Hej, Habr. Jag heter Igor, och jag är chef för teamet som bekämpar bedragare på Avito. Idag ska vi prata om det eviga kriget mot skurkar som försöker, och ibland lyckas, lura internetköpare genom varuleveranser.
Vi har länge kämpat mot bedrägerier. Dagens bedragare lurar folk genom att imitera gränssnitt och funktioner på online-handelsplattformar. Till exempel kommer de på scheman för kurirleveranser på marknadsplatser.
I januari 2020 dök det faktiskt upp färdiga instruktioner för bedragare på internet, tillsammans med alla nödvändiga verktyg. Självisoleringen gjorde det ännu värre: de som tidigare lurade och stjäl på gator och i lägenheter var tvungna att gå över till nätet. Kanske har det också ringt och skickats meddelanden, sms och brev från de så kallade "bedrägarna" till dig på sista tiden. De utger sig för att vara anställda på banker och brottsbekämpande myndigheter, avlägsna släktingar eller notarier. Skriv i kommentarerna om vilken typ av bedrägeri du har stött på senaste gången.
Standardbedrägerimönster
Det vanligaste bedrägerimönstret för att lura köpare med varuleverans ser ut så här:
- Bedragaren publicerar en annons med en populär produkt inom medelprisklassen. Till exempel, försäljning av el-scootrar - de är populära på sommaren.
- Han eller hon övertalar potentiella köpare till leverans på olika sätt. Skälen kan vara olika: jag har lämnat staden på grund av pandemin eller är bara för upptagen för att kunna mötas.
- När han eller hon får samtycke, skickar bedragaren en falsk betalningslänk. Sidan via länken liknar Avitos standardbetalningsformulär.
- Offret betalar för köpet och säger farväl till sina pengar.
- Bedragaren försöker tjäna mer pengar genom att erbjuda en återbetalning. Han eller hon skickar en ny blankett för återbetalning till köparen, men i själva verket drar han eller hon av pengarna igen. Återbetalningssidan är samma som betalningssidan, men texten på knappen har ändrats från "betala" till "återbetala".
Nedan är ett exempel på en falsk sida som en bedragare kan skicka. Domänen imiterar Avito, och själva sidan liknar en beställningssida i en webbutik. Falska sidor är ofta på https-protokollet, och det går inte att särskilja dem på det kriteriet. Efter att ha fyllt i uppgifterna kommer användaren till en betalningssida där de ombeds att ange sina bankkortuppgifter.
Falska betalningssidor för varor och återbetalning
Vi blockerar misstänkta säljare. Därför måste bedragarna ständigt skapa nya konton på Avito för att genomföra sådana operationer. De registrerar antingen dem själva med hjälp av sms till ett temporärt virtuellt nummer eller köper stulna konton. En virtuell sim-kort kostar från 60 kopej, ett stjälet konto på den svarta marknaden — från 10 rubel. Kostnaderna för både och det andra är oproportionerligt mindre än den engångsinkomst som kommer från att lura användare.
Detta var Avito Scam 1.0, men versioner 2.0, 3.0 och till och med 4.0 har redan dykt upp. Det är inte våra beteckningar — de används av bedragarna själva.
De lurar inte bara köpare utan också säljare. Den andra schemat ser ut så här:
- Köparen har påstått att de skickat pengar via en säker affär.
- De skickar en falsk länk till säljaren, där denne kan få betalningen.
- Säljaren hamnar på en sida som ber om hans kortuppgifter, och i slutändan dras summan från hans konto.
Scam 3.0 fungerar på följande sätt:
- Säljaren publicerar annonser med aktiverad leverans via Avito.
- När köparen betalar för varan, skickar bedragaren en skärmdump där Avito påstås be om en bekräftelsekod.
- Med hjälp av koden loggar säljaren in på användarens konto. På köparens profil markerar bedragaren kryssrutan som om att denne mottagit varan. Köparen står kvar utan pengar och utan köp.
Och schema 4.0 är uppbyggt på följande sätt:
- Köparen låtsas att ha betalat för varan och skickar en falsk kvitto. Kvitton skickas till var som helst: till e-post eller till en extern messenger. Det beror på vilken kontakt säljaren har gett bedragaren.
