🥇Hoe Avito oplichters identificeert en fraude bestrijdt

Hallo, Habr. Ik ben Igor, de teamleider die zich bezighoudt met het bestrijden van oplichting op Avito. Vandaag zullen we het hebben over de eeuwige strijd tegen de schurken die proberen en soms internetkopers bedriegen met behulp van productleveringen.

We strijden al lang tegen oplichting. De oplichters van vandaag bedriegen mensen door interfaces en functies van online handelsplatforms na te bootsen. Ze verzinnen bijvoorbeeld schema's voor koerierslevering op marktplaatsen.

In januari 2020 verschenen er zelfs kant-en-klare instructies voor oplichters op internet, evenals alle benodigde hulpmiddelen. Vervolgens zorgde de zelfisolatie ervoor dat de vonk in het vuur werd gestoken: degenen die eerder op straat en in appartementen bedrogen en stalen, moesten naar online omgevingen overstappen. Misschien word jij de laatste tijd ook veel gebeld of geschreven in messengers, sms'jes en brieven door diezelfde 'oplichters'. Ze doen zich voor als medewerkers van banken en rechtshandhavingsinstanties, verre familieleden of notarissen. Laat in de opmerkingen weten met welk soort oplichting je de laatste keer te maken had.

Standaard oplichtingsschema's

Het meest voorkomende schema voor het bedriegen van een koper met productlevering ziet er als volgt uit:

De oplichter plaatst een advertentie met een populair product in de gemiddelde prijscategorie. Bijvoorbeeld de verkoop van een elektrische scooter — in de zomer zijn ze populair.
Hij probeert de potentiële koper op allerlei manieren te overtuigen om te kiezen voor levering. De redenen kunnen variëren: ik ben weg uit de stad vanwege de pandemie of ik ben gewoon te druk en kan niet op de afspraak komen.
Na goedkeuring stuurt de oplichter een valse link voor betaling. De pagina via de link lijkt op het standaardbetalingsformulier van Avito.
Het slachtoffer betaalt voor de aankopen en zegt vaarwel tegen zijn geld.
De oplichter probeert meer geld te verdienen door terugbetaling aan te bieden. Hij stuurt de koper een nieuw formulier voor terugbetaling, maar intussen schrijft hij het bedrag nogmaals af. De terugbetalingspagina is dezelfde als de betalingspagina, maar de tekst op de knop is gewijzigd van 'betalen' naar 'teruggeven'.

Hier is een voorbeeld van een neppagina die een oplichter kan sturen. De domeinnaam lijkt op die van Avito, terwijl de website lijkt op een bestelformulier van een online winkel. Valse pagina's zijn vaak op het https-protocol, en aan de hand daarvan zijn ze niet te onderscheiden. Na het invullen van de gegevens komt de gebruiker op de betalingspagina terecht, waar hij wordt gevraagd zijn bankgegevens in te voeren.

Valse betalingspagina's voor goederen en terugbetalingen

Wij blokkeren verdachte verkopers. Daarom moeten oplichters constant nieuwe accounts op Avito aanmaken om dergelijke operaties uit te voeren. Ze registreren deze zelf met behulp van sms op een tijdelijk virtueel nummer, of kopen gestolen accounts. Een virtuele sim-kaart kost vanaf 60 kopeken, een ander account op de zwarte markt — vanaf 10 roebel. De kosten voor beide zijn verhoudingsgewijs veel lager dan zelfs de eenmalige winst van het bedrog van gebruikers.

Dit was Avito Scam 1.0, maar er zijn al versies 2.0, 3.0 en zelfs 4.0 verschenen. Dit zijn geen onze aanduidingen — deze worden gebruikt door de oplichters zelf.

Ze bedriegen niet alleen kopers, maar ook verkopers. Het tweede schema ziet er als volgt uit:

De koper heeft zogenaamd geld verzonden via een veilige transactie.
Hij stuurt de verkoper een valse link, waar hij de betaling kan ontvangen.
De verkoper komt op een pagina terecht die vraagt om zijn kaartgegevens, en uiteindelijk wordt het bedrag van zijn rekening afgeschreven.

