Аккаунт увели, пока вы регистрировались на турнир

Год в аккаунте: прокачка, редкие предметы, место в команде. Мысль, что когда-нибудь на этом получится зарабатывать, тоже была. Потом в соцсетях попадается приглашение на кибертурнир по своей же игре, с денежными призами.

Ссылка для регистрации. Там просят войти через игровую платформу, на которой вы обычно играете, и всплывает привычное окно: логин, пароль. Дальше сообщение о том, что до участия остался один шаг, введите код. Код действительно приходит. Вы его вводите. «Поздравляем, вы в команде».

Вечером в аккаунт не зайти. На почте письмо о том, что адрес в личном кабинете изменён, а следом письмо от тех, кто увёл профиль: 5 000 рублей, иначе удалим.

Этот рассказ опубликован 13 июля 2023 года в проекте Банка России «Финансовая культура», где люди сами описывают, как потеряли деньги или доступ. Заканчивается он вопросом, который в такой ситуации приходит первым: если заплатить, всё закончится?

Редакция проекта отвечает без обиняков: скорее всего, вы просто потеряете деньги. Ссылка для оплаты в письме может вести на очередной мошеннический сайт, и, введя там данные карты, человек даёт преступникам шанс обчистить её. Совет редакции короткий: как можно скорее написать в поддержку сервиса и сообщить о взломе.

Что это была за игра и что за платформа, в рассказе не сказано, и подставлять сюда конкретный сервис мы не будем. Зато правила крупной игровой площадки может прочитать кто угодно, и написаны они прямо. В справке Steam про виды мошенничества сказано: платить не нужно даже тогда, когда мошенник получил полный контроль над аккаунтом, доступ возвращают через поддержку.

Где именно всё решилось

Между «ввёл пароль» и «ввёл код» есть разница, и она решает всё. Пароль сам по себе даёт постороннему меньше, чем кажется: при входе с чужого устройства сервис просит подтверждение кодом. Этот код и был последним ключом, которого захватчику не хватало.

Приходит он потому, что кто-то прямо сейчас входит в ваш аккаунт. Настоящее сообщение, настоящий отправитель, настоящий телефон. Эта настоящесть и убеждает: раз код пришёл, значит, всё легально. На деле код подтверждает чужой вход в ту же секунду, когда вы его набираете.

Отсюда единственное правило, которое стоит запомнить дословно: код из сообщения подтверждает вход, другой работы у него нет. Если код просят где-нибудь, кроме приложения или сайта, куда вы зашли сами, подтверждается не ваш вход.

«Я случайно на тебя пожаловался»

У захвата аккаунта есть второй заход, и работает он на страхе, а не на призах.

Вам пишут, что случайно отправили на вас жалобу за нарушение, что аккаунт вот-вот забанят, и зовут к администратору: в сторонний чат, где сидит «сотрудник поддержки». Там просят подтвердить, что аккаунт ваш, войти «на проверку» или назвать код.

Про этот заход у Steam есть отдельная справочная статья, и формулировка там не оставляет вариантов: любое утверждение о том, что на вас случайно или ложно пожаловались за мошенничество, всегда начало развода. Ложные жалобы платформа не учитывает. Выполнять инструкции того, кто говорит, что пожаловался на вас по ошибке, не нужно.

Там же сказано, кто вообще имеет право обсуждать с вами ваш аккаунт. Любой, кто пишет о ваших предметах или об аккаунте через сторонний чат или игровую переписку, а не через официальную поддержку, платформу не представляет, и его следует заблокировать.

Отдельная статья описывает подмену получателя при обмене. Вас подталкивают отправить предметы на аккаунт, который вы считаете доверенным, а обмен в последний момент отменяют и перенаправляют на двойника. Расчёт на то, что перед подтверждением на телефоне вы не станете проверять, кому именно уходят вещи.

Дальше идёт самая неудобная для привычной логики строчка: скептически относиться к просьбам об обмене нужно, даже если пишет проверенный друг. Его аккаунт мог быть захвачен или подделан.

Почему на это попадаются и опытные

У вас не просят денег. Все привычные предохранители настроены на платёж, а платежа здесь нет: просят зарегистрироваться, войти, проголосовать, помочь. Момент, в который всё решается, вообще не похож на денежную операцию.

Окно входа выглядит правильно. Оно и должно так выглядеть, в этом его работа. Проверять адрес сайта в ту минуту, когда идёт регистрация и место в команде вот-вот уйдёт другому, догадывается меньшинство.

Страх бана сильнее осторожности. Если в аккаунт вложен год, мысль «сейчас всё отнимут» выключает остальные мысли. Человек торопится доказать, что не виноват, и в этой спешке делает ровно то, что просят.