- Säljaren får ett sms som imiterar en insättning från banken.
- Inom några minuter skriver köparen att en annan säljares produkt passar honom bättre och ber om en återbetalning. Ofta används argumentet "återbetalning, ni är ju ingen bedragare". Säljaren skickar köparen beloppet, men ur egen ficka, eftersom ingen betalning har gjorts.
Vad bedragare trycker på
De fem vanligaste sammanhangen där människor fastnar i bedragarnas klor:
- Unikt erbjudande. Priset eller varan skiljer sig fördelaktigt från andra erbjudanden.
- Hektisk efterfrågan. Säljaren har flera intresserade köpare för produkten, och därför pressar han på för en förskottsbetalning.
- Akut behov. Köparen erbjuder att snabbt köpa produkten för vilket pris som helst och ber om alla bankkortsuppgifter för att överföra pengar.
- Godhjärtighet. Bedragaren ber om hjälp med att köpa en produkt: till exempel har köparen hälsoproblem eller kan inte hämta varan personligen. Bedragaren ber om kortuppgifter för att överföra pengar, och varan ska tydligen hämtas av en kurir.
- Olika orter och städer. I detta fall är förskottsbetalning ett obligatoriskt villkor för affären, vilket öppnar ett stort fält för bedragare.
Bedragarnas "arbetsmetod"
I bedrägerisystemet deltar tre grupper av personer: arbetare, support och TS.
Arbetare, från ordet worker, är den mest talrika gruppen av personer, främst skolelever och studenter. De skapar egna konton på Avito och letar efter offer som kallas mammutar. Därefter övertygar de med hjälp av social ingenjörskonst offren att betala något och skickar en falsk länk. Om offret betalar för "produkten", är arbetarnas uppgift, med hjälp av support, att föra offret till återbetalning under förevändning av ett tekniskt fel.
Support är de personer som för en fast inkomst hjälper nybörjararbetare att lura användare. De ger råd, rekommenderar "lönsamma" produkter och är ofta villiga att tillhandahålla andra tjänster mot en procentandel av den bedrägliga affären, till exempel att förbereda ett pass i Photoshop, ringa offret eller skriva till dem som teknisk support.
TS, från Topic Starter på skumma forum där arbetare ursprungligen anställdes, är i praktiken organisatörer. De laddar ner eller köper mjukvara som består av två delar:
- En Telegram-bot som är det primära verktyget för bedragare. Där kan man få en falsk länk till en produkt, få meddelanden om övergångar eller betalningar.
- Webbversionen som ansvarar för att visa betalnings-/återbetalnings-/pengamottagningssidan. Till den är den betalningssystemet kopplat för att ta emot betalningar.
Organisatörerna tjänar en procentandel på varje överföring från offret, vilket kallas vinst. Därför försöker de reklam för sitt projekt och betalar support, så att de kan utbilda nybörjare. De står också för alla kostnader som är relaterade till att köpa nya domäner och kort dit pengarna kommer.
Genom att titta på källkoderna till många olika bedrägliga skript kom vi fram till att de flesta är skrivna i PHP, men på en mycket låg nivå. Nästan alla skript samlar in information om sina användare, inklusive arbetarna. En av teorierna om varför de gör detta är att när lagliga myndigheter kontaktar organisatören, kommer han att samarbeta med utredningen och försöka få så lite straff som möjligt genom att avslöja arbetarna.
Förutom skripten använder bedragare bombare. Detta är bots som ger möjlighet att spamma telefoner med SMS och samtal. Bombarna fungerar så här: de går till olika webbplatser och begär registrering eller återställning av lösenord via telefonnummer. Vanligtvis kopplar bedragarna dem till sina offer i 2—72 timmar. Detta är en viktig anledning till varför man inte ska visa sitt telefonnummer på internet.
