Весной 2021 года мошенники сумели оформить кредит киевлянке через «Дія», при том, что сама пользователь даже не была зарегистрирована в этой системе. Детально об этом истории можно прочесть по ссылке ниже.
Позже появились версии, как действительно могли провернуть схему и получить кредит. Свою версию представил эксперт по кибербезопасности, экс-глава CERT-UA Константин Корсун, который первым написал об этом случае мошенничества. Он детально описал схему того, как мошенники, в теории, могли использовать «Дія» для выдачи кредита. AIN.UA приводит его основные тезисы.
Важно: материал ниже — не призыв к действию. Более того, описанные действия — противозаконны и уголовно наказуемы.
По словам эксперта, мошенническая схема могла выглядеть так:
По словам Корсуна, то, что схема — возможна, подтверждают и сообщения Киберполиции о задержании в конце марта мошенников, которые перекупали у коллекторов и МФО данные граждан, в частности, сканы их документов, и затем оформляли на них онлайн-кредиты.
Как отмечает эксперт, такая схема будет работать, если:
Корсун также отмечает, что в таких схемах может использоваться и возможность входа в «Дія» одновременно с нескольких устройств. Ведь если у жертвы нет аккаунта в этом сервисе, она даже не заметит, что случилось. А если есть — в «Дія» можно авторизоваться с нескольких устройств. Причем владелец аккаунта может получать предупреждения о таких сторонних авторизациях, но не может их ограничивать (как, к примеру, можно делать в Facebook или Google-аккаунте). Ранее возможность логиниться в «Дія» с нескольких устройств описывал телеком-эксперт Роман Химич.
В Минцифры опровергают заявление о том, что подключенные сторонние аккаунты нельзя контролировать: по данным ведомства, можно отключить все активные сессии устройств, подключенных к «Дія», и затем снова авторизоваться только на тех устройствах, которые принадлежат пользователю.
Напомним, ранее в Минцифры заявили, что сразу после этого случая еще в апреле Министерство отсоединило все кредитные учреждения от «Дія». Кроме того, в Министерстве сообщили, что выдача кредита киевлянке проходила с большим числом нарушений собственных правил кредитной организации.
Update: В Минцифры прокомментировали сообщение Корсуна:
«Мы максимально защитили приложение от того, чтобы мошенник не смог получить кредит с использованием «Дія», потому что клиент обязательно проходит процедуру верификации. Верификация происходит в отделении банка только при присутствии лица. Сотрудник аналогично ситуации с обычными бумажными документами идентифицирует клиента, сравнивая фото в электронных документах с лицом, которое их предоставило.
Новости по теме: Россиянам помогли с долгами на сотни миллиардов рублей
Если онлайн — при обязательном условии выполнения финансовыми учреждениями дополнительных процедур проверки лица, предусмотренных нормами НБУ.
Пользователю нужно авторизоваться в «Дія» и подтвердить вход с помощью одной из технологий (PhotoID, сравнение лица с фото в реестре ГМС), BankID от НБУ или с помощью NFC-чипа ID-карты.
Как происходит идентификация клиента в финучреждениях:
При офлайн-верификации с использованием цифровых документов сотрудник банка аналогично с обычными бумажными документами устанавливает лицо клиента, сравнивая предоставленные документы (и проверяя их валидность) и лица, которое предоставило документы.
При онлайн-верификации субъекты финмониторинга могут использовать цифровые документы клиента в разных методах:
Отметим, что сейчас мошенники берут множество кредитов с помощью бумажных копий документов, без привлечения «Дія», в Киберполицию поступает до 70 обращений за неделю. И если сотрудник любого банка или другого финансового учреждения решит, например, выдать кредит с грубым нарушением законодательства, то ни «Дія», ни любой другой инструмент не помешают ему это сделать. Но за такие действия предусмотрена жесткая ответственность.
По «Дія» действительно имеем 1 прецедент, в котором финучреждение нарушило нормы законодательства и НБУ. Но мы оперативно отреагировали и с Киберполицией за неделю-две детально презентуем всю ситуацию. После этого нарушения мы отключили все финучреждения до проверки НБУ».
Также сообщение Корсуна прокомментировал первый заместитель министра Александр Выскуб:
