Как работает любая игра

Немного о том, как вообще работает любая игра.
Вообще, данный процесс можно описать коротким куском псевдокода:

Казалось бы, ничего сложного в этом нет. Но на деле за каждой функцией() скрывается килотонна кода. Потому что надо заранее описать все данные, которые игра должна загружать, считывать от пользователя, передавать в другие функции, которые правильно обработают различные игровые объекты.

Все эти данные содержит в себе движок игры, подготовкой которого я как раз занимаюсь. Нужно описать каждый тип объектов в игре – будь то фоновая фиговина, персонаж, объект, поднимаемый или используемый предмет. После этого надо придумать, как именно происходит взаимодействие между ними, убедиться, что, например, игрок подбирает предмет, а не предмет – игрока.

Это довольно труднявая работа. Особенно если занимаешься ею всего 1-2 часа в сутки (больше реально не получается уделять, я не успеваю за учебой, работой и творчеством на фикбуке).

“Откуда они взяли мои данные?!”

Вы сами виноваты в этом. Смиритесь!

Люди в интернетах вообще редко фильтруют, что они выкладывают и куда. Буквально поискав полчаса, я нашел по ссылкам несколько интимных фотографий, сканов личных документов, конфиги каких-то серваков в Польще и пару десятков восстановлений пароля на разных сервисах.

То есть, конфиденциальной информации повышенной ценности. И потом мы удивляемся хакерам, шантажистам, взломанным учеткам и всему такому прочему…

Про черные колл-центры. Как устроены, сколько зарабатывают и почему их так дохуя?

Драсьте, вам звонит-мэ слущб писяпаснсть ващ панка…

Общеизвестный вид мошенничества

Колл-центр очень прост по своей структуре, очень дешев в плане организации и, так уж исторически сложилось, центром этого мошенничества является именно территория постсовка. Почему так? Скорее всего, потому, что у буржуев с телефонией шутки плохи (карается дюже уж строго), да и народ там уже прохаваный, привычный, что банк плевать хотел на клиента, особенно – на мелкого.

Организация процесса – дело непыльное. Жуликам потребуется:

  • помещение с лепестричеством
  • столы и стулья
  • компы
  • старые ip-телефоны
  • gsm-шлюз (достаточно “свистка”, модема с сим-картой)
  • сим-карты (лучше – городской номер или корпоративные симки)
  • база данных клиентов банка (свежие базы на руторе каждую неделю)
  • много-много банковских карт, оформленных на дропов
  • один-два человека у разных банкоматов
  • сценарии, как разводить людей в разных ситуациях (от примитивного “служба безопасности банка” до “это полиция, ловим мошенников – побудьте наживкой”)
  • исполнители (мало-мальски харизматичные люди, лучше всего – молодые девушки с подвешенным языком, без акцента), которые будут все делать

Дальше схема отработана. Сценариев на одном колл-центре – минимум полсотни для разных ситуаций. Исполнители заучивают все сценарии наизусть, чтобы от зубов отлетало. И начинается жатва.

Успешность проекта зависит от исполнителей, а также от слаженности и оперативности работы

Если из тысячи звонков в одном случае будет перевод денег – это окупает проект

Если в пяти случаях из тысячи – это успешный колл-центр.

Если в десяти случаях из тысячи есть перевод – это профессионалы, которые ни в чем себе не отказывают и балуют исполнителей по-царски, но и требуя с них уровня подготовки.

Средняя прибыль с колл-центра на 20 человек. Считаем:

20 человек. Обзванивают каждый минимум по 500 человек в день (реально могут и больше, ведь не все берут трубку, да и бота-звонилу завести нетрудно). 10000 звонков в день. С выходными, перекурами, простоями, когда нет новых баз – 200 000 звонков в месяц.

Допустим, с 200 000 звонков им назовут код 200 человек (один с тысячи). И пусть с каждой карты они украдут по 5 тысяч гривен – средняя сумма, которая наскребается с карты средней паршивости

Примерно миллион гривен (два с половиной мульта рублей) в месяц. Минус сто тысяч гривен на аренду и расходку типа воды и коммуналки. Минус 600 тысяч на зарплаты исполнителям.

