Отмыть деньги через интернет магазин
Теневая экономика России составляет более 20% отечественного ВВП — такие данные представил Росфинмониторинг. Это значит, что почти 21 трлн рублей — гораздо больше бюджета всей страны на 2019 год — в лучшем случае скрыты от налогов, а в худшем — сворованы и навсегда спрятаны за рубежом. С этих денег не пошли отчисления ни в бюджет, ни на пенсии, ни на медобслуживание. Из нелегальной казны финансируется другое — закупка оружия, теракты. А то, что не пошло на оплату преступлений, остается на руках теневых дельцов.
Большая стирка. Как работают «прачечные» по отмыву денег
Но финансы, в том числе и награбленные, хороши лишь тогда, когда за них можно получить разные радости жизни. Чтобы не оказаться в положении подпольного миллионера Корейко, который имел миллионы, но не мог их потратить, воротилы разного уровня — от торговцев наркотиками до чиновников-казнокрадов — стараются придать своим грязным капиталам видимость законного происхождения. Это и называется «отмывать денежки». А «прачечные» — это те конторы, которые занимаются легализацией такого капитала.
— А вы, Фунт, теперь не зиц-председатель, а номинал! — Хоть горшком назови, лишь бы сидеть, как при НЭПе. Фото: Кадр из фильма
Схема № 1. КВАРТИРЫ СКУПАЮТ ЭТАЖАМИ
Самый простой и распространенный способ отмывания — это приобретение недвижимости. Росфинмониторинг отмечает, что такой метод привлекателен низкими затратами на сопровождение сделки и возможностью расчетов наличными.
Кто-то покупает особняки и дорогие пентхаусы. Кто поосторожнее, дробит деньги и приобретает жилье в массовых новостройках. Зато этажами. Думают, кто там сунется проверять дома на московских окраинах вроде Саларьево или Рассказовки.
Но Росфинмониторинг начеку. Недавно, например, было подготовлено письмо риэлторским агентствам и нотариусам с просьбой сообщать о подозрительных сделках.
Правда, признаки сомнительных операций в сфере недвижимости у специалистов вызвали замешательство. Ну хорошо, требование сообщать в органы финконтроля о сделках, где фигурируют «суммы, которые явно не соответствуют социально-экономическому положению сторон сделки», еще можно понять. Покупает пенсионер в потрепанном твидовом костюмчике по моде 1974 года апартаменты в «Москва-Сити» — дело, похоже, нечистое.
Но как быть с таким признаком возможного отмывания: «клиент ведет себя слишком скрытно и неопределенно отвечает на вопросы о происхождении денег»?
— Человек не обязан сообщать нам, откуда у него деньги, а лезть с такими вопросами как-то странно, — рассудила в разговоре с «КП» риэлтор Любовь Дмитренко.
А вот еще один «подозрительный» пункт: элитную недвижимость покупает человек, проживающий в другом регионе. Но ведь так поступают и добросовестные покупатели. Обеспеченные жители провинции приобретают недвижимость в Москве. Москвичи — в Крыму и Сочи.
СХЕМА № 2. ДОЛГИ НАШИ ПРИБЫЛЬНЫЕ
Еще одна ходовая схема легализации преступных денег — фиктивные долговые расписки с непомерными штрафами за просрочку. Действует механизм так. Подпольный миллионер (в миру чиновник или, например, силовик) ссужает подставному лицу небольшую сумму. Но с очень жесткими санкциями при невозвращении долга вовремя. Скрепляют сделку у нотариуса. Пришел срок возвращать деньги, а подставной не платит. И за год набегает штрафов на сумму в 10 раз больше изначального долга. Вот теперь пора и честь знать. И подставной возвращает кредитору вместо 1 миллиона сразу 11. Ясное дело, что все эти денежки — из одного кармана. Просто после такой комбинации человек может на голубом глазу объяснить, откуда у него столько денег.
Самая масштабная из известных долговых афер — это так называемая молдавская прачечная. По данным международного Центра по исследованию коррупции и организованной преступности, из России с 2011 по 2014 год было выведено 700 млрд руб. ($21 млрд в ценах тех лет)! Компании заключали между собой фиктивные договоры займа, были и поручители. Хотя бы один участник сделки должен был быть из Молдавии — это давало право обращаться в суд этой страны, где уже по накатанной выносились решения о выводе капиталов из России.
