Схема в Telegram: «медсестра», звонок на номер и «авторизация пройдена», затем просят СНИЛС. Как это работает?

Question

[artur_artur]

Опишу ситуацию, с которой столкнулся, и хочу понять, что это было и как защититься. Свои личные данные (номер, СНИЛС, какие сервисы проверял) не привожу.

Хронология:

В Telegram написала девушка, представилась медсестрой. Сообщила, что есть вопросы по моей медицинской карте и нужно ей перезвонить. Дала для звонка номер - не свой личный, а короткий городской. Для тех, кто будет искать: звонить просили на 8 499 555-55-55. Указываю номер для индексации вопроса в поисковых системах.

Я позвонил на этот номер. Вместо человека ответил автоответчик и произнёс: "Авторизация пройдена". Больше ничего сказано не было.

Я написал ей в Telegram, что при звонке услышал именно эту фразу. В ответ она сообщила, что не поняла меня, и попросила назвать СНИЛС. Называть я не стал. После этого она удалила всю переписку.

Примерно через сорок минут мне позвонили с другого номера и сообщили о подозрительных действиях на Госуслугах, упомянув выгрузку документов.

После этого я проверил Госуслуги и банковские приложения - чужих входов и подозрительных действий не обнаружил.

Вопросы:
- что это за схема и что означает фраза "авторизация пройдена" при звонке на такой номер;
- что даёт мошенникам сам факт моего звонка на их номер.

Comments

[Dymok]

Наверное, рассчитано на людей, которые подумают, что раз сказано умно "Авторизация пройдена", значит ахтунг, госуслуги взломали, ипотек набрали, а там уже позвонят, скажут, что для обеспечения безопасности госуслуг нужно перевести деньги на безопасный счет

[artur_artur]

Такой сценарий возможен. Но зачем так туманно - "Авторизация пройдена"? Логичнее сказать прямо: "Вход на Госуслуги выполнен" или "Ваши документы скачаны".

[artur_artur]

Дополнение: обнаружил, что авторизация через указанный номер телефона используется на сайте https://www.vanlang.ru/.

[Михаил Р.]

artur_artur,

Но зачем так туманно - "Авторизация пройдена"

Значит в результате А/Б тестирования было выявлено большее число мамонтов именно в таком формате.

[Daemon23RUS]

artur_artur, Примерно с десяток сайтов плюс минус таким способом подтверждают номер телефона клиента, так что вероятнее всего где-то Вы подтвердили свой аккаунт, в частности номер телефона. Ну и в рамках развода это может быть использовано. Ведь теперь Вы там "подтвержденный" клиент (с подтвержденным телефоном), а личный кабинет в руках мошенников

Answer 1

[Кот Абсолютный]

Работает довольно просто, весь расчет на психологию.

1. "Медсестра" - начальный заход, нужен только для того, чтобы был звонок на указанный номер. Вместо "медсестры" может быть "электрик", "сантехник", "оператор домофонов" - кто угодно, тут неважно, главное, чтобы человек повелся и позвонил.
2. Звонок по указанному номеру. Никакой авторизации там конечно нет, там стоит тупой бот, который запрограммирован произнести эту фразу. Почему именно так - чтобы человек напугался, подумал что взломали и начал дергаться.
3. Обратный звонок (может не быть). Говорят, что плохо слышно, спрашивают СНИЛС - по СНИЛС можно на ГУ зайти - если сказать СНИЛС наверняка последует дальнейший развод про взлом ГУ, ааааа, спасайте деньги на безопасный счет!
4. Так как фаза "обратный звонок" не прошла - с "якобы ГУ" позвонили самостоятельно и начали пугать - опять же в расчете, что чел испугается и начнет дергаться и тут опять конечно же ааааа, спасайте деньги!

Ничего нового, кроме начального захода.

Comments

[Daemon23RUS]

Звонок по указанному номеру. Никакой авторизации там конечно нет, там стоит тупой бот, который запрограммирован произнести эту фразу. Почему именно так - чтобы человек напугался, подумал что взломали и начал дергаться.