Чистая прибыль бизнеса – 300 тысяч гривен (700 тысяч рублей) в месяц при минимуме затрат на организацию и поточные расходы. А если бизнес накрывают, владелец может быстро устроить еще один. И еще. И еще. И еще. Потому что, чаще всего, накрывают именно исполнителей, которые могут с организатором даже ни разу лично не видеться, просто работая за зарплату, приходящую вовремя и без задержек

Стереотипный образ хакера. Откуда он взялся?

Вот такой вот образ 🙂

Сегодня поговорим о том, откуда пошел стереотипный образ хакера как эдакого компьютерного панка.

А пошел он из поздних 70х и ранних 80х, в самый бум субкультур на “загнивающем западе”.

Тогда так вышло, что компы и ранние интернеты, в основном, для личных, нерабочих целей, познавала молодежь из субкультур. в основном – панки (удобство просветительской деятельности и кооперации), металлюги (обмен треками, информацией и заказы на оборудование с другого края мира), киберделианцы (субкультура киберпанка, типы, которые могли отхуярить себе руку только для того, чтобы заменить ее киберпротезом) и разные прочие личности.

А поскольку интернеты тогда были маленькие и мозгов у компов было меньше, чем у юзеров, настроить даже небольшую ВВС (Би-Би-Эс) или форум было подвигом и вообще кулл. Надо было люто шарить сеть и компы, иногда выходя за рамки приличия и привычного понимания технологического уровня. отсюда всякие “хаки” – нарушения уровня и технологии вроде ванны с глицерином для разгона компа с 7 до 80 мгц и т.д.

Кроме того, надо было иногда добывать информацию ограниченного доступа типа чертежей устройств, справочников со схемами городской коммутации, телефонных справочников и форумов, так что постепенно хакерство превратилось из научного понятия, значившего энтузиастов, способных наебать технологии, в нечто более криминальное.

Плюс демонстративные съемки арестов хакеров-субкультурщиков, плюс упоротое кино типа “Хакеры” образца 1995 года. Ну и постепенно сформировалось то, что сформировалось.

Серьезные люди постепенно тоже начали заниматься хакерством, а субкультуры пошли на спад в ранние 90е, но общий паттерн в сознании людей остался.

Анонимность и кто ее нарушает

Если кратко – сейчас, дабы остаться достаточно анонимным, нужно предпринять чуть менее, чем дохрена действий. Впрочем, нельзя сказать, что раньше было сильно лучше, но в последние лет пять средства слежения сделали гигантский скачок вперед. Сегодня попробуем разобрать все основные этапы, на которых вас, если вами, конечно, кто-то заинтересуется, реально отследить и как от этого “отследить” избавиться.

  1. Провайдер

Провайдер – это современный Джон Сильвер. Он с виду добрый и безобидный дядька, который улыбается вам в лицо и делает доброе дело, но за вашей спиной он преследует только собственные интересы. Для хакера его провайдер – его злейший враг. Конечно, в режиме 24/7/365 никто за вами не следит, но если на ваши девайсы придет ориентировка (например, прокуратура запросит, с какого адреса в сети провайдера делались запросы на сайт по продаже наркотиков), провайдер мигом вычислит свитч и порт, к которому привязан адрес, на кого по договору оформлен тот или иной порт – и сдаст это все кровавой гэбне.

Решение – VPN-сервисы, использование чужого источника трафика (подключение через “публичку” – например, через вай-фай кафешки по соседству), использование “чистого” устройства без личных данных. Желательно – использовать 2 из 3 одновременно. VPN, кстати, не всегда панацея, ибо до первого “хопа” в лице маршрутизатора провайдера трафик все равно виден, хотя и зашифрован. Так что если ты решил побыть педобиром или хочешь закосплеить Дона Корлеоне – не думай, что VPN заменит тебе личную мантию-невидимку.