Schema Scam 3.0 werkt als volgt:

De verkoper plaatst advertenties met geactiveerde levering via Avito.
Wanneer de koper het product betaalt, stuurt de oplichter hem een screenshot, waarop Avito zogenaamd om een bevestigingscode vraagt.
Met de code gaat de verkoper het account van de gebruiker in. In het profiel van de koper vinkt de oplichter aan dat hij het product heeft ontvangen. De koper blijft zonder geld en zonder aankoop.

En schema 4.0 is als volgt opgezet:

De koper doet alsof hij het product heeft betaald en stuurt een valse bon. Bonnen worden naar overal gestuurd: naar een e-mailadres of in een andere messengerdienst. Het hangt ervan af welke contactgegevens de verkoper de oplichter heeft gegeven.
De verkoper ontvangt een sms, die zich voordoet als een storting van de bank.
Na een paar minuten schrijft de koper dat hij een product van een andere verkoper beter geschikt vindt en vraagt om zijn geld terug. Vaak wordt het argument gebruikt: "Teruggeven, u bent toch geen oplichter?" De verkoper stuurt de koper het bedrag terug, maar uit zijn eigen zak, want er was geen betaling.

Waar drukken oplichters op?

Vijf van de meest populaire contexten waarin mensen in de klauwen van oplichters terechtkomen:

Uniek verkoopvoorstel. De prijs of het product wijkt gunstig af van andere aanbiedingen.
Urgentie. De verkoper heeft meerdere geïnteresseerden om het product te kopen, waardoor hij onder druk zet om een vooruitbetaling te doen.
Dringendheid. De koper biedt aan om het product snel voor elk bedrag te kopen en vraagt om alle gegevens van de bankkaart om geld over te maken.
Goede hoop. De oplichter vraagt om hulp bij de aankoop van een product: bijvoorbeeld, de koper heeft gezondheidsproblemen of kan het product niet persoonlijk ophalen. De oplichter vraagt om kaartgegevens om het geld over te maken, en het product zou blijkbaar door een koerier worden opgehaald.
Verschillende plaatsen en steden. In dit geval is een vooruitbetaling een vereiste voor de transactie, wat een enorm speelveld voor oplichters opent.

De "werking" van oplichters

In het oplichtingsschema zijn drie groepen mensen betrokken: werkers, support, TS.

Werkers, van het woord worker, zijn de grootste groep mensen, voornamelijk scholieren en studenten. Ze creëren zelfstandig accounts op Avito en zoeken slachtoffers, die ze mammoeten noemen. Vervolgens overtuigen ze met behulp van sociale engineering de slachtoffers om iets te betalen en sturen ze een valse link. Als het slachtoffer het "product" betaalt, is het de taak van de werkers om met behulp van support het slachtoffer naar een terugbetaling te leiden, verwijzend naar een technische fout.

Support zijn de mensen die voor een vast inkomen werkers-novices helpen om gebruikers te bedriegen. Ze geven advies, bevelen "winstgevende" producten aan, en vaak zijn ze bereid om voor een procent van de oplichtersdeal ook andere diensten te verlenen, zoals het opmaken van een paspoort in Photoshop, het bellen van het slachtoffer, of het schrijven naar het slachtoffer namens de technische ondersteuning.

TS, van Topic Starter op de schimmige forums, waar oorspronkelijk werkers werden ingehuurd, zijn feitelijk de organisatoren. Ze downloaden of kopen software, die uit twee delen bestaat:

Een Telegram-bot die een belangrijk instrument is voor oplichters. Hiermee kan je een valse link naar een product verkrijgen, meldingen ontvangen over overgangen of betalingen.
Webversie die verantwoordelijk is voor het weergeven van de betalings-/terugbetalings-/geldovermakingspagina. Deze is verbonden met een betalingssysteem om betalingen te ontvangen.

