Не ходи к нему на встречу: Group-IB исследовала мошенническую схему со лжесвиданиями

От «антикино» к «антитеатру»

Первые случаи использования в России схемы Fake Date с приглашением на фейковые свидания в «антикино»— кинотеатр с залами для двоих — специалисты Group-IB фиксировали еще в 2018 году после обращений обманутых любителей романтики. Однако расцвет этой интернет-аферы пришелся на период, связанный с пандемией коронавируса, то есть 2020 год и первую половину-2021 года.

Для сравнения: если в 2019 году под схему Fake Date было зарегистрировано всего 25 фишинговых сайтов, то в 2020 году их было уже 263, а в 2021 году — 428 доменов. В этом году самым популярным «местом для свидания» у мошенников оказались театры и стендап-шоу (60%). Чуть менее раскрученные локации — фейковые рестораны, СПА и кальянные (35%). А вот тема с «антикино» после того, как ее подробно описали исследователи Group-IB, практически себя изжила. На нее приходится менее 5%.

Независимо от места для романтической встречи сценарий обмана выглядит примерно одинаковым: симпатичная «девушка» знакомится в сервисах Tinder, Badoo или в соцсетях с молодым человеком, быстро переводит диалог в мессенджер (обычно, Telegram) и сама приглашает его на свидание. Как бы случайно у «девушки» оказывается билет на спектакль или выступление звезды стендап-шоу. Она отправляет QR-код своего билета и предлагает выкупить место рядом с ней. После чего скидывает ссылку на сайт, где этот билет можно приобрести. Молодой человек оплачивает «билет» — теряет деньги, а «девушка» добавляет его номер в блэклист и больше не выходит на связь.

След от «Мамонта»

Всего эксперты CERT-GIB насчитали как минимум 24 команды мошенников, работающих по схеме Fake Date, причем их количество растет из года в год. Так, в 2019 году — 2 группы, 2020 году — 7 групп, 2021 году — 15 групп. Правда, не все из них уже действующие. В ходе исследования аналитики обнаружили связи доменных имен фишинговых сайтов из схемы Fake Date с ресурсами из популярной схемы «Курьер» (или «Мамонт»), нацеленной на кражу денег и данных банковских карт пользователей с помощью фейковых сайтов популярных курьерских служб и маркетплейсов. Более того, в некоторых случаях сайты были зарегистрированы одними и теми ж людьми.

Любопытно, что схема Fake Date практически полностью переняла у «Мамонта» иерархию, техническую базу, модель функционирования и даже слэнг («мамонтом» на языке мошенников называют жертву). Вся работа рядовых участников, так называемых «воркеров», координируется через Telegram, где созданы специальные чат-боты с готовыми фишинговыми сайтами под различные площадки — кинотеатры, театры, рестораны, кальянные, с уже настроенной генерацией билетов, чеков, подробными скриптами для переписки с жертвой. Для продвинутых скамеров налажена продажа «под ключ» записанных от лица девушек «голосовушек» — аудио и видео сообщений с приглашением на свидание. Кроме того, существуют отдельные Telegram-каналы с информацией о выплатах и чаты для общения «воркеров».

Согласно данным одного из скам-проектов, его выручка за год составила более 18 млн рублей при более чем 7 000 транзакций. Похищенные деньги поступают на банковские карты или кошельки «админов», которые выплачивают «воркерам» процент (от 70 до 80%) от каждой транзакции. При оплате жертвой «возврата», часть суммы получает еще и «прозвонщик» из технической поддержки, который «ведет» клиента.

Эксперты Group-IB рекомендуют не оплачивать покупки на незнакомых сайтах, не переходить по ссылкам, которые присылают неизвестные, приобретать билеты самостоятельно и только на проверенных ресурсах. Для пресечения подобных «продвинутых скам-схем» классического мониторинга и блокировки брендам уже недостаточно — необходимо выявлять и блокировать инфраструктуру преступных групп и использовать решения класса Digital Risk Protection.