Vissa TSC anställer också utvecklare som gör förbättringar för boten eller webbplatsen. Till exempel kopplar de på ett betyg för arbetarna eller skyddar skript från sårbarheter som finns i gratisversionerna. Men i jakten på snabba vinster kan TSC ta hela inkomsten för sig själv, och lura sina egna arbetare. Dessutom finns det en grupp killar som tjänar på själva bedragarna genom att lura dem på olika tjänster.
Den genomsnittliga dagliga inkomsten för en bedrägerik utförare är 20 000 rubel, och 200 000 rubel för en bedrägerik organisatör. Det är viktigt att komma ihåg: trots den till synes straffriheten och vinsten av "affären", faller all denna verksamhet . Bedragare grips och får verkliga straff även i fall där skadan från bedrägeriet uppgår till 5—7 000 rubel.
All the information we have about fraudulent activities is handed over to law enforcement agencies. We believe that despite the apparent profitability and simplicity of the scheme, our readers understand that only foolish people engage in fraud, as they do not realize all the risks involved.
The Epic Battle Between Anti-Fraud and Fraudsters
We will discuss the steps we took in the first months of 2020 to protect our users and how the fraudsters responded.
The main metric we focused on to assess effectiveness was the number of support requests related to payments made to fraudsters. We block most fraudulent ads before they appear on the site. However, as most trade shifted online, we recorded a surge in requests. Banks confirm this information: in April and May, they widely issued warnings about the increase in online shopping fraud.
To receive swift feedback on new tools, a person from our team infiltrated dozens of closed fraudster groups. In one of them, he interviewed for a developer position and gained access to the source code of scam bots, as well as joining the organizers' group. This ensured that we always had fresh information from the front lines.
Understanding the risks due to the onset of self-isolation, we began working before the active rise in requests. One of the first technical measures implemented was anti-hack to rescue user accounts from the hands of criminals. Therefore, when the login and password are entered correctly but from a suspicious geolocation, we requested a code via SMS that was sent to the account owner. In response, fraudsters began registering more independent accounts. This works in our favor — fresh seller accounts instill less trust in everyone.
Next, we started warning users about clicking on suspicious links in messengers. This reduced the number of clicks by a third, but it hardly affected our main metric: those who were deceived by fraudsters were not deterred by any warnings.
Därefter införde vi en vit lista med länkar. Vi slutade att markera okända länkar i meddelandetjänsten Avito, och det går inte längre att klicka på dem. När någon kopierade en misstänkt länk visade vi också en varning. Denna lösning har för första gången haft en positiv inverkan på vår mätning.
Vi började aktivt straffa för att skicka misstänkta länkar i meddelandetjänsten Avito: blockera eller avvisa säljannonser. Som svar började bedragare dra användare från vår chatt till externa meddelandetjänster. Då införde vi en varning om att inte lämna för att gå till en annan meddelandetjänst om vi ser omnämnandet av den i chatten. Denna funktion startade med sökning med hjälp av reguljära uttryck, och vi ersatte den sedan med en ML-modell.
Då började bedragarna att dra användare till e-post. För det behövde de samma sak som vi alla — förtroende. De började skicka potentiella offer bilder där Avito påstås be om köparens e-postadress. Detta är ett bedrägeri—vi behöver inte köparnas e-post.
Här svarar vår support påstått att leveransen kräver köparens e-postadress.
Och här verkar det som om ett nytt fält för att ange e-postadress har dykt upp i vårt gränssnitt.
Om någon tidigare kunde skilja en falsk länk, är det enkelt att kvalitativt förfalska ett brev, och det ger mer förtroende. Vi började ta bort meddelandet med e-post och visa användaren en varning om faran med denna handling. Om användaren skickar e-post på nytt efter varningen tar vi inte bort den.
Bedragarna började be köpare att skicka sin e-postadress i flera meddelanden eller byta ut symbolen @ mot en annan. Då började vi visa en varning redan vid begäran om e-post. Denna kombination av åtgärder har nästan helt förhindrat att användare går till e-post från meddelandetjänsten Avito.
Vår nuvarande mekanik är ganska effektiv, men inte användarvänlig. Meddelandet med e-post tas bort helt, och det finns ofta annan text i det. Men detta var den snabbaste och billigaste lösningen att utveckla. Vi funderar på hur vi kan omarbeta och förbättra det.