СХЕМА № 3. ЗАГРАНИЦА НАМ ПОМОЖЕТ
Следующий популярный способ отмывания грязных денег — это вывод их в офшоры. Для начала создается компания с юрисдикцией где-нибудь на Британских Виргинских островах (или на другой территории с льготным налоговым режимом). В интернете таких объявлений — пруд пруди: цена вопроса от тысячи долларов.
— В таких сделках нередко участвуют банки. Обычно те, у кого дело идет к отзыву лицензии и им нечего терять, — рассказывает полковник ФСБ в отставке Максим Мельничук, глава компании ЮБИКС, занимающейся вопросами банковской безопасности.
Важный шаг — выбрать, чем будет заниматься фирма. Тут главное, чтобы продукт трудно было посчитать и оценить. Например, консалтинговые услуги — чем их измерить? Но этот прием уже настолько избит, что сразу вызывает подозрение.
— Был случай, когда под вывод денег купили за границей завод по выпуску гранул для удобрений, — продолжает Мельничук. — Гранулы эти хороши не какими-то особыми свойствами, а тем, что не подпадают ни под какие сертификаты и не имеют таможенной цены ввоза. Следовательно, можно устанавливать любую цену и выводить под это любые финансы.
ПОДРОБНОСТИ
Портрет подставного директора: 40 лет, нет высшего образования, жертва микрокредитов
В роли «прачечной» выступает одна, а чаще целая цепочка фирм-однодневок, иногда в нее удается втянуть и реальные компании либо банки.
— За последние годы количество однодневок уменьшилось с двух миллионов до 500 тысяч, — говорит эксперт по финансовому мониторингу, руководитель исследовательского подразделения «Интерфакс ЛАБ» Илья Мунерман. — Но уменьшение в первую очередь произошло за счет резкого снижения числа фирм, которые специализируются на уклонении от налогов и незаконной обналичке. На этом направлении налоговая служба создала мощный заслон, да и деятельность ЦБ была достаточно жесткой: давить однодневки и банки, через которые производятся обнал и уклонение от уплаты налогов. А вот фирмочек, занимающихся легализацией преступных доходов, меньше не стало. Их примерно 200 тысяч.
— Если раньше однодневки регистрировались на бомжа либо по украденному паспорту, то теперь все цивилизованнее, — продолжает Мунерман. — И на телефоны отвечают, и офисы существуют. Типичный учредитель — бывший сотрудник правоохранительных органов либо банковских структур.
Следующий этап — поиск номинального директора. Номинала, как называют его в профессиональной среде. Ильфопетровский термин зиц-председатель теперь используется редко.
Современные номиналы аккуратно одеты, внятно общаются. Это мужчины возраста 40+, со средним образованием и низкой зарплатой. До пенсии далеко, перспектив никаких — очень токсичная группа. Еще — молодые одинокие женщины с ребенком или несколькими, выпускники детских домов. Нередко они являются жертвами микрофинансовых организаций. После того как коллекторы в очередной раз подожгут дверь, к такому человеку приходит «добрый дядя» и предлагает «единственное спасение»: место номинала.
— Сроки по таким делам гуманные, — говорит Мунерман. — Судьи и правоохранители сочувствуют бедолаге, вынужденному играть роль директора, — я не видел приговоров жестче 2 лет условно. Те, кто подыскивает кадры, так и говорят: не бойся, даже если и попадешься, ничего серьезного не будет. По своему психотипу номиналы — люди нестабильные, могут и прикарманить деньги учредителей. Есть даже сообщества в интернете, где участники делятся опытом, как обезопасить себя от этого.
КСТАТИ
Как еще отмывают капиталы
Платежные терминалы
Проверить, сколько денег прошло через терминал, невозможно. Поэтому жулики показывают гораздо более высокий объем операций, чем был в реальности.
