Фальшивые приложения банков: ключевые признаки фишинговых программ

В предупреждении от 14 августа 2023 года ФБР описывает схему, в которой вредоносная программа показывает поддельную форму поверх настоящего банковского приложения. Введённые данные могут попасть к мошенникам, хотя для пользователя вход выглядит обычным.

В этой схеме особенно трудно полагаться на внешний вид экрана: логотип и знакомые цвета не подтверждают подлинность программы. Поэтому финансовое мошенничество через поддельные приложения признаки которого стоит знать заранее, важно рассматривать не как одну заметную ошибку, а как сочетание подозрительного источника установки, необъяснимых разрешений и странного поведения устройства.

Анатомия фишинговой атаки: как вредоносный софт копирует интерфейс финансовых организаций

Фишинговая программа может имитировать экран входа в банк и показать его в момент, когда пользователь открывает настоящее приложение. ФБР описывает именно такой сценарий: человек вводит имя пользователя и пароль в форму, которая выглядит знакомо, а данные оказываются доступны злоумышленникам. По одному только интерфейсу отличить такую подмену бывает трудно.

Нельзя считать, что все вредоносные приложения действуют одинаково. Их возможности зависят от устройства, версии операционной системы и разрешений, которые пользователь предоставил при установке. Поэтому аккуратнее говорить не о гарантированной последовательности этапов, а о признаках, которые могут указывать на риск:

1. Приложение предлагает войти в банк, хотя его источник или разработчик вызывают сомнения.

2. Экран входа появляется после установки программы, которая не связана с банковским обслуживанием.

3. Программа просит разрешения, не объясняя, зачем они нужны её основной функции.

4. После установки устройство ведёт себя необычно: появляются неизвестные приложения, всплывающие окна или навязчивая реклама.

Поддельная форма может быть похожа на настоящую, но сам факт сходства ещё не доказывает наличие вредоносного ПО. И наоборот, отсутствие заметных ошибок в оформлении не делает приложение безопасным. Проверять нужно не только экран, но и происхождение программы, имя разработчика и запрашиваемые доступы.

Знакомый логотип на экране не отвечает на главный вопрос: откуда установлено приложение и кто его выпустил.

ФБР описывает поддельный экран входа. Это не позволяет автоматически заключить, что тем же способом подменяются подтверждение переводов, привязка карт или восстановление пароля. У подобных действий могут быть собственные риски, но приписывать их конкретному предупреждению без подтверждения нельзя.

Если пользователь уже вводил данные в подозрительную форму, безопаснее связаться с банком по номеру с официального сайта или с банковской карты. Не следует использовать телефон, ссылку или адрес, которые пришли вместе с сомнительным сообщением. Банк сможет подсказать, какие действия предпринять для защиты аккаунта и проверки операций.

Технические механизмы перехвата: злоупотребление системными разрешениями и SMS-коды

Отдельная угроза связана с одноразовыми кодами и доступом к сообщениям. В предупреждении от 10 июня 2020 года ФБР указывает, что поддельные приложения могут запрашивать разрешения, позволяющие получать SMS или использовать специальные возможности устройства. Такие доступы способны открыть приложению доступ к данным и функциям, которые не нужны ему для заявленной задачи.

Само по себе разрешение не доказывает мошенничество. Камера, геолокация, контакты или уведомления могут быть нужны легитимному приложению для отдельных функций. Вопрос в том, соответствует ли запрос тому, что приложение обещает делать, и можно ли понять, зачем ему этот доступ. Если объяснение расплывчатое или не связано с функцией, разумно не продолжать установку, пока происхождение программы не будет проверено.

Многофакторная аутентификация добавляет к паролю дополнительный способ подтверждения личности. Это полезный слой защиты, но его эффективность зависит от того, какой именно фактор используется и что произошло с устройством. Если приложение или другой вредоносный компонент получает доступ к сообщениям, SMS-код не следует считать достаточной защитой от всех сценариев.

Поэтому MFA не заменяет проверку программы и осторожность при установке. Если банк предлагает несколько способов подтверждения, стоит изучить их в официальном приложении или на сайте. При этом не нужно переходить по ссылкам из подозрительных сообщений, чтобы включить или настроить защиту.

Косвенные маркеры угрозы: аномалии поведения приложений, батареи и интерфейса

ФБР перечисляет признаки, которые могут указывать на проблему, но сами по себе не подтверждают заражение. К ним относятся быстрая разрядка батареи, замедление работы устройства, неизвестные приложения, навязчивая реклама и неожиданные всплывающие окна. Каждый из этих симптомов может иметь и другое объяснение. Например, батарея быстрее разряжается после обновления системы или при интенсивном использовании телефона.

Важна совокупность сигналов. Если одновременно появилась незнакомая программа, устройство стало работать медленнее, а недавно установленное приложение просит доступ к SMS без понятной причины, это повод остановиться и проверить ситуацию. Не стоит сразу считать любой сбой доказательством атаки, но и игнорировать несколько совпавших признаков неразумно.

В карточке приложения тоже есть детали, которые помогают оценить риск. ФБР обращает внимание на несоответствие разрешений заявленным функциям, ошибки в описании, расплывчатую информацию о продукте и недостаток сведений о разработчике. Большое число загрузок при малом количестве отзывов или их отсутствии также может быть поводом для дополнительной проверки. Ни один пункт не служит окончательным доказательством: карточку можно изучить, но подлинность лучше сверять через официальный канал банка.

1. Поведение телефона. Устройство стало заметно медленнее, быстрее расходует заряд или показывает рекламу вне привычного контекста.

