Спам через календарь с пуш-уведомлениями на смартфон. Как устроен обман и можно ли заблокировать мошенников

За годы существования лазейки её не закрыли до конца ни Google, ни Apple.

Спам — вечная проблема интернета. Но одно дело письма, которые падают во входящий ящик и тревожат только тем, что умудряются пробиваться через фильтр и засорять его. Другое — спам, который приходит на смартфон пуш-уведомлением и даже занимает весь экран блокировки.

Так работает спам через календари: мошенники находят почтовые адреса в слитых базах, рассылают по ним письма с приглашениями в календари, и по умолчанию пользователь получает уведомление — а значит эффективность спама вырастает в разы. И хотя этот метод работает уже не первый год, его до сих пор не удалось победить — а с начала 2019 года он стал массово использоваться по отношению к пользователям почты и календаря Google. Проблему можно решить локально, хотя и не без ущерба для функциональности календаря.

В 2016 году календарный спам массово проявил себя среди пользователей iCloud. Работал он следующим образом: злоумышленники посылают специальным образом сформированное письмо, которое iCloud распознаёт как приглашение на мероприятие. Из входящих письмо удаляется, зато преобразуется в приглашение — и пользователь получает уведомление о новом событии, на которое можно отреагировать только тремя способами: «Да», «Нет», «Может быть».

Проблема в том, что при выборе любой из этих опций спамеру отправлялось автоматическое сообщение о принятом решении, и фактически пользователь проявлял себя как живой. Для спамеров это ценная информация: они рассылают миллионы писем по базам, не имея точной информации об актуальности этих адресов, а за счёт метода с календарём они имеют возможность их актуализировать — и рассылать больше различного спама живым пользователям (или пытаться украсть их средства другими методами).

Проблема существовала не только в приглашениях в календари, но и в совместные фотопотоки. Когда Apple добавила возможность делиться фотографиями, отправляя приглашение в общую «папку» на адрес почты, её тоже оприходовали спамеры. Правда, не так эффективно: в отличие от писем и календарей, в фотографиях нет ссылок, которые можно нажать, и перевести пользователей на внешний сайт, через который крадутся деньги.

Тогда в качестве компромиссного решения предлагалось отключить отправку пуш-уведомлений о приглашениях и оставить их только в качестве писем — но от них нельзя было отказаться полностью. К 30 ноября 2016 года, когда количество жалоб на форумах зашкаливало, Apple извинилась и заявила, что работает над решением проблемы. Все крупные СМИ — The Verge, Wall Street Journal, New York Times — тогда пестрили инструкциями, которые фактически сводились к отключению уведомлений и удалению текущих приглашений.

Других заявлений от Apple так и не последовало, но по форуму Apple Communities можно наблюдать, что активности в темах про спам в календарях iCloud нет более двух лет. Вероятно, компании всё же удалось найти решение проблемы, которое остановило поток спама — при этом не заставляя пользователей искать и применять какие-либо инструкции.

Пользователи сервисов Google — лакомый объект для спамеров. Их гораздо больше, чем владельцев аккаунта на iCloud, и только активных устройств на базе Android — порядка 2,5 миллиардов, а ведь сервисами Google пользуются и на других платформах.

В случае с Android календарный спам работает особо эффективно: с почти 100% вероятностью пользователь такого смартфона залогинен в свой аккаунт Google и вряд ли менял настройки по умолчанию, а значит при получении письма он увидит его уведомление прямо на экране смартфона. Такой спам может проникнуть и на iOS/macOS, если пользователь ввёл аккаунт своей почты в систему и включил синхронизацию календарей.

Я испытал такой спам на себе — как на iOS, так и на Android. В случае с айфоном уведомления из календаря оказываются более назойливыми, чем обычные: они не исчезают с экрана автоматически, их приходится закрывать. Но в случае с Android (а конкретно с Samsung Galaxy Note) всё ещё плачевнее: приглашения попадают на экран блокировки и занимают всю его площадь, так что их невозможно не заметить.

Эпидемия спама действительно массовая: жалобы можно наблюдать с начала 2019 года, но они резко возобновились в августе. Технологические издания периодически выпускают инструкции по противодействию мошенникам, однако на уровне Google проблема так и не решается.

Мы запросили комментарий представителей Google по ситуации — и вот что они ответили.

Фактически в Google подтвердили, что знают о проблеме спама, но не могут ничего с ней сделать. Однако это не совсем так.