  1. Безопасники и админы локалки

Допустим, мы смогли наебать провайдера, подключившись к чужой сети и успешно построив мосты. Теперь второй этап – наебать админов локалки, если они есть. Не обольщайся, даже если ты сидишь в макдональдсе на гостевом вай-фае, анализаторы трафика и логи оборудования, которые рано или поздно будут прочитаны админами, никуда не делись.

Видел когда-нибудь окошко “я согласен с условиями соглашения – получить доступ к сети”? Вот, это и есть тот самый момент, когда ты собственноручно даешь разрешение шпионить за своим трафиком.

Вариантов, кто будет писать твой трафик, на данном этапе хватает:

  • роутер
  • анализатор трафика (что-нибудь типа FortiAnalyzer)
  • файервол
  • сервер логирования
  • IDS
  • система мониторинга пользователей (Safeguard for Privileged Sessions и иже с ней)

Контрится возможность привязать трафик к вашему ПК использованием стороннего сетевого адаптера (юсб-свисток за 100 грн, самый дешевый). Даже если кто-то начал читать ваш трафик и что-то там анализировать, MAC-адрес у свистка отличается от такового в вашем ПК.

  1. Собственно, ПК.

Комп рядового юзера напичкан следилками, будто банка – шпротами. Операционка (за исключением пары видов линукса) следит, чтобы ты ничего не ставил из того, что запрещено или не имеет цифровой подписи, и пишет каждый твой шаг, прикрываясь твоей безопасностью. Браузер отсекает соединения на сайты с контентом ограниченного доступа, при этом пишет их в историю и делает лог на твой профиль. Частично – для таргетирования рекламы, частично – чтобы сдать тебя копам, как только будет нужно. И ни режим приватности, ни стертая история, ни vpn, ни даже заход на чужой профиль тебе не помогут. Антивирус пишет угрозы и сверяет, где ты мог их нахвататься… А ведь есть еще всякие приложения фейсбука, инсты, вайбера и прочего говна, которые тоже не брезгуют передать твои данные разработчикам в неебейшем количестве.

Обход этого этапа прост. Пользуйся другим компом на “работе”, никогда его не подключай в домашнюю сеть и не входи в свои профили. И не ставь лишние приложения.

  1. Ты сам.

Язык твой – враг твой. Большая часть талантливых ребят погорели не на технических трекерах, а на социальном аспекте. Ведь когда что-то сделал, особенно – не совсем законное – так хочется поделиться этим..

Тут только один путь сохранить анонимность. Имя ему ДРНЗ – держи рот на замке.

“Я взломал вашу ОС” и подобный скам

Технология анонимной массовой рассылки стара как мир и появилась еще до массового внедрения электронных почтовых служб. Принцип ее действия предельно прост:

  1. На любом ведре с выходом в интернет разворачивается простейший почтовый сервер (но, в принципе, можно и просто завести почтовый ящик на любой службе типа google или office 365).
  2. На сервер или почтовый ящик (подменой имени или поддельным сертификатом) вешается имя в духе no-reply@microsoft.corn или еще какой-нибудь несуществующий домен, чаще всего – похожий по написанию на настоящий.
  3. С сервера или ящика по слитой базе (продаются чуть ли не в открытую, цена почтовых баз примерно 40$ / 1000 валидных активных ящиков, но можно добыть и самому) рассылается письмо по шаблону, в котором мы либо требуем бабло за молчние, либо предлагаем перейти на сайт и придумать новый пароль.
  4. ????
  5. Профит.

Куда больше интересны сами письма. Вернее, разновидности писем. Мошенники всегда будут давить на ваши чувства и потаенные действия. Что есть у 70% людей в интернете? Правильно, визиты на порносайты. А что есть у 90% людей в сети? Сохраненные в браузере или компьютере пароли. А что еще есть? Боязнь потерять личные данные.

Бум! Вот у нас есть три точки давления, которые можно использовать в фишинге и спам-атаках. Менее, чем за пять секунд и без всякого анализа. Да, люди, у которых есть мозги, не поведутся на простейший шаблон, но если даже из тысячи человек хоть один пришлет деньги или личные данные – это успех.