Магазины, рестораны и места на рынке
Открывается бутик с дорогими галстуками. Покупателей нет, но касса работает, показывает огромный спрос. Или ресторан. В зале полтора человека, а по отчетам будто рота солдат ежедневно столовалась. Нужную сумму отмыли — можно ресторан закрывать.
Биткоин
Экзотика. К тому же ненадежная: курс нестабилен, можно много потерять.
Картины, антиквариат
Предметы искусства и старины будут только дорожать.
ЧИТАЙТЕ ТАКЖЕ
Росстат: более четверти доходов населения — черные зарплаты и криминальные деньги
Происхождение 26% средств граждан властям неизвестны
В Росстате сообщили, из чего состоят доходы россиян. Большая часть (41,4%) – это зарплата, на втором месте (19,6%) – пенсии. Есть еще прибыль от бизнеса и собственности… И 26% доходов населения – каждый четвертый рубль – в буквально смысле, взялись непонятно откуда. Эти деньги нигде не учтены. Об их существовании известно из одного источника: общей суммы расходов граждан. Они заметно превышают общие официальные доходы. А раз люди средства потратили, значит было что тратить (подробности).
ЕЩЕ
20 трлн рублей — объем теневой экономики страны
Это больше, чем годовой федеральный бюджет
Объем российской теневой экономики в прошлом году составил 20,7 триллионов рублей. Это больше, чем все доходы федерального бюджета-2018. Таковы данные Росфинмониторинга. По подсчетам финансовой разведки, с 2015 года ежегодная прибыль нелегального сектора колебалась в диапазоне от 20 до 30% ВВП или от 18,9 до 24,3 трлн рублей. На деньги, прошедшие мимо казны только в прошлом году, можно финансировать армию и оборонный заказ почти 10 лет или увеличить пенсии в 10 раз (подробности).
По долгу работы приходится копаться на андеграунд форумах в поиске свежей информации об уязвимостях, утечках паролей и другим интересным вещам. Иногда консультируем представителей силовых структур на тему новых уязвимостей, атак и схем нападения, случаются ситуации, когда “новинками” делятся силовики. Думаю многие разделят мою точку зрения касательно того, что если “схема” или “уязвимость” попала на форум, то, как правило, все “сливки” с нее уже давно кто то снял. Да и форумы вне зоны .onion супер серьезно воспринимать не стоит. Но в этот раз была найдена схема которая удивила своей относительной простотой и новизной. Собственно о том, как хакеры воруют и отмывают деньги через сервисы доставки еды и будет сегодняшний рассказ.
Как убили значительную часть кардинга, предыстория
Люди сведущие в антифрод системах и безопасности банковских платежей, давно знают, что большая часть сервисов, принимающих оплату кредиткой онлайн давно подключила систему дополнительной верификации платежей по телефону (через смс, звонок или приложение). У VISA такая система называется 3-D Secure сокращенно 3DS, работает в рамках системы Verified by Visa (VbV) у Mastercard есть аналог под названием Mastercard SecureCode (MCC). Суть проста, если Вы ввели где то данные со своей кредитной карты, для успешного платежа, вам потребуется еще и ввести код полученный из смс, звонка или приложения, чтоб подтвердить что это именно Вы совершаете покупку, а не хакеры грабят Вас.
С введением этих систем, значительная часть платежей с чужих (ворованных) кредитных карт ушла в небытие.
Гигантам важнее объем выручки и оборота средств, чем безопасность
Однако крупные, высоко нагруженные сервисы вроде Booking.com, Airbnb, Amazon.com, Facebook.com отключили или ограничено используют эту функцию дополнительной проверки, так как она (скорее всего) сильно повлияла на объем продаж и конверсии. Конечно, они заменили ее дополнительной верификацией внутри аккаунта и нейронными сетями с крутейшими антифрод решениями, однако это не сильно помогло. Проблема не нова и широко обговаривается (пруф). Так же Федеральная торговая комиссия США заявила что за период с 2012 до 2016 года поступило 13 миллионов жалоб, 3 миллиона только за 2016 год, 13% из которых это хищение личности и кредитной карты. И это данные только по США. Реальность такова, что лучше содержать штат юристов занимающихся возвратом платежей с чужих карт, чем уменьшать оборот средств. Как следствие появились целые форумы с предложением забронировать отель за 25%-50% от стоимости (пруф). Бизнес риски не более.