Organisatoren verdienen aan een percentage van elke overmaking van het slachtoffer, wat zij winst noemen. Daarom proberen ze hun project te adverteren en betalen ze support om nieuwkomers op te leiden. Alle kosten voor het kopen van nieuwe domeinen en kaarten waarop het geld binnenkomt, komen voor hun rekening.

Na het bekijken van de bronbestanden van veel verschillende oplichterij-scripts, zijn we tot de conclusie gekomen dat de meeste ervan in PHP zijn geschreven, maar op een zeer slecht niveau. Bijna alle scripts verzamelen informatie over hun gebruikers, inclusief de werkers. Een van de veronderstellingen waarom ze dit doen, is dat wanneer de rechtshandhaving de organisator bereikt, hij zal meewerken aan het onderzoek en proberen de straf te verminderen door informatie over de werkers te onthullen.

Naast scripts gebruiken oplichters ook bombers. Dit zijn bots die de mogelijkheid bieden om een telefoon vol te spammen met sms'jes en oproepen. Bombers werken als volgt: ze gaan naar verschillende websites en vragen registratie of herstel van het wachtwoord op basis van een telefoonnummer aan. Gewoonlijk koppelen oplichters ze aan hun slachtoffers voor 2 tot 72 uur. Dit is een belangrijke reden om je telefoonnummer niet op internet te plaatsen.

Sommige TC's huren ook ontwikkelaars in die verbeteringen voor de bot of website maken. Bijvoorbeeld het toevoegen van een rating voor werkers of het beschermen van scripts tegen kwetsbaarheden die aanwezig zijn in gratis versies. Echter, in de jacht op snelle winst kan de TC alle opbrengsten voor zichzelf houden, terwijl ze hun eigen werkers bedriegen. Er is zelfs een groep jongens die winst maken op de oplichters zelf door hen voor verschillende diensten op te lichten.

Het gemiddelde dagelijkse inkomen van een uitvoerende oplichter bedraagt 20.000 roebel, terwijl dat van een organisator 200.000 roebel is. Het is belangrijk om te onthouden: ondanks de schijnbare straffeloosheid en winst van deze 'business', valt al deze activiteit onder artikel 159 van het Strafwetboek van de Russische Federatie. Oplichters worden gearresteerd en krijgen echte straffen, zelfs in gevallen waar de schade van de oplichting 5 tot 7 duizend roebel bedraagt.
Alle informatie die wij hebben over fraudezaken wordt doorgegeven aan de autoriteiten. Wij zijn ervan overtuigd dat, ondanks de schijnbare winstgevendheid en eenvoud van de schema's, onze lezers begrijpen dat fraude alleen wordt gepleegd door kortzichtige mensen die zich niet bewust zijn van alle risico's.

Epische strijd tussen anti-fraude en fraudeurs

We vertellen welke stappen we hebben ondernomen in de eerste maanden van 2020 om onze gebruikers te beschermen en hoe fraudeurs daarop reageerden.

De belangrijkste metric waar we ons op richtten voor het beoordelen van de effectiviteit was het aantal verzoeken bij de klantenservice over betalingen aan fraudeurs. We blokkeren het grootste deel van de frauduleuze advertenties nog voordat ze op de site komen. Maar toen de meeste handel online plaatsvond, hebben we een piek in verzoeken vastgesteld. Deze informatie wordt bevestigd door de banken: in april en mei stuurden zij massaal waarschuwingen over de toename van fraude bij online aankopen.

Om snel feedback te krijgen op nieuwe tools, heeft iemand uit ons team zich ingelijst in tientallen gesloten groepen van fraudeurs. In een van deze groepen heeft hij een sollicitatiegesprek gehad voor een ontwikkelaarsfunctie en kreeg hij toegang tot de broncode van oplichtingsbots, en hij kwam ook in de groep van organisatoren. Hierdoor hadden we altijd verse informatie uit de eerste hand.