Про поинтов

Поинты – это уже более приближенная к хакерам тема. Поинт – это чувак, который предоставляет хакеру свое устройство в качестве посредника для проведения кибератаки. При этом, делает это добровольно – не суть важно, за денежку или просто так. В этом, кстати, ключевое отличие поинта от бота – устройства последнего попадают в руки хакера без ведома самого бота, в то время как поинт сознательно идет на преступление.

Для чего это нужно преступнику? Главным образом, чтобы замаскировать свой настоящий адрес в сети, ведь никто не хочет светить свои собственные девайсы. Аналогичный принцип применяется во вполне официальных VPN-сервисах, только поинты, в отличие от разных VPN, используются отнюдь не для захода на сайты, заблокированные роскомпозором.

Конечно, такие вот “арендодатели” сильно рискуют перед законом (ведь если когда будет следствие, скажем, о распространении детского прона, то полиция придет к поинту, а не к заказчику), а потому правильный, опытный поинт либо сам покупает поинтов поменьше, через которых шлет трафик, либо организовывает у себя маскировочный трафик. Как правило – держит у себя сайт, файлообменник, легальный прокси-сервер или еще что-то, что активно гоняет трафик в сеть и из сети, дабы замаскировать лишнее и, если что, сказать прибывшей полиции, что, мол, “через меня ходит дохерища трафика, может меня взломали, я чистый аки младенец и вообще я тут жертва”.

Как получают доступ и как это вообще организовано?

На форумах и торговых площадках теневого сегмента полно предложений о сдаче в аренду компа под неопределенные нужды. Достаточно заплатить поинту любым удобным способом (чаще всего – криптовалюта) – и через некоторое время (от 2 минут до 8 часов) вам вышлют логин/пароль и инструкцию для подключения к сервису. Стоит удовольствие по-разному. Самые простые поинты могут сдавать свой комп за пару баксов в месяц, самые крутые – около четырехсот зеленых в месяц.

Разумеется, шифрование, анонимность и организация сети у самых топовых поинтов на высочайшем уровне, отдельные крупные поинты вообще могут держать не один комп, а целые серверные или иметь серваки в датацентрах по всему миру.

Часто у топовых поинтов данные идут через “луковичные” сети (обыватели больше всего слышали про Tor-браузер, но им одним все не ограничивается), недоступные из обычного сегмента сети. Или данные отправляются в “миксер” – специальный сервис, тасующий внутри себя различный трафик. Или пускаются в петлю – то есть трафик много раз ходит между разными компами, возвращается обратно и только после этого пересылается дальше. Или или или. Десятки вариаций.

Однако, таких вот, продвинутых сервисов – единицы и получить к ним доступ очень трудно, ведь организаторы не пускают на свои сервера всех подряд. Тут уже решают не деньги, а репутация в теневом сегменте интернета – никто не хочет дать доступ полиции или спецслужбам. Гораздо более часто поинты представляют из себя просто комп или роутер, включенный 24/7, с белым адресом (если максимально просто – это адрес, по которому комп работает с глобальной сетью и который видно из любой точки мира) и впн-сервером типа openvpn. Чаще всего обладатели таких компов – школьники и студенты, решившие скоренько срубить легких деньжат и причаститься к “чему-нибудь эдакому”.

Я пользовался поинтами для своих целей и не один раз, некоторое время сам держал у себя небольшой узел тор-сети. Тема удобная не только для киберкриминала, но и просто для личной безопасности в интернете, хотя если пользователь дурак – его ни одна система защиты не спасет. Если кто надумает пользоваться – ничего дурного про это средство сказать не могу, кроме того, что это иногда может быть довольно дорого.

Про курьеров

Курьеры – довольно важный вспомогательный персонал в мире киберкриминала. И речь тут не только о кладменах, которые разносят наркоту по городу. Даже не столько о них, сколько об информационных курьерах, которые носят грузы куда как более серьезные, чем пакетик с граммом метамфетамина. Риска много, ибо, как и дроп, кура ходит со “сроком” в кармане, платят по мере объема и незаконности груза, срочности и т.д., но, обычно, не очень много. Да, средний студент, живущий от стипухи до стипухи, считает 10$ за заказ серьезным баблом, а для рядового школьника это вообще бабло офигенное, но в мире киберкриминала обращаются суммы, сопоставимые с бюджетами отдельных стран, а потому диапазое 5-20$ за заказ – это мало.