Так появилась довольно популярная схема отмыва денег с краденных кредитных карт через сервисы аренды жилья (пример пострадавшей от действий кардеров). В упрощенном варианте она выглядит так:
- Берут квартиру в аренду с правом субаренды.
- Регистрируют квартиру на booking.com и/или Airbnb
- Покупают данные ворованных кредитных карт
- Якобы бронируют квартиру у самих себя, на данные ворованных карт
- Получают уже чистые деньги от Booking или Airbnb
Естественно вариантов вышеописанной схемы может быть миллион, от регистрации на Booking, Airbnb не существующих квартир (это реально), до регистрации аккаунта на свои данные, без ведома хозяина квартиры/отеля. Люди массово ищут/скупают недобросовестных владельцев отелей (пруф) или же предлагают свои услуги (пруф).
Почему деньги отмывают именно через сервисы аренды квартир? Как я писал Выше там нет (или используется ограниченно) VBV и 3DS и карты туда легче “вбиваются”. Также владельцы отелей нередко грешат тем, что отмывают деньги через преавторизацию и завершение в POS терминалах с поддержкой ручного ввода карт (пруф), но это уже совсем другая история о которой я расскажу в следующий раз.Вернемся к нашим доставщикам еды.
Сервисам доставки еды тоже не важно чья карта
GLOVO, UBER, Яндекс Еда и прочие сервисы дешевой доставки стремительно ворвались в нашу жизнь наравне с сервисами по бронированию отелей. И знаете что? Их не сильно волнует совпадает ли имя владельца аккаунта, с именем на кредитной карте. Им не Важно куда доставлять и откуда брать товар. Им так же как гигантам бронирования отелей не так важны VBV и 3DS, куда важнее оборот и выручка.
Так, работая над очередным заказом тестирования антифрод систем в HackControl, собирая новые мошеннические схемы, наткнулся на “новинку”. Кардеры и мошенники и придумали схему, которая в первом приближении выглядит так.
- Регистрируют магазин/хотдожную/ресторан/лавку в системе доставки еды, или просто указывают доставщику где именно он должен купить заказ.
- Покупают ворованную кредитную карту и привязываем к аккаунту.
- Через ворованную кредитную карту и приложение доставки еды, с ничего не подозревающим курьером скупаются в собственном магазине и ждут доставку.
- Отвозят продукты обратно и так по кругу.
Естественно, схему я описал в первом приближении, и мошенники меняют рестораны, магазины и адреса доставки, но суть от этого не меняется.
Дисклеймер и выводы
Данная публикация не несет в себе цели показать уязвимости в том или ином сервисе доставки еды или бронирования жилья. Не претендует на роль исчерпывающего руководства по защите и предотвращению мошеннических действий. Не может быть трактовано как призыв или руководство к действию. Мошеннические операции с кредитными картами, использование чужих данных при бронировании отелей или доставке еды — абсолютно незаконны и являются уголовным преступлением.
Всеобъемлющий вывод заключается в том, что создателям антифрод систем, директорам отвечающих за риски и архитекторам нужно иногда спускаться в “подземелье”, чтоб посмотреть как еще можно использовать разработанные ими сервисы. Теперь при проведении того же социотехнического тестирования (social engineering) мы и другие компании предлагают клиентам протестировать их сервисы еще и на мошенничество с бизнес логикой. На сегодняшний день даже тестирование на проникновение без проверки бизнес логики уже становится не полным. Бизнес не покупает шаблонные услуги, продажи идут скорее через бизнес аналитиков помогающих улучшить тот или иной процесс и предотвратить риски. При создании сервиса доставки нужно продумывать не только основные риски, вроде “а не будут ли через нас доставлять наркотики”, но и другие риски незаконного использования сервиса в противоправной деятельности.