Пользователь форумов поддержки Google Антон Булычев подробно расписал три составляющих современной проблемы календарного спама:

По его мнению, две из трёх составляющих можно решить довольно просто: не позволять создавать события из писем, попавших в «Спам», а вредоносным или потенциально спамным приложениям отключать права на доступ к календарю. Но третью составляющую можно решить только новой функциональностью — возможностью ограничить список пользователей, которые могут отправлять приглашения на события, по списку контактов или домену организации. Однако Google таких изменений так и не ввела.

В данный момент особенно актуальна проблема со спамом через календарь Google, но может сохраняться и в случае с календарями iCloud: 13 августа Apple опубликовала у себя на сайте справку о требуемых от пользователя мерах.

Все описанные меры довольно сложны для рядового пользователя: нужных настроек нет в мобильных приложениях или их десктопных версиях. Сервисы нужно обязательно открывать через веб-версию с компьютера, что не всегда возможно и далеко не очевидно.

Важно: так отключится не только спам, но и автоматически добавляемые события на основе данных из писем во входящих — например, даты рейсов или бронирования гостиниц.

В самом спаме, который массово рассылается по пользователям в России с начала 2019 года, ничего оригинального нет. Сообщения устроены шаблонным образом: заголовок события обычно выглядит как сообщение о полученном переводе крупной суммы денег, а ссылка внутри ведёт якобы на сайт, где его можно получить.

На таких внешних сайтах может использоваться две тактики: например, запугивание блокировкой счёта в случае неполучения перевода, или наоборот, задабривание возможностью крупного выигрыша при совершении несложных действий вроде прохождения опроса. Содержимое сайтов далеко не всегда напрямую связано с текстом уведомлений в календаре.

Чтобы получить «перевод» или «выигрыш», от пользователя просят «подтвердить свою надёжность» и, например, «заплатить небольшую комиссию» — так у него вымогают номер банковской карты и её CVV-код. Все сайты очевидно фейковые, вплоть до муляжей, однако используют разные приёмы вроде привязки суммы платежа к IP-адресу пользователя или искусственные паузы между этапами опроса, которые создают ощущение обсчёта данных на стороне «сервиса».

В целом мошенники используют приём посула лёгкой наживы — когда пользователю кажется, что вот-вот он получит полторы сотни тысяч рублей, для него платёж в 250 рублей выглядит как ничтожная трата, и даже если он ничего не получит, он не так уж много потеряет. Но это только на первый взгляд: естественно, получив данные карты, мошенники снимают с неё все доступные средства, а не только то, что написано на фейковом сайте.

Для фишинговых сайтов мошенники используют домены в зоне .top — например, soc-viplata19.top или vozv-rat1.top. При проверке данных доменов по Whois видно, что они зарегистрированы недавно, летом 2019 года, а других данных о их владельце регистратор не выдаёт. Кроме того, такие домены очень дёшевы: некоторые регистраторы продают их за 1,7 доллара, так что при разделегировании за мошенничество или при попадании под спам-алгоритмы всегда можно закупить новые. В приглашениях в календари почти везде можно использовать richtext-вёрстку, которая позволяет поставить ссылку на слово, поэтому для пользователя смартфона она имеет вид чего-то знакомого — например, yandex.ru.

Иногда на подобных сайтах можно встретить «службу поддержки» — ссылку на аккаунт во «ВКонтакте», который решает проблемы с переводами. Возможно, он создан для выпуска пара тех, кто так и не получил «выигрыша» и чьи деньги с карты украли. Например, на нескольких таких сайтах TJ нашёл упоминание Елены Шевченко: её профиль во «ВКонтакте» ведётся как минимум с 2017 года, но все комментарии и личные сообщения для не-друзей закрыты. В друзьях у неё находится 1,5 тысячи человек, в подписчиках — ещё 2,4 тысячи, а в закреплённом посте на странице она обещает «помочь решить возникшие проблемы» с выплатами.

Все эти приёмы направлены на излишне доверчивых пользователей — но и рассылка ведётся по огромным базам почтовых адресов, среди которых велик процент таких не самых искушённых в информационной безопасности людей. Вероятность, что пожилые люди (особенно с Android-устройствами) не смогут пройти мимо такого уведомления, доверятся неизвестному сайту и потеряют деньги, достаточно велика — поэтому имеет смысл потратить время и помочь им превентивно защититься от такого спама, если они ещё его не получили.

#инструкции #спам #apple #google