В отличие от дропов, кура – это пусть и не важная персона, но уже более-менее фильтруемая специальность, кого-попало в это дело стараются не брать. Главные критерии отбора – знание окрестностей, находчивость и хотя бы минимальная физическая форма. Разумеется, дабы сэкономить, могут иногда брать и без отбора, но основная масса профессиональных курьеров старается держать себя в форме – их, как и волка, ноги кормят. Вербуют кур через сеть или по дальним знакомствам через пятые руки. Дураков, желающих срубить баблишка по-скорому, хватает.

Задача куры примитивна: принять полный рюкзак незаконных грузов на “базе” – специальном месте (гараж, съемная квартира и т.д.), где хранится сразу много товаров – и разнести по местам заказа. Изредка – отдать лично в руки, но чаще – просто донести до точки закладки груза или до почтового ящика получателя. За один раз кура разносит от 5 до 40 грузов, в зависимости от объема, веса, состава груза, а также опыта, личных навыков и наличия/отсутствия транспорта. Лично я знал куру, который владел драндулетом типа “шевроле авео” и за день в Киеве развозил по 30-40 крупных грузов, отбивая, в среднем, по 10-15 баксов с заказа, то есть – имел примерно 350$ в день. За вычетом горючки на руки получал 280-300$. Правда, проработал недолго – через несколько месяцев его приняли с грузом – кажется, с банковскими базами – получил 1 год и 4 месяца по статье 361-2 уголовного кодекса Украины.

Что возят куры? Все, что надо отвезти. Отпечатанные болванки, поддельные кредитки, конспиративные телефоны, технику, скиммеры, хакерские и кардерские программы, носители с базами данных, “заряженные” (готовые к работе) считыватели радио-меток или платежные терминалы, наркоту, оружие, поддельные и настоящие, но противозаконные документы (ОАО “Ромашка”, оформленное на бомжа, помните?), снаряжение разного рода, фальшивые деньги… В общем, все, что только можно унести одному человеку.

Естественно, курьеров, если они хорошо исполняют свою работу, не убивают и не держат в рабстве – организаторам незаконной “почты” отнюдь не хочется к возможному сроку получать еще лет десять за устранение Васи Пупкина из Нижнего Зюзино, который и так никому ничего не скажет. Они сами себя пристегивают к делу, чаще всего. Кто-то очень много должен, кто-то просто привык к быстрым (но отнюдь не легким) деньгам, кто-то торчит на адреналине (а когда на руках есть “груз” – трясет о-го-го), а кто-то опасается, что из бизнеса есть только один выход – ножками вперед, что, конечно же, не есть правда.

Что будет куре, если его ловят? По-разному. Самое мягкое – штраф от 50 до 1000 необлагаемых минимумов (в Украине для правонарушений – по 1240 гривен каждый “минимум”), самое суровое – 10 лет строгого режима с конфискацией. Все, конечно же, зависит от ситуации и коррумпированности полиции в городе – в некоторых местах куры могут банально откупиться, но в большинстве случаев они уедут в места не столь отдаленные.

Другой вопрос, что будет, если кура потеряет груз или кинет нанимателя? Если груз реально утерян (организаторы “почты” не идиоты, а потому прекрасно знают, когда кура пытается их кинуть, а когда – реально теряет груз, что спасти себя) – кура, чаще всего, его компенсирует или отрабатывает.

Хотя если груз был мелким, а репутация куры – офигенски высокой, то могут и списать случай. Если же кура пытается кинуть нанимателя, украв товар или заложив сеть полиции – ситуации будут разными: от терморектального криптоанализа и крупной “оплаты неустойки” до физического устранения.