Примерно с десяток сайтов плюс минус таким способом подтверждают номер телефона клиента, так что вероятнее всего где-то ТС подтвердил свой аккаунт, в частности номер телефона. Ну и в рамках развода это может быть использовано. Ведь теперь он там "подтвержденный" клиент (с подтвержденным телефоном), а личный кабинет в руках мошенников

[Кот Абсолютный]

Daemon23RUS, Если он там не был ни разу, толку от ЛК будет немного, хотя например можно от его имени писать там (если там есть чат, форум или допустим оценка товаров) и оценки накручивать.

[artur_artur]

Daemon23RUS, собственно, меня это и беспокоит в первую очередь. С другой стороны, авторизация подобным образом вызывает вопросы.

[NSA-bot]

artur_artur, у вас вызывает, а человек далёкий от техники начнет дергаться и запугать его дальше будет легче

[Daemon23RUS]

Кот Абсолютный, Слишком много неизвестных, чтобы успокоится и утверждать что толку мошенникам 0
Во первых - не знаем какой сайт, во вторых - какие услуги оказывает. Что стоит мошенникам при регистрации указать номер ТС, а потом с подвигнуть его совершить "подтверждающий" звонок (что собственно и произошло). Не хочу нагнетать но давайте предположим, что это некая служба доставки. Уже появляется "окно возможностей". От имени зарегистрированного пользователя можно совершать какие либо действия, найдут еще "клиента" который эту услугу оплатит своей картой. Вполне возможная схема.
artur_artur Вам бы выяснить что за компания предлагает такое API и какая компания/сайт этим API воспользовалась, чтобы подтвердить пользователя, так и найдете что за сайт был (если вообще был) может вообще хотели чтобы вы просто услышали голосовое сообщение, на котором потом хотели развить парною.

P.S. Погуглил немного, попался сайт с рациями. Все что Выше писал примените сюда, заказали доставку, оплатили краденными деньгами, получили и неизвестно куда дальше отправили. Кинутся искать деньги придут к продавцу, тот и выложит данные ТС как покупателя, который к слову и знать об этом не знает.

[artur_artur]

Daemon23RUS, думаю, что узнать чье API использовалось, не представляется возможным. А что за сайт с рациями? Я только нашел магазин чая.

[Daemon23RUS]

artur_artur,

Пара скринов

Обратите внимание, у них это <div style="display: none;">
Еще парфюмерия попадалась, салон красоты, много чего, я не копал глубоко, Вы правильно сделали, что здесь номер засветили, и ответы полезные для тех кто через поиск телефона набредет сюда.

[artur_artur]

Daemon23RUS, интересно, зачем это делают?

[Daemon23RUS]

artur_artur, Если Вы про сервис со звонком на номер, вполне удобный способ подтвердить номер телефона клиента на сайте, отсеять ботов. Но и Ваш случай показывает, что вполне уязвимый.
А так - Контрразведчик должен знать всегда, как никто другой, что верить в наше время нельзя никому, порой даже самому себе. Мне - можно

[Ziptar]

Daemon23RUS,

отсеять ботов

вместе с хорошей частью клиентов, которые не будут никуда звонить, а пойдут туда, где разработчик/владелец адекватны

[Daemon23RUS]

Ziptar, Так я не топлю за эту шляпу, как опция - да я бы использовал, на ряду с другими методами как альтернатива. А главное, там где это действительно необходимо. Но с одним нюансом, АПИ мой и телефон мой.
Вот ТС своим вопросом показал что и особого доверия нет, клиента могли развести на звонок.

Answer 2

[Рикардо Санчес]

Первая часть - приманка и входная точка в сценарий развода.
Вторая часть и сам развод начинается отсюда:

Примерно через сорок минут мне позвонили с другого номера и сообщили о подозрительных действиях на Госуслугах, упомянув выгрузку документов.