Ett av våra senaste initiativ är att ringa numret. Vanligtvis lever numren som bedragare registrerar konton på kort tid. Vi ringer säljarens nummer efter att en annons har publicerats på Avito. Om vi inte får kontakt avvisas annonsen av modereringen. Bedragare har börjat byta telefonnummer strax innan publiceringen, för att vi ska hinna ringa medan det fortfarande är tillgängligt.
Här är återkopplingen från bedragaren
Vid misstänkta fall sänker vi annonsens prioritet i sökresultaten och tar bort den från rekommendationerna. Samtidigt inför vi en fördröjning på upp till 48 timmar för att garantera att vi hinner kontrollera allting noggrant och ställa till med lite mer besvär för bedragarna.
Detta är bara toppen av isberget, det finns mycket fler former av bedrägeri
Tyvärr är det omöjligt att beskriva alla typer av bedrägerier i en och samma artikel. När vi fick veta om införandet av självisolering blev det direkt tydligt att bedragare som tjänade pengar offline skulle vända sig till online. De vill ju inte ändra sina beteendemönster i flera månader och bli laglydiga medborgare. Detta ledde till en verklig boom av bedrägerier på alla online-plattformar och via telefon.
Bland formerna av bedrägeri finns det sällsynta och till och med lustiga exempel. Till exempel låtsas bedragaren vara en robot för att sänka kostnaderna för kommunikationen:
Trots att antalet bedragare på Avito blir färre för varje dag, och att det hålls razzior i hela landet där brottsbekämpande myndigheter hittar dem, trots proxy och VPN, arresterar dem och dömer dem till verkliga fängelsestraff på upp till 2 år för bedrägerier på 2500-5000 rubel, går det inte att helt bli av med bedrägerier.
Vi kommer inte att berätta offentligt om andra idéer och nyheter för att inte underlätta arbetet för bedragarna. Vi förstår att denna kamp kommer att fortsätta. Vårt mål är att göra livet så svårt som möjligt för bedragarna, så att denna typ av verksamhet på vår plattform blir helt oekonomisk och alltför riskabel, samtidigt som vi i möjligaste mån inte skadar bra användare.
Resultat av arbetet
Här är grafen över supportärenden angående bedrägeri i leverans. De senaste veckorna har det hållit sig på en stabilt låg nivå:
Hur man inte blir ettOffer för en bedragare
Bedragare är en skamfilad del av ett fat med fördelaktiga erbjudanden. För att alltid vara säker räcker det med att följa dessa regler:
- Dela inte känsliga uppgifter. Inga: namn, telefonnummer, adresser, e-post, födelsedatum och födelseort, familje- och inkomstuppgifter, kortinformation, kontakter i andra meddelandeappar. Säg aldrig koder från sms och push-notiser.
- Följ all kommunikation endast inom vår meddelandeapp, då kan vi varna dig vid fara.
- Kontrollera säljarens betyg och profilens ålder. Låga priser, ett nyligen registrerat konto och negativa omdömen väcker misstanke.
- Om knappen "Köp med leverans" är inaktiv finns det ingen leverans av varan genom Avitos betrodda partners. Andra leveransmetoder är alltid en risk.
- Klicka inte på länkar. Länken för betalning eller mottagande av pengar bör komma som ett systemmeddelande i Avitos meddelandeapp. En verklig länk börjar alltid med domänen www.avito.ru. Alla andra kombinationer av ord och tecken är bedrägeri.
- Skynda dig inte och gör alla inköp med klart sinne. Var uppmärksam på alla detaljer. Bedragare pressar ofta potentiella köpare och hotar med att sälja varan till någon annan. Ärliga säljare är lojala och villiga att svara på fler frågor.
- Överför inte någon förskottsbetalning för tjänster om du inte är säker på säljaren.
- Installera inga externa tillägg eller program.
- Om du ser en misstänkt profil eller annons, skriv om detta . Vi kommer att kontrollera säljaren. På internet bör man inte lita på någon och göra ytterligare kontroller.
Källa: habr.com