Как защититься – писать нет смысла, кура прямого вреда не несет. Могу только дать дружеский совет молодежи, которая хочет попытать счастья в работе куры – будь то закладки наркоты или другие незаконные грузы:

Чуваки, не надо! Оно того реально не стоит. Да, бабло быстрое, но отнюдь не легкое, но когда (Не “если”, а “когда”! Всех ловят рано или поздно, не льсти себе!) тебя повяжут с грузом – ты не только загубишь свое будущее судимостью, но и оставишь во много раз больше денег либо на зоне, либо в процессе “откупа”.

Про дропов

Как в легальных профессиях не обходится без вспомогательного персонала (техподдержка, курьеры, разнорабочие), так и в теневом мире у специалистов есть помощники: отвезти незаконный груз, отвлечь людей, снять деньги с чужой кредитки… Делается это для того, чтобы не попасть в поле зрения правоохранителей.

Сегодня расскажу про дропов. Кто они, что делают, где их берут и так далее.

Дроп – это подставные лицо, ноги и руки, если максимально обобщить. Работа дропа, как правило, связана с огромным личным риском, а потому на эту роль берутся либо новички (дропы 1 типа), либо отчаявшиеся люди, ищущие быстрых и легких денег (дропы 2 типа). Работа очень и очень грязная поскольку дроп все время своей работы ходит со “сроком”, то есть – с поличным, в кармане и первая же, даже случайная, проверка полиции, обеспечит его сроком от 3 лет условно до 15 лет строгого, в зависимости от страны истории и навыков адвоката. Собственно, поэтому здравомыслящие люди на это не идут.

Дроп второго класса – это, чаще всего, алкаш со двора, бомж, прикормленная мелкая шпана и гопота с района. Таких не берут в космонавты на более-менее крупную или условно-чистую работу – мордой не вышли. Ну, серьезно… Вы бы, на месте интернет-магазина, выдали явному бомжу, который выглядит и воняет именно как бомж, прибывший из условной Италии ноутбук за два килобакса? Документы-документами, но подозрения будут, верно? А если бомж придет не раз и не два, а, скажем, раз двадцать? И каждый раз за грузом на крупную сумму… Потому дропы второго класса используются в таких черных делах, как оформление микрокредита на левое лицо, оформление фирмы в духе ОАО “Ромашка”, для снятия денег с банкоматов и для разных рискованных операций.

Дропы же первого типа – более интересная тема. Чаще всего, дроп первого типа – это “мамкин кулхацкер”, который решил понтануться в школе или универской общаге тем, что ему “серьезные люди серьезную работу доверили, разумеется, за серьезное бабло”… Чаще даже студент 2-3 курса, чем школьник – с несовершеннолетним много не получится сделать. Хотя я знал некоторых ребят, которые и в 16 лет успешно работали дропами, поскольку выглядели на 20 с копейками. Таких дропов набирают для дел, в которых обращаются уже +- крупные суммы.

Самый простой способ применения такого дропа – растаможка. В сети заказывается и оплачивается с левой кредитки куча товаров из-за границы, а приличный с виду дроп идет забирать товар с таможни, оплачивает растаможку (иногда также с левой кредитки, но чаще – налом) и относит груз настоящему заказчику.

Второй вариант – командировки. Дроп “заряжается” по полной программе: документы, билеты на эти документы, кредитки с хорошей штамповкой (с трафаретами, с проверенным балансом, с соответствующим документам именем картхолдера на карте и т.д.), не самый дешевый костюм и так далее по списку. После чего дроп оправляется в другой город, а в идеале – в другой регион. Можно и в другую страну, но в этом случае речь идет об очень крупных суммах, знакомствах на таможне и в миграционной службе и так далее… Добравшись до места, дроп идет по местным магазинам и отоваривается на офигенные суммы маленькими партиями, после чего грузит все купленное в машину (естественно, не свою, а взятую в аренду на подставное имя) – и рысью марш обратно. На месте дроп сдает товар на “склад” – либо реальное складское помещение, либо тупо снятый гараж/квартира, после проверки получает оговоренным способом деньги (как правило – от 10 до 20 процентов от суммы покупок) и отправляется на все четыре стороны. Да-да, в отличие от сериалов про ментов и бандитов, в реальности убивать исполнителя никто не будет – если исполнитель не дурак, то он и сам не проговорится, да и знать заказчика, скорее всего, он не будет, ведь кардеры, как правило, не идут на личные встречи и работают через сеть и службы доставки.

