СМС бомберы: как бизнесу защититься от спам-атак?

Одним из очередных вызовов последних лет стал стремительный рост смс бомбинга – недобросовестной практики массовой отправки текстовых сообщений.

Количество кибератак на сайты российских компаний за последние два года увеличилось кратно. Фрод, направленный на причинение вреда отечественному бизнесу, может исходить как от мошенников или конкурентов, так и от «хакеров-любителей острых ощущений», действующих ради идеи. В любом случае, ни одна компания не хочет рисковать доверием и лояльностью своих клиентов и терять деньги, поэтому ищет способы защиты от таких угроз.

С мобильным фродом большинство пользователей знакомо не понаслышке. От атак через канал смс хоть раз страдал, пожалуй, каждый из нас: при получении рекламных рассылок, на которые не давали согласие, или уведомлений о попытке входа в аккаунт с нового устройства, отправленных мошенниками для получения конфиденциальных данных. Также, многие сталкивались с смс-бомбингом (когда на телефон приходит огромное количество спам-сообщений в минуту). Но есть и другой вид фрода – тот, жертвой которого становится именно бизнес. Злоумышленники инициируют автоматическую массовую отправку запросов на верификацию с фейковых номеров, и компания попросту сливает бюджет. Учитывая, что это могут быть тысячи запросов в секунду, нетрудно предположить, каким будет масштаб убытков для компании.

Меня зовут Марфа Бердышева, я продукт менеджер в i-Digital. Мы создаем решения, которые позволяют бизнесу управлять трафиком в коммуникационных каналах.

Механика верифицирования клиентов глазами бизнеса может выглядеть следующим образом:

Мы первые на российском рынке сделали Виджет, который делает это все «из коробки». И особое внимание уделили встроенной анти-фрод системе: используя свой многолетний опыт и помощь сторонних экспертов по безопасности, мы накопили десятки кейсов, когда наши клиенты подвергались масштабному фроду, а мы успешно отражали эти атаки. А потому мне бы хотелось рассказать о том, что из себя представляет фрод в мобильных каналах и как минимизировать вероятность стать его жертвой.

Фрод, о котором мы ведем речь в статье, – это подключение злоумышленниками скрипта, который начинает генерировать данные и регистрироваться в форме. Такой фрод возможен в любой системе, где есть авторизации и регистрации по номеру телефона. То есть, практически любая компания, независимо от масштаба и сферы деятельности, потенциально может пострадать от действий фродеров.

Как выглядит атака: злоумышленник находит уязвимое место сайта, и этот сайт начинает через сервис отправки массово отправлять фейковые запросы на подтверждение личности «пользователя». В итоге баланс в сервисе заканчивается за считанные минуты. И это, если в нем установлен лимит на сумму – несложно представить, что произойдет, если ограничения по оплате отсутствуют.

Основная цель атаки – потратить деньги бизнеса. Первое, что приходит на ум, когда возникает вопрос, кто заинтересован в этом, конечно же, конкуренты. Но бывают и идейные исполнители: им интересно попробовать зафродить какую-то компанию и сделать это в качестве саморазвития, самоудовлетворения, поиграть в хакерство.

Во-вторых, кратный рост фрод-атак, которые мы наблюдаем в последние полтора года, наверняка, связан с политической обстановкой. Цель такого фрода - нанести ущерб именно российскому бизнесу. Например, часто атакуют телеканалы, еще страдают банки, интернет-магазины, финансовые системы, мобильные приложения.

Кроме того, если в компании KPI связан с приростом новых пользователей, резкий рост количества регистраций отдельными сотрудниками может быть воспринят положительно. Но нужно понимать, что если эта активность происходила в рамках фрод-атаки, реальных людей среди таких регистраций нет. И для любой компании в конечном итоге важнее доверие клиентов, которое ставится под угрозу при фрод-атаках.

Самостоятельно найти фродера нереально. Чтобы найти по IP-адресу физический адрес, нужно обращаться с заявлением в полицию. Но обычно обращение в правоохранительные органы бесполезно: чаще всего фродеры находятся не в России.

И самое неприятное: фродером может оказаться любой человек, находящийся в любой точки планеты. Главное, чтобы под рукой был компьютер и не такие уж глубокие знания браузера. Первым делом фродеры ищут сайты, затем смотрят, как через API происходит отправка сообщений, находя уязвимости в коде. И делается это в два счёта: любому школьнику, который занимается информатикой это всё доступно. Так что фрод-атака – точно не дорогое удовольствие, и злоумышленнику не нужно разворачивать дорогие сервера, покупать программное обеспечение.

Суть систем мониторинга во всех антифродовых решениях схожа. Считается среднее количество трафика по каждому направлению для каждого клиента, строим медианное значение. Сильное отклонение от этого значения – один из признаков фрод-атаки. В i-Digital мы делаем анализ типовой активности по дням, и в случае аномального роста трафика, срабатывает система мониторинга. Далее за несколько минут мы разбираемся, что произошло. Существует и возможность автоматической блокировки, когда антифрод понимает, что точно имеет место нештатная ситуация. Но и в этом случае мы вручную уведомим нашего клиента о случившемся, чтобы убедиться, что трафик был инициирован злоумышленниками.

Здесь важно учитывать специфику конкретной компании: у всех разные профили рассылок (информационные, транзакционные, рекламные), и мобильный трафик день ото дня может сильно различаться. Например, ведущая энергоснабжающая компания Санкт-Петербурга шлет абонентам SMS в основном 20-го числа каждого месяца, когда приходит время подавать показания электросчетчиков. Соответственно, высокая активность в другой период должна насторожить.

Есть кейс крупного банка, когда резкий скачок инициаций трафика оказался вовсе не атакой злоумышленников, а результатом удачной рекламной кампании, проводимой накануне. И, если бы сработал антифрод, банк мог потерять реальных клиентов, которые бы не смогли зарегистрироваться в системе из-за недошедшего кода верификации.

Мы постоянно дорабатываем Модуль верификации, в том числе, совершенствуя антифрод-систему в нем. Иными словами, если однажды какой-то тип атаки встретился в нашей практике, второй раз наше решение предотвратит его с вероятностью 99%.

Открытую структурированную информацию по поводу защиты от фрод-атак найти не так-то просто (тематических блогов, телеграм – и ютуб-каналов для широкой аудитории практически нет). Мы в i-Digital стараемся обучать рынок, высылаем клиентам рекомендации, где перечисляем основные способы защиты.

Самое основное – это внедрение мониторинга, настройка капчи и установка ограничений по отпечатку браузера. Обычно боты не занимаются имитацией реального браузера. Поэтому этими мерами уже можно значительно снизить риски фрода в мобильных каналах.

Но есть и более продвинутые способы, чтобы снизить риски почти до нуля. Год назад моя коллега уже рассказывала, как предотвратить мошенническую массовую отправку SMS или звонков с собственного сайта, сервиса или приложения, предлагаю еще раз пройтись по мерам защиты: