Wie Avito Betrüger identifiziert und gegen Betrug kämpft

Hallo, Habr. Ich bin Igor, der Leiter des Teams, das gegen Betrüger auf Avito kämpft. Heute sprechen wir über den ewigen Kampf gegen die Übeltäter, die versuchen und manchmal tatsächlich Internetkäufer durch die Lieferung von Waren zu betrügen.

Wir kämpfen schon lange gegen Betrug. Heutige Betrüger täuschen Menschen, indem sie die Schnittstellen und Funktionen von Online-Handelsplattformen imitierten. Zum Beispiel erfinden sie Liefer-Schemas für Marktplätze.

Im Januar 2020 tauchten im Internet komplette Anleitungen für Betrüger und alle notwendigen Werkzeuge auf. Daraufhin hat die Selbstisolierung das Ganze verschärft: Diejenigen, die früher auf der Straße und in Wohnungen betrogen und gestohlen haben, mussten ins Internet wechseln. Möglicherweise erhalten auch Sie in letzter Zeit viele Anrufe, Nachrichten über Messenger, SMS und E-Mails von den besagten 'Betrügern'. Sie stellen sich als Mitarbeiter von Banken und Strafverfolgungsbehörden, entfernte Verwandte oder Notare vor. Schreiben Sie in die Kommentare, mit welcher Art von Betrug Sie zuletzt konfrontiert wurden.

Standardbetrugs-Schemas

Das am weitesten verbreitete Betrugsschema bei der Warenlieferung sieht folgendermaßen aus:

1. Der Betrüger veröffentlicht eine Anzeige mit einem beliebten Produkt aus der mittleren Preiskategorie. Zum Beispiel mit dem Verkauf eines Elektro-Scooters - im Sommer sind sie beliebt.
2. Er überredet den potenziellen Käufer mit allen möglichen Mitteln zur Lieferung. Die Ausreden können verschieden sein: Ich bin während der Pandemie aus der Stadt weg oder bin einfach zu beschäftigt und kann nicht zum Treffen kommen.
3. Nachdem er Zustimmung erhalten hat, sendet der Betrüger einen gefälschten Link zur Zahlung. Die Seite über den Link sieht aus wie das Standard-Zahlungsformular von Avito.
4. Das Opfer bezahlt die Käufe und verabschiedet sich von seinem Geld.
5. Der Betrüger versucht, mehr Geld zu verdienen, indem er anbietet, die Zahlung zurückzuerstatten. Er sendet dem Käufer ein neues Formular für die Rückerstattung, aber in Wirklichkeit zieht er das Geld noch einmal ab. Die Rückgabeseite ist dieselbe wie die Zahlungsseite, jedoch wurde der Text auf dem Button von 'bezahlen' auf 'zurückgeben' geändert.

Unten ist ein Beispiel für eine gefälschte Seite, die ein Betrüger senden kann. Die Domain ahmt Avito nach, und die Seite sieht aus wie die Bestellseite eines Online-Shops. Gefälschte Seiten sind oft im https-Protokoll, wodurch sie sich nicht leicht unterscheiden lassen. Nach Eingabe der Daten gelangt der Nutzer zur Zahlungsseite, auf der er aufgefordert wird, die Bankkartendaten einzugeben.

Gefälschte Zahlungsseiten für Waren und Rückerstattungen

Wir blockieren verdächtige Verkäufer. Daher müssen Betrüger, um solche Geschäfte durchzuführen, ständig neue Konten auf Avito erstellen. Entweder registrieren sie diese selbständig mit Hilfe einer SMS an eine temporäre virtuelle Nummer oder kaufen gestohlene Konten. Eine virtuelle SIM-Karte kostet ab 60 Kopeken, ein fremdes Konto auf dem Schattenmarkt – ab 10 Rubel. Die Kosten für beides sind ungleich geringer als der einmalige Gewinn aus dem Betrug gegenüber den Nutzern.

Das war Avito Scam 1.0, aber es sind bereits Versionen 2.0, 3.0 und sogar 4.0 erschienen. Das sind nicht unsere Bezeichnungen – die verwenden die Betrüger selbst.

Sie betrügen nicht nur Käufer, sondern auch Verkäufer. Das zweite Schema sieht folgendermaßen aus:

1. Der Käufer hat angeblich Geld über einen sicheren Deal geschickt.
2. Er schickt dem Verkäufer einen gefälschten Link, über den dieser die Zahlung erhalten kann.
3. Der Verkäufer gelangt auf eine Seite, die nach seinen Kartendaten fragt, und schließlich wird der Betrag von seinem Konto abgebucht.