Хакеры начали отмывать деньги через виртуальные кабинеты граждан. Они регистрируют новую карту на имя клиента банка, после через счёт проводят деньги, полученные по «серых» схемам. Проблема – в утечке персональных данных, говорят эксперты. Банки пытаются остановить кражи, но их системы защиты слишком уязвимы. Кроме того, многие клиенты сами выдают данные мошенникам. Как защитить свой банковский счёт, разбирался экономический обозреватель «Вестей ФМ» Павел Анисимов.
Хакеры «расчехлили» новое кибероружие. Они покупают персональные данные клиента банка, по скану его паспорта оформляют новую карту или дубликат действующей, но счёт пока не обнуляют. Напротив, на карту «падают» деньги, украденные в другом месте. Мошенники оплачивают «левым пластиком» дорогие покупки и потом их перепродают за наличные. Комментирует руководитель аналитического центра компании Zecurion Владимир Ульянов.
УЛЬЯНОВ: Один из вариантов использования – без самой карты, только по её реквизитам совершать покупки через интернет-магазины, потому что там физическое наличие карты не требуется. Более сложная схема – это когда карта перевыпускается мошенниками (так называемый белый пластик). Используя эту карту, можно применять другие схемы обналичивания – через банкомат или совершать покупку в магазине.
Сложная схема нужна, чтобы не «светиться». Мошенники специально подбирают «спящие» счета, по которым давно нет начислений. Когда счёт внезапно «оживает», банк думает, что платежи проводит его клиент, хотя он сам может не видеть этих денег. Счёт жертвы используют как «прокладку», промежуточное звено для обеления «грязных» денег, объясняет замруководителя лаборатории компьютерной криминалистики Group-IB Сергей Никитин.
НИКИТИН: Есть много так называемых мертвых клиентов, которые не мониторят, что происходит у них на счете, потому что они знают, что на нём – ноль. И даже SMS-оповещение отключено в целях экономии. И многие взломанные кошельки, которыми люди активно не пользуются, часто нужны мошенникам как некое прокси для обналички.
Новый способ монетизировать чужие данные становится всё популярнее. В последнее время число попыток отмыть деньги через личные кабинеты граждан выросло втрое. Эксперты объясняют такую активность масштабными утечками клиентских баз. Только за прошлый год было скомпрометировано, то есть украдено, больше миллиарда пользовательских записей. Их продают на теневых форумах за небольшие деньги. Бонусом идёт расчёт возврата инвестиций, вложенных в покупку ворованных баз, говорят аналитики.
Часто сведения «сливают» сами банковские работники: фотографируют базы данных на смартфон и перепродают в Интернете. Представители банков всё отрицают либо уверяют, что опасность для клиентов – минимальна. Якобы в продаже – только устаревшие базы и этих данных недостаточно для взлома. В итоге клиентам возвращают лишь каждый седьмой рубль, переведенный без их согласия. Сам счёт, через который шли сомнительные транзакции, могут заблокировать.
Впрочем, и сами банки взломать не так уж сложно. Специалисты Positive Technologies уподобились хакерам и проверили защиту крупнейших финансовых организаций. Результаты настораживают: систему взломали всего за 5 дней. Половину банков вскрыли через их же сайты, в остальных случаях – в самом офисе через обычную розетку либо Wi-Fi, рассказывает ведущий аналитик по информационной безопасности Positive Technologies Екатерина Килюшева.
КИЛЮШЕВА: В первую очередь уязвимы веб-приложения – как собственной разработки банка, так и программы с устаревшими версиями ПО. Такая же проблема – и в их локальной сети. Кроме того, в большинстве банков используются простые пароли. Это приводит к тому, что злоумышленник может получить полный контроль над какими-то платёжными системами, банкоматами, провести другие мошеннические операции. Например, проводить атаки на клиентов.
Специалисты пока не придумали универсальную защиту от мошенников и дают общие советы: не скачивать сомнительные файлы, обновлять программное обеспечение компьютера и смартфона, на котором установлен интернет-банк. Кроме того, стоит поставить антивирусную программу со встроенным файерволом. Это исключит передачу данных без ведома владельца. И главное – не заходить в интернет-банк через публичный Wi-Fi в ресторане или метро: пароли могут легко перехватить. Интернет-чистоплотность снижает шансы того, что ваш личный онлайн-кабинет станет чьей-то «прачечной».