Inzicht in de risico's door de start van de zelfisolatie, begonnen we met werken voordat de verzoeken actief stegen. Een van de eerste technische maatregelen was de implementatie van anti-hack om de accounts van gebruikers uit de klauwen van kwaadwillenden te halen. Hiervoor vroegen we bij een juiste invoer van de gebruikersnaam en het wachtwoord, maar met een verdachte geografische locatie, om een code via sms die naar de account eigenaar werd gestuurd. Als reactie begonnen fraudeurs meer zelfstandige accounts te registreren. Dit speelt in ons voordeel — nieuwe accounts van verkopers wekken bij iedereen minder vertrouwen.

Daarna begonnen we gebruikers te waarschuwen voor het klikken op verdachte links in de messenger. Op die manier hebben we het aantal klikken met een derde verminderd, maar op onze belangrijkste metric had dit bijna geen effect: degenen die door fraudeurs werden bedrogen, werden door geen enkele waarschuwing tegengehouden.

Vervolgens hebben we een witte lijst van links ingevoerd. We zijn gestopt met het markeren van ongebruikelijke links in de Avito-messenger, en het is niet langer mogelijk om met één klik naar deze links te gaan. Bij het kopiëren van verdachte links wordt ook een waarschuwing getoond. Deze beslissing heeft voor het eerst een positieve invloed gehad op onze statistieken.

We zijn begonnen met actief straffen voor het doorgeven van verdachte links in de Avito-messenger: het blokkeren of afwijzen van verkopersadvertenties. Als reactie daarop begonnen oplichters gebruikers uit onze chat naar andere messengers te leiden. Toen hebben we een waarschuwing geïntroduceerd om niet naar een andere messenger te gaan als we dit in de chat zagen. Deze functie begon met zoeken op reguliere expressies, waarna we het vervingen door een ML-model.

Daarna zijn oplichters gebruikers naar e-mail gaan leiden. Hiervoor hadden ze hetzelfde nodig als wij allemaal: vertrouwen. Ze begonnen potentiële slachtoffers afbeeldingen te sturen waarin Avito zogenaamd om het e-mailadres van de koper vroeg. Dit is een leugen - we hebben het e-mailadres van kopers niet nodig.

Hier lijkt onze ondersteuning te antwoorden dat een e-mailadres van de koper nodig is voor levering.

En hier lijkt er een nieuw veld voor het invoeren van een e-mailadres in onze interface te zijn verschenen.

Als iemand een nep link nog kon onderscheiden, dan is een e-mail gemakkelijk kwalitatief na te maken en geeft deze meer vertrouwen. We zijn begonnen met het verwijderen van berichten met e-mailadressen en tonen de gebruiker een waarschuwing over de gevaren van deze actie. Als de gebruiker na de waarschuwing het e-mailadres opnieuw verstuurt, verwijderen we het niet meer.

Oplichters begonnen kopers te vragen om hun e-mailadres in meerdere berichten te sturen of het @-symbool door iets anders te vervangen. Toen begonnen we al bij het verzoek om een e-mail een waarschuwing weer te geven. Deze reeks maatregelen heeft het bijna volledig voorkomen dat gebruikers naar hun e-mail overschakelden vanuit de Avito-messenger.

Onze huidige mechaniek is redelijk effectief, maar niet gebruiksvriendelijk voor gebruikers. Berichten met e-mail worden volledig verwijderd, en er zit vaak ook andere tekst in. Maar dit was de snelste en goedkoopste oplossing in ontwikkeling. We denken na over hoe we dit kunnen herstructureren en verbeteren.

Een van onze nieuwste initiatieven is het bellen van nummers. Gewoonlijk leven de nummers van oplichters, waarop ze accounts registreren, niet lang. We bellen het nummer van de verkoper na het plaatsen van een advertentie op Avito. Als we niet kunnen doorverbinden, wordt de advertentie afgewezen door de moderatie. Oplichters zijn begonnen het telefoonnummer te wijzigen vlak voor publicatie, zodat we kunnen bellen terwijl het nog beschikbaar is.