Дальше захваченный профиль сразу идёт в дело. Друзьям пишут «проголосуй за нашу команду», «помоги с обменом», «глянь, что тут». С той стороны экрана это сообщение от человека, которого знают лично, и следующий аккаунт уходит уже через него. Инвентарь при этом стоит настоящих денег и уходит быстрее, чем деньги со счёта: ни банка, ни возврата платежа, ни чужой проверки по дороге.

Сколько таких историй, точно не знает никто: официальной российской статистики по угонам игровых аккаунтов найти не удалось. Есть счёт компании, которая продаёт защитные программы: «Лаборатория Касперского» сообщила, что за одиннадцать месяцев 2024 года зафиксировала в России более 1,7 млн попыток перехода на поддельные страницы, сделанные под онлайн-игры. Это срабатывания защитных программ, а не число пострадавших людей и не потерянные деньги.

Если аккаунт уже увели

1. Не платить выкуп. Позиция платформы прямая: платить не нужно даже при полном контроле мошенника над аккаунтом, восстановление идёт через поддержку. Банк России в разборе того же случая добавляет, что ссылка для оплаты может вести на очередной мошеннический сайт.
2. Написать в поддержку сервиса с официального сайта, куда вы зашли сами, а не по ссылке из письма. Доступ возвращают по подтверждению владения, а не по переписке с захватчиком.
3. Поменять пароль почты, к которой привязан аккаунт, и проверить, не появилась ли в ней пересылка писем на чужой адрес. В том рассказе первым сигналом было письмо о смене адреса в личном кабинете.
4. Предупредить друзей. С вашего профиля почти наверняка уже пишут им, и первыми получат сообщение те, кто вам доверяет.
5. Заблокировать карту и позвонить в банк, если её данные вводились на стороннем сайте.

Чтобы это не повторилось, помогает несколько привычек:

• включить подтверждение входа везде, где оно есть: кроме пароля понадобится код или подтверждение в приложении. Это советуют и Банк России, и сама платформа. Оговорка честная: код, который вы сами продиктовали или ввели на чужом сайте, такую защиту снимает;
• заходить на сайт самому, набирая адрес или открывая закладку, а не по ссылке из приглашения;
• завести для игровых аккаунтов отдельную почту с собственным паролем;
• проверять обмен перед подтверждением на телефоне: именно на этом шаге срабатывает подмена получателя;
• код из сообщения никому не диктовать и не вводить нигде, кроме приложения или сайта, куда вы зашли сами.

Про разговор дома

Потеря аккаунта плохо переводится на взрослый язык. Со стороны это «всего лишь игра», изнутри — год усилий, место среди тех, с кем вы играете, и иногда настоящие деньги. Поэтому рассказывать дома тяжело: проще всего нарваться на «сам виноват, нечего было сидеть в играх».

Рассказать всё-таки стоит, и лучше сразу. Причина не в деньгах. С захваченного профиля уже пишут вашим друзьям, а от человека, у которого один раз что-то забрали, дальше нередко хотят большего: выкуп сменяется просьбами и поручениями, а разговор тянется неделями. В одиночку такое тянуть тяжело.

Если это читает взрослый, тут всего одна мысль. Реакция на первый такой рассказ решает, узнаете ли вы про следующий.

Что здесь может «Амулет», а чего не может

Скажем прямо: эту схему мы не закрываем. Между приглашением на турнир и потерей аккаунта проходят минуты, а поддельная страница входа и захват доступа относятся к другому классу задач. Обещать обнаружение здесь мы не будем.

Дальше у истории есть продолжение, и вот в нём время работает. Захваченный аккаунт становится инструментом для следующих людей: друзьям пишет знакомый профиль, и начинается разговор, который тянется во времени, с просьбами, объяснениями и давлением. Уследить за таким разговором вручную трудно, потому что каждое сообщение по отдельности выглядит обычно. «Амулет» в разработке, и мы проектируем его так, чтобы он с согласия человека смотрел на переписку целиком. Если такая защита нужна вам или вашим близким, оставьте контакт, и мы сообщим, когда он станет доступен.

На чём стоит этот разбор

Рассказ пострадавшего и разбор редакции из каталога «Грабли» просветительского проекта Банка России «Финансовая культура» от 13 июля 2023 года. Вернул ли человек доступ и платил ли он выкуп, в публикации не сказано, об уголовном деле там речи нет. Рассказ пострадавшего и разбор редакции регулятора — утверждения разного веса, и мы их не смешиваем.

Правила про ложные жалобы, про обмен и про выкуп взяты из справочных статей Valve о видах мошенничества в Steam. Они написаны по-английски и без даты публикации, формулировки здесь наш перевод. Это правила одной платформы, и переносить их на все игровые сервисы как «так везде» мы не станем.

Счёт попыток перехода на поддельные страницы принадлежит «Лаборатории Касперского», компании, которая продаёт защитные программы. Складывать его с данными МВД или Банка России нельзя. Раздел о том, почему схема срабатывает, — наши наблюдения, а не позиция Банка России или Valve.