И по плану вы должны начать паниковать и делать необдуманные поступки.

Социальная инженерия штука тонкая. Причём люди склонны отдавать всё сами, даже не нужны сложные затратные атаки и взломы.

Comments

[artur_artur]

Несколько странным выглядит звонить через 40 минут. Я думаю, что большая часть людей за 40 минут одумается и оценит ситуацию критически, заблокирует доступ к сервисам и поменяет пароли. Мне кажется логичнее звонить через более короткий промежуток времени.

[Рикардо Санчес]

artur_artur, это всё вообще рассчитано на тревожных людей. Там за 40 минут себе такого накрутят, что звонок от "доброго оператора с понятными инструкциями" как манна небесная.
Не исключена плохо настроенная коммуникация между участниками схемы.

А те кто в теме игнорят подобный спам на уровне Медсестра написала в телеграмм))

[NSA-bot]

artur_artur, вам кажется так, но у людей схема отработана тысячами клюнувших.

Answer 3

[Пума Тайланд]

Это не Госуслуги подтверждали действие, а левый сайт с авторизацией через звонок: vanlang.ru, который ты сам нашёл, как раз так и работает. Номер вбивают в форму, дают служебный номер, ты звонишь, сервис видит Caller ID и засчитывает вход как твой. Вот и «авторизация пройдена» — подтвердился не в Госуслугах, а где-то на стороннем сервисе с этим номером, необязательно на vanlang.ru. СНИЛС уже спрашивали под следующий этап разводки. Глянь ещё личный кабинет оператора: переадресацию звонков/SMS и заявки на eSIM.

Comments

[artur_artur]

У меня оператор Мегафон. Обнаружил, что исходящего вызова на нужный номер телефона нет в детализации. Получил следующий ответ от чат-бота Мегафона: "В детализации не отображаются звонки, которые не были приняты, а также звонки менее трёх секунд.". Есть ли другой способ последовать вашему совету по поводу проверки переадресации? Я не уверен, что звонок длился менее трех секунд, но он, действительно, был коротким.

[Пума Тайланд]

artur_artur, детализация тут ни при чём — переадресация и eSIM смотрятся отдельным разделом в приложении Мегафона, независимо от истории звонков. Зайди в Услуги → Переадресация и в раздел eSIM/номера, и просто проверь, не открыто ли там что-то новое.

Answer 4

[Олег]

Да все очень просто - это наживка. Как она выглядит вообще неважно - любые смски могут быть, "медсестры", "замена счетчиков", "ключи домофона".
Схема двух-ходовая: сначала выманивают любую информацию или код из смс, ну или как у вас что-бы совершили звонок и услышали какой-то текст. Потом звонят и пугают, что все взломано, деньги сейчас уйдут - давайте спасать.

Answer 5

[ImagineTables]

В Telegram написала девушка, представилась медсестрой. … Я позвонил на этот номер.

Answer 6

[Елена Кернешел]

Как я это вижу, это была обычная многоэтапная схема социальной инженерии. Сначала меня вывели на звонок под предлогом медицинской карты, затем после звонка попытались получить СНИЛС. Фраза «Авторизация пройдена» сама по себе не доказывает, что я действительно где-то авторизовался — скорее всего, это было заранее записанное сообщение автоответчика.

Сам звонок, насколько я понимаю, не даёт мошенникам доступа к Госуслугам или банку. Максимум они могли подтвердить, что номер активен и принадлежит реальному человеку, а также получить техническую информацию о звонке.

Дальнейший звонок про «подозрительные действия на Госуслугах» уже выглядит как возможное продолжение той же схемы: сначала получить данные, а потом напугать человека и попытаться выманить ещё больше информации или код подтверждения.

В моём случае СНИЛС, коды и пароли я не сообщал, поэтому после этого просто самостоятельно проверил Госуслуги и банковские приложения. Никаких подозрительных входов не обнаружил.