Das Schema Scam 3.0 funktioniert so:

1. Der Verkäufer veröffentlicht Anzeigen mit aktiviertem Versand über Avito.
2. Wenn der Käufer die Ware bezahlt, sendet der Betrüger ihm einen Screenshot, auf dem Avito angeblich um einen Bestätigungscode bittet.
3. Mit dem Code greift der Verkäufer auf das Benutzerkonto des Käufers zu. Im Profil des Käufers setzt der Betrüger ein Häkchen, als ob dieser die Ware erhalten hätte. Der Käufer bleibt ohne Geld und ohne Ware.

Und das Schema 4.0 funktioniert wie folgt:

1. Der Käufer tut so, als hätte er die Ware bezahlt, und sendet einen gefälschten Beleg. Belege werden an beliebige Stellen gesendet: an die E-Mail oder in einen externen Messenger. Es hängt davon ab, welche Kontaktinformationen der Verkäufer dem Betrüger gegeben hat.
2. Der Verkäufer erhält eine SMS, die als Einzahlung von der Bank getarnt ist.
3. Nach ein paar Minuten schreibt der Käufer, dass ein Produkt eines anderen Verkäufers besser für ihn geeignet sei, und fordert eine Rückerstattung. Häufig wird das Argument "Geben Sie es zurück, Sie sind doch kein Betrüger" angeführt. Der Verkäufer überweist dem Käufer den Betrag, jedoch aus eigener Tasche, da keine Zahlung erfolgt ist.

Worauf Betrüger drängen

Fünf der häufigsten Kontexte, in denen Menschen in die Fänge von Betrügern geraten:

1. Einzigartiges Verkaufsangebot. Der Preis oder das Produkt weicht vorteilhaft von anderen Angeboten ab.
2. Hype. Der Verkäufer hat mehrere Interessenten für das Produkt, daher zwingt er zur Vorauszahlung.
3. Dringlichkeit. Der Käufer bietet an, das Produkt sofort für beliebiges Geld zu kaufen und fordert alle Bankkartendaten, um das Geld zu überweisen.
4. Gutmütigkeit. Der Betrüger bittet um Hilfe beim Kauf des Produkts: Zum Beispiel hat der Käufer gesundheitliche Probleme oder kann das Produkt nicht persönlich abholen. Der Betrüger fordert Kartendaten an, um das Geld zu überweisen, und gibt vor, dass ein Kurier das Produkt abholen wird.
5. Verschiedene Orte und Städte. In diesem Fall ist die Vorauszahlung Bedingung für den Abschluss des Geschäfts, was ein großes Betätigungsfeld für Betrüger eröffnet.

Das Schema der "Arbeit" von Betrügern

An dem betrügerischen Schema sind drei Gruppen von Personen beteiligt: Arbeiter, Support, TS.

Arbeiter, vom Wort worker, sind die zahlreichste Gruppe, hauptsächlich Schüler und Studenten. Sie erstellen selbstständig Konten auf Avito und suchen nach Opfern, die 'Mammuts' genannt werden. Dann überzeugen sie mit Hilfe von sozialen Ingenieurtechniken die Opfer, etwas zu bezahlen, und senden einen gefälschten Link. Wenn das Opfer das "Produkt" bezahlt, besteht die Aufgabe der Arbeiter darin, mit Hilfe des Supports das Opfer zur Rückerstattung zu bewegen, indem sie auf einen technischen Fehler hinweisen.

Support sind Menschen, die für ein festes Einkommen den neuen Arbeitern helfen, Benutzer zu betrügen. Sie geben Ratschläge, empfehlen "lukrative" Produkte und sind oft bereit, für einen bestimmten Prozentsatz des betrügerischen Geschäfts auch andere Dienstleistungen anzubieten, wie z.B. einen Ausweis in Photoshop zu erstellen, das Opfer anzurufen oder ihm im Namen des technischen Supports zu schreiben.

TS, von Topic Starter auf den Schattenforen, wo ursprünglich die Arbeiter angeheuert wurden, sind im Grunde die Organisatoren. Sie laden Software herunter oder kaufen sie, die aus zwei Teilen besteht:

1. Ein Telegram-Bot, der das Hauptwerkzeug der Betrüger ist. Dort kann man einen gefälschten Link zu einem Produkt erhalten, sowie Benachrichtigungen über Umleitungen oder Zahlungen.
2. Webversion, die für die Anzeige der Zahlungs-/Rückerstattungs-/Geldannahme-Seite verantwortlich ist. Außerdem ist ein Zahlungssystem angeschlossen, um Zahlungen zu akzeptieren.