Hier is de feedback van een oplichter

In verdachte gevallen verlagen we de prioriteit van de advertentie in de zoekresultaten en verwijderen we deze uit de aanbevelingen. Daarbij stellen we een vertraging in de weergave in tot 48 uur, zodat we alles grondig kunnen controleren en oplichters net iets meer ongemak kunnen bezorgen.

Dit is slechts de top van de ijsberg, er zijn veel meer soorten oplichting.

Helaas is het onmogelijk om alle soorten oplichting in één artikel te beschrijven. Toen we hoorden over de invoering van zelfisolatie, werd meteen duidelijk dat oplichters die offline geld verdienden, online zouden gaan. Ze willen hun gedrag niet enkele maanden veranderen en goede burgers worden. Dit leidde tot een echte explosie van oplichting op alle online platforms en per telefoon.

Onder de oplichting zijn er zeldzame en zelfs grappige gevallen. Bijvoorbeeld, hier doet een oplichter zich voor als een robot om de communicatiekosten te verlagen:

Hoewel het aantal oplichters op Avito elke dag afneemt en er in het hele land razzia's plaatsvinden waarbij wetshandhavers hen vinden, ondanks proxy's en VPN's, vasthouden en echte gevangenisstraffen van tot 2 jaar voor bedrog van 2500-5000 roebel opleggen, is het onmogelijk om volledig van oplichting af te komen.

We zullen niet publiekelijk andere ideeën en innovaties delen om de oplichters niet te helpen. We begrijpen dat deze strijd zal blijven voortduren. Onze taak is om het leven van oplichters zo moeilijk mogelijk te maken, om dat soort activiteiten op onze site gewoon onvoordelig en te gevaarlijk te maken, terwijl we goede gebruikers minimaal treffen.

Resultaten van het werk

Hier is de grafiek van de verzoeken bij de ondersteuning over oplichting in de levering. De laatste weken blijft dit op een constant laag niveau:

Hoe geen slachtoffer van oplichting te worden

Oplichters zijn de lepel teer in het vat van aantrekkelijke aanbiedingen. Om altijd veilig te blijven, is het voldoende om de volgende regels te volgen:

Deel geen gevoelige informatie. Nooit: naam, telefoonnummer, adres, e-mail, geboortedatum en -plaats, informatie over gezin en inkomen, betalingsgegevens, contacten in andere messengers. Geef nooit codes uit sms-berichten en pushmeldingen.
Voer al uw communicatie alleen binnen onze messenger, zodat we u kunnen waarschuwen in geval van gevaar.
Controleer de beoordeling van de verkoper en de leeftijd van het profiel. Lage prijzen, een recente registratiedatum op de site en negatieve beoordelingen zijn vaak verdacht.
Als de knop 'Koop met levering' niet actief is, is er geen levering van het product via de vertrouwde partners van Avito. Andere leveringsmethoden zijn altijd riskant.
Klik niet op links. Een link voor betaling of ontvangst van geld moet komen in een systeembericht van de Avito messenger. Een echte link begint altijd met het domein www.avito.ru. Alle andere combinaties van woorden en symbolen zijn oplichting.
Haast u niet en doe al uw aankopen met een heldere geest. Let op kleine details. Oplichters drukken vaak op potentiële kopers en dreigen het product aan iemand anders te verkopen. Eerlijke verkopers zijn loyaal en open voor extra vragen.
Stuur geen vooruitbetalingen voor diensten als u niet zeker bent van de verkoper.
Installeer geen externe extensies en programma's.
Als u een verdacht profiel of advertentie ziet, meld dit dan aan onze ondersteuning. We zullen de verkoper controleren. Vertrouw online niemand en voer extra controles uit.

Bron: habr.com