käufers nötig sei.

Und hier scheint in unserem Interface ein neues Feld für die Eingabe der E-Mail aufgetaucht zu sein.

Wenn jemand noch den gefälschten Link unterscheiden konnte, lässt sich ein E-Mail leicht hochwertig fälschen, was mehr Vertrauen erweckt. Wir begannen damit, die Nachricht mit der E-Mail zu löschen und dem Benutzer eine Warnung vor der Gefährlichkeit dieser Vorgehensweise anzuzeigen. Wenn der Benutzer nach der Warnung die E-Mail erneut sendet, löschen wir sie nicht mehr.

Betrüger forderten Käufer auf, ihre E-Mail-Adresse in mehreren Nachrichten zu senden oder das Zeichen @ durch ein anderes zu ersetzen. Daraufhin begannen wir, bereits bei der Anfrage nach der E-Mail eine Warnung auszugeben. Dieses Maßnahmenpaket hat es ermöglicht, den Übergang der Nutzer zur E-Mail aus dem Avito-Messenger nahezu vollständig zu verhindern.

Unsere derzeitige Mechanik ist zwar effizient, aber nicht benutzerfreundlich. Die E-Mail wird vollständig gelöscht, und oft enthält sie auch anderen Text. Aber das war die schnellste und kostengünstigste Lösung in der Entwicklung. Wir denken darüber nach, wie wir es umgestalten und verbessern können.

Eine unserer letzten Initiativen ist das Anrufen der Nummer. In der Regel leben die Nummern von Betrügern, auf die sie Konten registrieren, nicht lange. Wir rufen die Nummer des Verkäufers nach der Anzeige auf Avito an. Wenn wir niemanden erreichen, wird die Anzeige von der Moderation abgelehnt. Betrüger haben begonnen, die Telefonnummer kurz vor der Veröffentlichung zu ändern, damit wir anrufen können, solange sie noch verfügbar ist.

Hier ist das Feedback vom Betrüger.

In verdächtigen Fällen reduzieren wir die Priorität der Anzeige im Ranking und entfernen sie aus den Empfehlungen. Dabei setzen wir eine Verzögerung von bis zu 48 Stunden in der Anzeige ein, um alles sorgfältig zu überprüfen und den Betrügern ein wenig mehr Unannehmlichkeiten zu bereiten.

Das ist nur die Spitze des Eisbergs, es gibt viel mehr Arten von Betrug.

Leider ist es unmöglich, alle Arten von Betrug in einem einzigen Artikel zu beschreiben. Als wir von der Einführung des Selbstisolierungsmodus erfuhren, wurde sofort klar, dass die Betrüger, die zuvor offline tätig waren, ins Internet flüchten würden. Sie werden ihre Verhaltensmuster nicht für mehrere Monate ändern und zu rechtschaffenen Bürgern werden. Dies führte zu einem regelrechten Boom an Betrug auf allen Online-Plattformen und über das Telefon.

Unter den Arten von Betrug gibt es einige seltene und sogar amüsante. Zum Beispiel gibt es Betrüger, die sich als Roboter ausgeben, um die Kommunikationskosten zu senken:

Obwohl die Anzahl der Betrüger auf Avito mit jedem Tag abnimmt und im ganzen Land Razzien stattfinden, bei denen die Sicherheitsbehörden sie trotz Proxys und VPNs fassen, verhaften und sie zu tatsächlichen Haftstrafen von bis zu 2 Jahren für Betrügereien in Höhe von 2500 bis 5000 Rubel führen, ist es unmöglich, den Betrug vollständig zu beseitigen.

Wir werden keine anderen Ideen und Neuerungen öffentlich besprechen, um Betrügern nicht die Arbeit zu erleichtern. Wir verstehen, dass dieser Kampf weitergehen wird. Unsere Aufgabe ist es, den Betrügern das Leben so schwer wie möglich zu machen und diese Art von Aktivitäten auf unserer Plattform unprofitabel und zu gefährlich zu gestalten, während wir gleichzeitig die guten Nutzer nur minimal beeinträchtigen.

Ergebnisse der Arbeit

Hier ist das Diagramm der Unterstützungsanfragen zu Betrug im Versand. In den letzten Wochen bleibt es auf einem stabil niedrigen Niveau:

Wie man kein Opfer von Betrügern wird

Betrüger sind ein negativer Aspekt in einem Fass voller verlockender Angebote. Um immer sicher zu bleiben, reicht es aus, die folgenden Regeln zu befolgen:

1. Teilen Sie keine sensiblen Daten. Überhaupt keine: Name, Telefonnummer, Adresse, E-Mail, Geburtsdatum und -ort, Informationen über die Familie und Einkommen, Kartendaten, Kontakte in anderen Messengern. Nennen Sie niemals Codes aus SMS und Push-Benachrichtigungen.
2. Führen Sie alle Kommunikationen nur innerhalb unseres Messengers, dann können wir Sie im Falle einer Gefahr rechtzeitig warnen.
3. Überprüfen Sie die Verkäuferbewertung und das Alter des Profils. Verdächtig sind niedrige Preise, ein kürzliches Registrierungsdatum auf der Website und negative Bewertungen.
4. Wenn der Button „Mit Lieferung kaufen“ nicht aktiv ist, gibt es keine Lieferung des Produkts durch geprüfte Partner von Avito. Andere Versandmethoden sind immer riskant.
5. Klicken Sie nicht auf Links. Der Link zur Bezahlung oder zur Geldüberweisung sollte als systemnachricht im integrierten Messenger von Avito eintreffen. Ein echter Link beginnt immer mit der Domain www.avito.ru. Alle anderen Kombinationen von Wörtern und Symbolen sind Betrug.
6. Beeilen Sie sich nicht und tätigen Sie alle Einkäufe mit einem klaren Kopf. Achten Sie auf alle Details. Betrüger setzen potenzielle Käufer oft unter Druck und drohen, das Produkt an jemand anderen zu verkaufen. Ehrliche Verkäufer sind loyal und bereit für zusätzliche Fragen.
7. Überweisen Sie keine Vorauszahlungen für Dienstleistungen, wenn Sie sich nicht sicher sind, dass der Verkäufer vertrauenswürdig ist.
8. Installieren Sie keine fremden Erweiterungen und Programme.
9. Wenn Sie ein verdächtiges Profil oder eine verdächtige Anzeige sehen, schreiben Sie uns an unseren Support. Wir werden den Verkäufer überprüfen. Vertrauen Sie im Internet niemandem und führen Sie zusätzliche Überprüfungen durch.

Quelle: habr.com