Die Organisatoren verdienen an einem Prozentsatz jeder Überweisung des Opfers, den sie Gewinn nennen. Deshalb bemühen sie sich, ihr Projekt zu bewerben und zahlen Support, damit dieser die Neulinge schult. Alle Kosten, die mit dem Kauf neuer Domains und Karten verbunden sind, auf die das Geld fließt, trägt ebenfalls der Organisator.

Nach der Überprüfung der Quellcodes vieler betrügerischer Skripte kamen wir zu dem Schluss, dass die meisten davon in PHP geschrieben sind, jedoch auf sehr niedrigem Niveau. Fast alle Skripte sammeln Informationen über ihre Nutzer, einschließlich der Arbeiter. Eine der Vermutungen, warum sie das tun, besteht darin, dass der Organisator, wenn die Strafverfolgungsbehörden ihn erreichen, mit den Ermittlungen kooperiert und versucht, die Strafe durch die Offenlegung der Arbeiter zu reduzieren.

Neben Skripten nutzen Betrüger auch Bomber. Das sind Bots, die es ermöglichen, Telefone mit SMS und Anrufen zu bombardieren. Bomber funktionieren so: Sie besuchen verschiedene Websites und fordern eine Registrierung oder Passwortwiederherstellung über die Telefonnummer an. Betrüger verbinden sie normalerweise mit ihren Opfern für 2–72 Stunden. Dies ist ein wichtiger Grund, seine Telefonnummer nicht im Internet anzuzeigen.

Einige TS engagieren auch Entwickler, die Verbesserungen für den Bot oder die Website vornehmen. Zum Beispiel fügen sie ein Bewertungssystem für die Arbeiter hinzu oder schützen die Skripte vor Schwachstellen, die in kostenlosen Versionen vorhanden sind. Doch im Streben nach schnellem Gewinn kann TS alle Einnahmen für sich selbst beanspruchen und damit eigene Arbeiter betrügen. Dabei gibt es eine Gruppe von Leuten, die selbst auf die Betrüger setzen und sie für verschiedene Dienstleistungen abzocken.

Das durchschnittliche Tages Einkommen eines ausführenden Betrügers beträgt 20.000 Rubel, während das eines betrügerischen Organisators 200.000 Rubel beträgt. Es ist wichtig, sich daran zu erinnern: Trotz der scheinbaren Straflosigkeit und des Gewinns aus diesem «Geschäft» fällt diese gesamte Tätigkeit unter Artikel 159 StGB RF. Betrüger werden festgenommen und erhalten echte Strafen, selbst in Fällen, in denen der Schaden durch Betrug bei 5–7 Tausend Rubel liegt.

Alle uns vorliegenden Informationen über Betrugsfälle übermitteln wir den Strafverfolgungsbehörden. Wir sind überzeugt, dass unsere Leser trotz der scheinbaren Rentabilität und Leichtigkeit des Schemas verstehen, dass nur unkluge Menschen, die die Risiken nicht erkennen, sich mit Betrug beschäftigen.

Epischer Kampf zwischen Anti-Betrug und Betrügern

Wir erzählen, welche Schritte wir in den ersten Monaten des Jahres 2020 unternommen haben, um unsere Nutzer zu schützen, und wie die Betrüger reagiert haben.

Die Hauptmetrik, an der wir die Effektivität unserer Arbeit gemessen haben, ist die Anzahl der Anfragen an den Support über zahlungspflichtige Betrugs-Lieferungen. Den Großteil der betrügerischen Anzeigen blockieren wir, bevor sie auf die Website gelangen. Doch als der gesamte Handel praktisch ins Internet verlagert wurde, haben wir einen Anstieg der Anfragen verzeichnet. Diese Information wird auch von den Banken bestätigt: Im April und Mai haben sie massenhaft Warnungen über den Anstieg von Betrug bei Online-Einkäufen versendet.

Um rasches Feedback zu neuen Tools zu erhalten, hat sich jemand aus unserem Team in Dutzende geschlossene Gruppen von Betrügern eingeschleust. In einer dieser Gruppen hat er ein Vorstellungsgespräch als Entwickler absolviert und Zugriff auf die Quellcodes von Scam-Bots sowie auf die Gruppe der Organisatoren erhalten. Dank dessen hatten wir immer frische Informationen aus erster Hand.