Что покупают на левые кредитки? Все, что ходовое, чего можно без подозрений купить и увезти в больших количествах и, при всем этом, быстро продается в интернете – никто не станет хранить у себя, по сути, краденный товар. Техника (самый ликвидный товар в сети), парфюмерия, элитное женское белье, часы, иногда – ювелирка, элитный алкоголь, снаряжение для рыбалки… Стоит дорого, места занимает не очень много, в сети за цену чуть ниже среднерыночной улетит в мгновение ока.

Как компаниям и магазинам защитить себя от подобных махинаций?

В случае, если дроп используется для снятия налички в банкомате – никак, разве что банкомат распознает карту как поддельную или заблокированную. В этом случае, Служба Безопасности банка либо сразу упакует неудачливого дропа на месте, либо снимет его фотку с камер банкомата и передаст полиции.

Если дроп забирает товар на границе – тоже уже никак, в этом случае компания уже допустила серьезный косяк, не проверив как следует данные плательщика и получателя и отправив заказ в Нижнее Пердяево, хотя карта, с которой оплатили заказ, зарегистрирована на Джона Смита из Сан-Франциско.

В случае же “командировки” – шанс поймать дропа и сохранить деньги есть. И немаленький. По закону, кассиры должны удостовериться, что клиент – тот, за кого его выдает платежная система. На чеке будет имя владельца и часть номера карты, с которой оплатили тот или иной заказ, а потому, в случае подозрения, кассир может и должен под любым видом сверить данные на карте и на чеке. Тут-то и появится возможность взять дропа с поличным, поскольку в 70% случаев будет отсутствие сходства в параметрах. Например, на болванке и в документах дропа написано, что он Иван Иванов, а вот карта-оригинал, с которой снят дамп, записанный на болванку дропа, оформлена на Петра Петрова.

Так должно быть. И некоторые магазины в той же Европе или в Штатах – особенно, если заказ сделан на большую сумму – вежливо попросят подтверждение личности. Но, по факту, большая часть магазинов (что у нас, что у буржуев) этого, почему-то, не делает – видимо, чтобы не обидеть “дорогого” и “уважаемого” клиента.

Про NFC

Сегодня поговорим про бесконтактную оплату в целом, NFC в частности, про то, насколько безопасна подобная технология и как себя обезопасить.

Штука удобная, популярная, часто используется в современных реалиях всеми, кому не лень для оплаты покупок в магазинах и кафе. Но вот насколько безопасной является бесконтактная оплата – другой вопрос.

Вообще, вся эта тема с бесконтактными картами началась еще в середине нулевых. Технологию NFC анонсировали в 2004 году как расширение для стандарта на бесконтактные карты на интегральных схемах. Сами же бесконтактные карты вообще появились в начале восьмидесятых, но первое время использовались не в финансовых организациях, а в военной сфере. И, надо сказать, с момента создания и по сегодняшний день общие позиции не особенно поменялись. Кому интересны подробности – посмотрите в сети. Общий стандарт на бесконтактные карты называется ISO/IEC 14443, а стандарт NFC, которому соответствуют все без исключения бесконтактные банковские карты – ISO/IEC 18092.

Сама по себе система бесконтактной оплаты, кстати, не очень сильно защищена. Когда технологию пускали в массы, разработчики сделали высокую ставку на малую дистанцию, с которой работает бесконтактная карта – до 10 сантиметров. Подразумевалось, что пользователь – не совсем дурак и как-то сможет увидеть, что в 10-сантиметровое расстояние между его карточкой и POS-терминалом (в миру – терминалы оплаты) попало что-то постороннее.

Кроме того, ввиду особенностей стандарта NFC, которому подчиняются бесконтактные карты, вышло так, что занести поддержку нормального шифрования не вышло – скорость соединения и максимальный объем данных NFC-чипа (меньше килобайта) не позволяет засунуть в него серьезные алгоритмы. Конечно, совсем без криптографии систему обмена данными не оставили, но получился, прямо скажем, “замок от порядочных людей”. Почему так? Потому что при оплате большую часть работы с защитой данных возьмет на себя именно терминал – он и зашифрует, и передаст защищенным каналом связи, а дальше уже за работу возьмется защита банков, через которые пойдет ваша транзакция. По крайней мере, так планировалось.

В принципе, для того, чтобы увести данные бесконтактной карты, особого секретного колдунства не нужно – достаточно заказать портативный RFID-считыватель и настроить его особенным образом. Штука совершенно легальная, продается, как и энкодер для карт с магнитной лентой, в открытую. Стоит в районе 20 баксов. Да, кстати… Еще существует великое множество софта для чтения RFID-меток на андроид. Да, в гугл-плее тоже есть, если кулхацкер в достаточной степени дурак, чтобы скачивать приложение для грязной работы из гугл-плея – третьей системе в мире по количеству слитых персональных данных (после эппл-стор и фейсбука).

Так вот… После покупки считыватель подключается к телефону или ноутбуку и настраивается автоматический запрос снятия небольшой суммы (скажем, 500 рублей, что примерно равно 220 гривен). Почему именно небольшой суммы? Ответ прост – при снятии суммы до определенного порога не требуется вводить пин-код. В разных странах этот лимит разный, но, например, в Украине по картам Mastercard без пин-кода можно снять до 500 гривен (примерно 1200 рублей) за транзакцию, а с карт VISA – до 1500 гривен (4000 рублей).

Описанная выше “машинка” кладется в карман куртки или джинсов (штука небольшая, примерно как средний телефон по размерам)- и все. Можно идти обрабатывать людей. Как это делается? Разумеется, некоторые предпочитают принцип “хочешь делать хорошо – делай сам”, но разумное большинство киберпреступников запустят на это дело очередного дропа.

Как бы там ни было, человека с подобным аппаратом (телефон+RFID-читалка) запускают на прогулку по местам с огромной концентрацией людей на квадратный метр. В метро, в переполненный автобус, в торговый центр на момент распродажи, на улицу с большой концентрацией офисов, а значит – и потоком людей. И все. Дропу даже делать ничего не надо – в плотной толпе жертвы сами окажутся рядом со считывателем. Жертва подошла впритык- считыватель снял данные карточки в кармане жертвы – программулина на телефоне запросила перевод небольшой суммы – пин-код платежная система не запрашивает – сумма улетает на указанный счет. Алгоритм простой. Если хватает наглости и отсутствует чувство самосохранения – повторять пока не выберется весь дневной лимит карты или не кончатся люди вокруг.

Да, с одной транзакции так много не получить, но за день дроп, прокатившись по линии метро туда-обратно раз эдак тридцать, может наснимать весомую сумму. И, поскольку у больше чем половины людей отключено информирование о транзакциях по СМС, заметят пропажу денег очень и очень нескоро. А даже если и заметят вот прям на месте – доказать причастность дропа очень трудно. В конце концов, RFID-читалка маленькая и в глаза не бросается, особенно если лежит в куртке.

Как защититься от этого?

Правило 1. Не кладите бесконтактную карту просто в карман или сумку. Озаботьтесь если не экранирующим чехлом, то, хотя бы, плотным кошельком. Поскольку расстояние работы протокола оплаты маленькое, даже один лишний сантиметр между картой и преступником решает ситуацию в вашу пользу.

Правило 2. Всегда отключайте режим NFC на телефоне, если не надо оплачивать вот прямо сейчас. Если в случае с картой вы рискуете только не очень крупной суммой, то в случае с техникой можно не только скачать часть данных, но и забросить на устройство небольшие файлы и затем увести у вас важную инфу.

Правило 3. Поставить информирование по транзакциям. Серьезно, сделайте это, если еще не сделали. Чем оперативнее вы отреагировали и набрали банк по поводу кражи – тем выше шанс, что транзакция еще не ушла за пределы процессингового центра банка и что ее отменят, вернув ваши кровные.