2. Неизвестные приложения. В списке установленных программ есть то, чего пользователь не устанавливал или не узнаёт.

3. Разрешения. Программа просит доступ к данным и функциям, которые не объясняются её назначением.

4. Карточка в каталоге. Описание содержит ошибки, разработчик представлен неясно, контактов мало или их трудно проверить.

5. Несовпадение источников. На сайте банка указано одно приложение, а ссылка из сообщения ведёт к другому.

Если обнаружена неизвестная программа, сначала стоит установить её название и источник, а не открывать её повторно из любопытства. При подозрении на банковское приложение можно сверить его с официальным сайтом банка и обратиться в поддержку по известному номеру. Если вводились банковские данные, сообщите об этом банку и следуйте его рекомендациям. Не отправляйте пароли и коды сотруднику поддержки: для проверки ситуации достаточно описать, что произошло.

Векторы доставки: фишинг, романтические схемы и риски обхода официальных каталогов

ФБР описывает несколько способов, которыми мошенники подталкивают людей установить вредоносное приложение. Среди них фишинговые сообщения и схемы, основанные на доверительных отношениях. В первом случае человеку могут предложить перейти по ссылке, замаскированной под уведомление банка или другой службы. Во втором знакомый по переписке может настойчиво рекомендовать приложение для общения или защиты данных.

FTC предупреждает, что ссылки и вложения из подозрительных сообщений могут привести к установке вредоносного ПО. Это не означает, что любое нажатие автоматически устанавливает программу: пользователь может увидеть страницу загрузки, запрос разрешения или другое предупреждение. Но если сообщение неожиданное, а ссылка ведёт к установочному файлу или предлагает обойти привычный магазин приложений, продолжать не стоит.

Отдельный риск связан с бета-версиями и программами раннего доступа. ФБР предупреждает, что такие версии могут проходить не те же процессы проверки, что приложения в официальных каталогах. Само участие в бета-тестировании не делает программу вредоносной, однако просьба установить банковское приложение по ссылке из переписки требует особенно внимательной проверки. Уточнить, проводит ли банк такую программу, следует через его официальный сайт или поддержку.

Обход каталога может происходить разными путями: через прямую ссылку, файл APK или страницу, которая копирует внешний вид магазина приложений. Название и иконка при этом могут напоминать банковские. Поэтому нельзя считать поисковую выдачу или ссылку из сообщения достаточным подтверждением подлинности. Надёжнее открыть официальный сайт банка самостоятельно и перейти к приложению оттуда.

У ФБР также приводится оценка, согласно которой в крупных магазинах приложений в 2018 году обнаружили около 65 000 поддельных программ, маскировавшихся под легитимные сервисы. Эта цифра относится к указанному периоду и широкому кругу приложений. Она не показывает, сколько поддельных банковских программ существует сегодня, и не позволяет оценить риск для конкретного пользователя.

Романтическая схема особенно опасна тем, что просьба установить программу может выглядеть не как техническое действие, а как часть общения. Если человек, с которым вы познакомились в сети, просит установить приложение вне официального каталога, передать код или войти через банковский аккаунт, не спешите выполнять просьбу. Доверие в переписке не подтверждает безопасность файла.

Меры снижения рисков: проверка происхождения ПО и роль многофакторной аутентификации

ФБР рекомендует загружать банковские приложения из надёжных источников и проверять их через официальный сайт финансовой организации. На практике это означает, что лучше не искать приложение по ссылке из сообщения: откройте сайт банка самостоятельно и перейдите к каталогу приложений оттуда. Сверьте название программы и разработчика, а при сомнениях обратитесь в банк через проверенный канал.

Перед установкой обратите внимание на несколько вещей:

• совпадает ли приложение с тем, на которое ссылается официальный сайт банка;
• можно ли понять, кто указан разработчиком и как с ним связаться;
• объясняет ли описание назначение приложения и его основные функции;
• соответствуют ли запрашиваемые разрешения этим функциям;
• не предлагают ли вам установить файл APK или бета-версию по неожиданной ссылке.

Эта проверка не гарантирует, что приложение безопасно, но помогает заметить несоответствия до установки. Если программа уже установлена и вызывает подозрения, не вводите в неё пароль и одноразовые коды. Свяжитесь с банком по номеру или адресу, найденному самостоятельно на официальном сайте. FTC также советует обращаться к организации через известный пользователю настоящий контакт, а не через данные из подозрительного сообщения.

Многофакторная аутентификация полезна, потому что добавляет к паролю второй фактор. Но она не отменяет риск, если этот фактор доступен вредоносной программе или если пользователь сам передаёт код мошеннику. В частности, SMS может оказаться уязвимым, если приложение получило доступ к сообщениям. Если банк предлагает альтернативные способы подтверждения, изучите их в официальном канале и выберите подходящий.

Если вы подозреваете, что вводили данные в поддельное приложение, действовать лучше без задержки. Прекратите вводить сведения, сообщите банку о возможной компрометации, проверьте операции и смените пароль через официальный сайт или приложение, подлинность которого вы сверили. Если на устройстве есть неизвестные программы, не открывайте их и обратитесь к официальной поддержке за инструкцией по дальнейшим шагам. Не используйте для этого контакты из самого подозрительного приложения.

Защита начинается не с умения распознать подделку по шрифту. Внешне убедительный экран может быть лишь частью схемы, а отдельный сбой телефона ещё не доказывает заражение. Надёжнее сопоставлять несколько сигналов: где нашли приложение, кто его выпустил, какие разрешения оно просит и что изменилось в работе устройства. Если источник вызывает сомнения, лучше не устанавливать программу и уточнить информацию у банка напрямую.