Das Bewusstsein für die Risiken zu Beginn der Selbstisolierung führte dazu, dass wir bereits vor dem aktiven Anstieg der Anfragen arbeiteten. Eine der ersten technischen Maßnahmen war die Einführung von Anti-Hacking, um die Benutzerkonten aus den Klauen der Täter zu befreien. Dafür haben wir bei richtiger Eingabe von Benutzername und Passwort, aber verdächtiger Geo-Position, einen Code per SMS angefordert, der dem Kontoinhaber zugeschickt wurde. Als Antwort begannen die Betrüger, mehr eigene Konten zu registrieren. Das spielt uns in die Karten – frische Konten von Verkäufern erwecken weniger Vertrauen.

Danach haben wir begonnen, die Nutzer vor dem Klicken auf verdächtige Links in Messengern zu warnen. Dadurch konnten wir die Anzahl der Klicks um ein Drittel reduzieren, aber das hatte kaum Auswirkungen auf unsere Hauptmetrik: Diejenigen, die von Betrügern getäuscht wurden, ließen sich durch keine Warnungen aufhalten.

Dann haben wir eine Whitelist für Links eingeführt. Wir haben aufgehört, unbekannte Links im Avito-Messenger hervorzuheben, und man kann ihnen nicht mehr mit einem Klick folgen. Auch beim Kopieren eines verdächtigen Links wurde eine Warnung angezeigt. Diese Entscheidung hatte erstmals einen positiven Einfluss auf unsere Kennzahlen.

Wir haben begonnen, aktiv gegen die Übertragung verdächtiger Links im Avito-Messenger vorzugehen: Wir blockieren oder lehnen die Angebote der Verkäufer ab. Als Reaktion darauf beginnen Betrüger, Nutzer aus unserem Chat in andere Messenger zu ziehen. Daraufhin haben wir eine Warnung ausgegeben, dass man nicht in einen anderen Messenger wechseln soll, wenn wir dessen Erwähnung im Chat sehen. Diese Funktion startete mit einer Suche nach regulären Ausdrücken, dann haben wir sie durch ein ML-Modell ersetzt.

Daraufhin begannen die Betrüger, Nutzer auf E-Mails umzuleiten. Dafür brauchten sie dasselbe wie wir alle – Vertrauen. Sie begannen, potenziellen Opfern Bilder zu senden, auf denen Avito angeblich die E-Mail-Adresse des Käufers anfordert. Das ist Betrug – die E-Mail-Adressen der Käufer benötigen wir nicht.

Hier antwortet unser Support angeblich, dass für die Lieferung die E-Mail-Adresse des Käufers nötig ist.

Und hier scheint in unserer Benutzeroberfläche ein neues Feld zur Eingabe der E-Mail-Adresse aufgetaucht zu sein.

Wenn jemand den gefälschten Link noch von einem echten unterscheiden konnte, ist es einfach, einen Brief qualitativ zu fälschen, und er weckt mehr Vertrauen. Wir haben angefangen, Nachrichten mit der E-Mail zu löschen und dem Nutzer eine Warnung über die Gefahren einer solchen Handlung anzuzeigen. Wenn der Nutzer nach der Warnung die E-Mail erneut sendet, löschen wir sie bereits nicht mehr.

Betrüger begannen, Käufer zu bitten, die E-Mail-Adresse in mehreren Nachrichten oder mit einem ersetzten @-Symbol zu senden. Daraufhin begannen wir, bereits bei der Anfrage nach der E-Mail eine Warnung anzuzeigen. Das Gesamtpaket dieser Maßnahmen hat es fast vollständig verhindert, dass Nutzer von Avito in ihre E-Mail gehen.

Unsere derzeitige Mechanik ist ziemlich effektiv, aber nicht benutzerfreundlich. Die Nachricht mit der E-Mail wird vollständig gelöscht, wobei oft auch anderer Text enthalten ist. Aber das war die schnellste und kostengünstigste Lösung in der Entwicklung. Wir überlegen, wie wir sie überarbeiten und verbessern können.

Eine unserer letzten Initiativen ist das Anrufen von Nummern. Üblicherweise leben die Nummern der Betrüger, auf denen sie Konten registrieren, nicht lange. Wir rufen die Nummer des Verkäufers nach der Veröffentlichung der Anzeige auf Avito an. Wenn wir nicht durchkommen, wird die Anzeige von der Moderation abgelehnt. Betrüger haben begonnen, die Telefonnummer kurz vor der Veröffentlichung zu ändern, damit wir anrufen können, solange sie noch verfügbar ist.

