Держатели кредитных и дебетовых карт в Сингапуре сообщают о несанкционированных списаниях со счетов, связанных с ChatGPT и Apple

TL;DR: Обзор

• Держатели кредитных и дебетовых карт в Сингапуре сообщают о несанкционированных списаниях со счетов, связанных с ChatGPT и Apple, несмотря на то, что они не подписывались на эти сервисы.
• Компания Palo Alto Networks фиксирует всплеск атак и фишинговых попыток, связанных с темой ChatGPT, что свидетельствует о росте мошеннической деятельности.
• Чтобы защититься, держателям карт следует настроить оповещения о транзакциях, регулярно проверять выписки и незамедлительно сообщать банкам о несанкционированных операциях.

В последние месяцы множество держателей кредитных и дебетовых карт в Сингапуре и за рубежом стали жертвами несанкционированных списаний со счетов, совершенных легитимными компаниями, включая ChatGPT от OpenAI и Apple. Эти неосведомленные пользователи никогда не подписывались на платную версию OpenAI и не авторизовывали никакие транзакции, связанные с ChatGPT. Мы постараемся рассмотреть детали этих инцидентов, всплеск атак на тему ChatGPT, потенциальные риски и шаги, которые держатели карт могут предпринять для защиты.

Несанкционированные списания и попытки выдать себя за других

С момента запуска программы искусственного интеллекта от OpenAI появилось множество сообщений о несанкционированных транзакциях, связанных с подписками на ChatGPT. Клиенты жаловались на списания средств за сервис, на который они никогда не подписывались, несмотря на то, что регистрировали только бесплатную учетную запись ChatGPT. Компания по кибербезопасности Palo Alto Networks также зафиксировала значительный рост атак на тему ChatGPT, включая вредоносные URL-адреса и фишинговые попытки, имитирующие официальные сайты OpenAI.

Мошенники часто используют различные тактики для имитации легитимных компаний и получения доступа к данным кредитных и дебетовых карт. Эти мелкие несанкционированные транзакции, которые остаются незамеченными многими пользователями, могут служить средством для киберпреступников для проверки или идентификации данных карты перед совершением более крупных мошеннических операций. Хотя Агентство кибербезопасности Сингапура (CSA) не получало сообщений о мошеннических транзакциях, связанных с подписками на ChatGPT, потенциальные риски, связанные с такими инцидентами, значительны.

Уязвимости, эксплуатируемые киберпреступниками

Эксперты по безопасности выявили атаки с использованием номера банка (BIN) как потенциальный метод, используемый мошенниками для получения данных кредитных карт. Имея первые шесть цифр номера кредитной карты, преступники могут сгенерировать оставшиеся цифры, включая код подтверждения карты (CVV) и даты истечения срока действия, используя специализированное программное обеспечение. Затем полностью сгенерированные номера карт тестируются на реальных транзакциях для проверки их подлинности.

Во многих случаях онлайн-продавцы не требуют от пользователей предоставления нескольких факторов аутентификации для транзакций, не связанных с физическими картами. Это отсутствие строгих мер безопасности, призванное повысить удобство для пользователей, оставляет пространство для эксплуатации уязвимостей киберпреступниками. Автоматизированные системы могут генерировать множество комбинаций номеров карт до тех пор, пока не будет совершена успешная транзакция, обходя необходимость индивидуального одобрения для каждой операции.

Помимо атак BIN, киберпреступники также могут получать данные карт через утечки данных или когда информация о клиентах крадется с незащищенных веб-сайтов. Получив данные карты, они могут использовать их для совершения мошеннических транзакций. Публично настоятельно рекомендуется незамедлительно уведомлять свои финансовые учреждения и полицию в случае обнаружения любых подозрительных или мошеннических действий.

Защита от несанкционированных списаний

Финансовые учреждения играют ключевую роль в защите клиентов от несанкционированных списаний. Клиенты, как правило, не несут ответственности за такие транзакции, если продавцы не внедрили двухфакторную аутентификацию, такую как одноразовый пароль. Однако ответственность за активацию аутентификации 3D Secure (3DS) — дополнительного шага, требующего от клиентов ввода пароля или кода, отправленного на их телефон перед завершением платежа — лежит на продавцах.

Меры предосторожности и мониторинг со стороны клиентов

Чтобы защититься от мошеннических списаний, клиенты должны принимать проактивные меры. Используйте услуги защиты от кражи личных данных для мониторинга счетов и получения компенсации в случае кражи личности. Настройте оповещения о транзакциях даже на самые мелкие суммы, такие как $0,01, через свои банковские приложения. И последнее, но не менее важное: регулярно проверяйте выписки по картам на наличие расхождений и незамедлительно сообщайте банку о несанкционированных транзакциях.