Новые сотовые сервисы пришлись по душе... мошенникам

Контентные сервисы в сотовых сетях остаются любимым инструментом мошенников. На какие только уловки они не идут, убеждая отправить сообщение на короткий номер... Впрочем, теперь злоумышленники научились подписывать абонентов на платные услуги без их ведома! В этом им невольно помогла услуга «МегаФона» под названием UMS. С её помощью можно получать и отправлять SMS от имени абонента не с сотового телефона, а со специального сайта. Для этого владельцу номера достаточно авторизоваться на web-страничке. Обойдя эту преграду, мошенники получили доступ к SMS-переписке абонентов во многих регионах, — включая Ростовскую область. А затем UMS использовалась для оформления платных подписок...

По мнению экспертов, ключевой уязвимостью UMS стало отсутствие кода CAPTCHA на стартовой странице. Что позволило преступникам авторизоваться простым перебором паролей (логином в сервисе является сотовый номер). Однако доподлинно неизвестно, откуда у мошенников появилась база номеров. Возможно, информация поступила из трояна или клавиатурного шпиона. Ведь для UMS-авторизации используется аккаунт системы «Сервис-гид», — а после первого входа подписка оформляется автоматически.

Единственным следом, который мошенники не смогли скрыть, стали всё те же SMS, копии которых система присылала на телефоны жертв. Из первого сообщения пользователи с удивлением узнавали об авторизации на UMS-портале и подключении услуги. А затем, с интервалом в пару секунд, приходила информация об оформленной контент-подписке. Такая оперативность свидетельствует о высокой степени автоматизации — и использовании мошенниками специального «софта».

Для своих действий мошенники выбрали ночное время, рассчитывая, что абоненты не сразу отреагируют на SMS-оповещения. Впрочем, даже оперативные обращения в техподдержку по таким фактам не гарантируют быстрый результат. Дежурные специалисты могут списать проблему на некомпетентность звонящего. Об этом, в частности, свидетельствуют отзывы на одном из форумов Ростовской области.

Тем не менее, зафиксировав массовые обращения пользователей, «МегаФон» принял меры к ликвидации последствий инцидента. Оператор отменил сомнительные подписки и добавил защитный код на сайт услуги.

Однако сам сервис остался в неизменном виде (прямо сейчас сайт недоступен — БЗ). В любом случае, нельзя исключать возможность его очередного взлома... Последнее весьма тревожно, ведь у большинства абонентов сотовые телефоны ещё и подключены к системам «Интернет-банк». Разработчики которых явно не рассчитывали на новый сервис «МегаФона», лишающий SMS-переписку приватности.