Hier ist das Feedback von einem Betrüger

In zweifelhaften Fällen senken wir die Priorität der Anzeige in den Ergebnissen und entfernen sie aus den Empfehlungen. Dabei setzen wir eine Verzögerung in den Ergebnissen von bis zu 48 Stunden fest, um sicherzustellen, dass alles gründlich überprüft wird und den Betrügern ein wenig mehr Unannehmlichkeiten bereitet werden.

Das ist nur die Spitze des Eisbergs, es gibt noch viel mehr Arten von Betrug.

Leider ist es unmöglich, alle Betrugsarten in einem Artikel zu beschreiben. Als wir von der Einführung des Lockdowns erfuhren, war sofort klar, dass Betrüger, die offline Geld verdient hatten, ins Internet drängen würden. Sie werden ihre Verhaltensmuster nicht für einige Monate ändern und zu anständigen Bürgern werden wollen. Das führte zu einem echten Boom von Betrug auf allen Online-Plattformen und per Telefon.

Unter den Betrugsarten gibt es seltene und sogar amüsante Fälle. Zum Beispiel gibt sich hier ein Betrüger als Roboter aus, um die Kosten für die Kommunikation zu senken:

Obwohl die Zahl der Betrüger auf Avito jeden Tag abnimmt und landesweit Razzien stattfinden, bei denen die Mitarbeiter der Strafverfolgungsbehörden sie finden, trotz Proxys und VPNs, festnehmen und mit realen Strafen von bis zu 2 Jahren Haft für Betrügereien über 2500—5000 Rubel belegen, ist es unmöglich, die Betrügereien vollständig auszurotten.

Wir werden nicht öffentlich über andere Ideen und Neuerungen berichten, um es den Betrügern nicht einfacher zu machen. Wir verstehen, dass dieser Kampf weitergehen wird. Unsere Aufgabe ist es, den Betrügern das Leben so schwer wie möglich zu machen, sodass dieser Beschäftigungsbereich auf unserer Plattform einfach unprofitabel und zu gefährlich wird, während wir dabei gute Nutzer möglichst wenig belasten.

Arbeitsergebnisse

Hier ist ein Diagramm der Anfragen an den Support wegen Betrugs in der Lieferung. In den letzten Wochen blieb es auf einem stabil niedrigen Niveau:

Wie man kein Betrugsopfer wird

Betrüger sind der Wermutstropfen im Fass der vorteilhaften Angebote. Um stets sicher zu bleiben, genügt es, die folgenden Regeln zu befolgen:

1. Teilen Sie keine sensiblen Daten. Überhaupt keine: vollständiger Name, Telefonnummer, Adresse, E-Mail, Geburtsdatum und -ort, Informationen über die Familie und Einkommen, Kartendaten, Kontakte in anderen Messengern. Nennen Sie niemals Codes aus SMS und Push-Benachrichtigungen.
2. Führen Sie alle Gespräche ausschließlich innerhalb unseres Messengers, dann können wir Sie im Falle einer Gefahr warnen.
3. Überprüfen Sie die Bewertung des Verkäufers und das Alter des Profils. Niedrige Preise, ein kürzliches Registrierungsdatum auf der Website und negative Bewertungen wecken Verdacht.
4. Wenn der Button „Mit Lieferung kaufen“ inaktiv ist, gibt es keine Lieferung von Waren über geprüfte Partner von Avito. Andere Liefermethoden sind immer ein Risiko.
5. Klicken Sie nicht auf Links. Ein Link zur Zahlung oder zum Geldempfang sollte als systematische Nachricht in den integrierten Messenger von Avito eingehen. Echte Links beginnen immer mit der Domain www.avito.ru. Alle anderen Kombinationen aus Wörtern und Symbolen sind Betrug.
6. Eilen Sie nicht und tätigen Sie alle Käufe mit klarem Kopf. Achten Sie auf alle Kleinigkeiten. Betrüger setzen potenzielle Käufer oft unter Druck und drohen, die Ware einem anderen zu verkaufen. Ehrliche Verkäufer sind loyal und bereit für zusätzliche Fragen.
7. Überweisen Sie keine Vorauszahlungen für irgendwelche Dienstleistungen, wenn Sie sich nicht sicher sind, dass der Verkäufer vertrauenswürdig ist.
8. Installieren Sie keine Drittanbieter-Erweiterungen und -Programme.
9. Wenn Sie ein verdächtiges Profil oder eine Anzeige sehen, melden Sie dies unserem Support. Wir überprüfen den Verkäufer. Im Internet sollte man niemandem trauen und zusätzliche Überprüfungen durchführen.

Quelle: habr.com