Цифровое «Поле чудес»: как устроен инвестскам. Часть первая
Департамент компании F6 по расследованию высокотехнологичных преступлений разбирает популярные инструменты для обмана инвесторов.
История инвестиционного мошенничества насчитывает уже больше четырех столетий. С развитием финансовой системы и появлением высоких технологий изменились способы и формы обмана инвесторов, но суть не меняется: вместо того, чтобы принести сказочную прибыль, деньги исчезают.
В наши дни одна из самых популярных схем мошенничества в этой сфере – фейковые брокеры. Популярность этой схемы у киберпреступников связана с высокой доходностью и легкостью поддержания инфраструктуры. Такие мошеннические площадки могут действовать годами, даже несмотря на огромное количество негативных отзывов в сети.
В основе инвестиционного мошенничества лежит социальная инженерия. Всю схему можно разделить на три этапа. На первом злоумышленники используют навязчивые звонки, рекламу и личное общение с потенциальной жертвой, чтобы убедить её вложить деньги. После «регистрации» начинается вторая серия обмана: с пользователем связываются «персональные менеджеры», которые обещают высокую доходность, быструю прибыль и прочие привлекательные условия.
Чтобы убедить инвесторов в правоте своих слов, злоумышленники используют специальные торговые терминалы (программы или веб-сервисы, через которые пользователи взаимодействуют с брокером и биржей), показывающие ложный рост инвестиций. Доверчивых людей это может подтолкнуть к новым вложениям.
В финале, когда инвестор попытается вывести якобы «заработанные» деньги с площадки, он обнаружит, что вывод заблокирован – по версии мошенников, из-за проблем с безопасностью. Чтобы обойти эти препятствия, злоумышленники предлагают внести ещё больше денег. Причины этой «блокировки» и проблем с выводом зависят только от фантазии инвестиционного «менеджера» и могут продолжаться до тех пор, пока пользователь не избавится от денег и иллюзий.
Расставляя сети
Привлечение потенциальных жертв на сайты фейковых брокеров происходит двумя основными способами.
Первый – личное знакомство от имени мужчины или девушки. Для этого злоумышленники используют популярные сайты и сервисы знакомств, тематические Telegram-боты и другие площадки.
Мошенники действуют терпеливо и постепенно. Когда переписка установлена, мошенники пытаются заинтересовать жертву источником дохода виртуальной знакомой (или знакомого). Например, во время флирта «девушка» пишет, что сделала дорогую покупку (например, брендовую сумку, машину) или помогла маме и очень этому рада. Так скамер пытается вызвать у нового знакомого вопрос, откуда взялись деньги на дорогостоящее приобретение. Когда собеседник спросит об этом, мошенник ответит, что зарабатывает на инвестициях и может поделиться опытом.
После того как жертва заглотила крючок, её знакомят со «специалистами по инвестированию». Они консультируют и убеждают пользователя вкладывать свои средства в фейковую площадку.
Второй способ привлечения трафика на площадки фейковых брокеров – публичная реклама от имени известных брендов, чаще всего крупных банков. Также известны случаи использования дипфейков публичных личностей.
В инфраструктуру таких рекламных кампаний могут входить тысячи доменов с примитивным лендингом, размещенных на публичных хостингах. Лендинги чаще всего выглядят как опросы на тему инвестиций, реклама курсов по инвестированию и прочие темы, связанные с получением доходов.
Если не считать неправомерного использования бренда, подобные сайты не нарушают закон напрямую. Это позволяет злоумышленникам пользоваться легальными арбитражными партнерскими программами и через них закупать рекламу в популярных социальных сетях.
В то же время с развитием DRP-систем крупных брендов (Digital Risk Protection, защита от цифровых рисков) срок жизни таких доменов невелик. Из-за этого мошенники стремятся проводить рекламные кампании без вложения больших средств, где буквально каждый лид оплачивается отдельно по модели CPA (Cost Per Action).
Метод холодных обзвонов с развитием систем противодействия мошенничеству постепенно уходит в прошлое, однако такие звонки фиксируются до сих пор. В этом сценарии злоумышленники представляются сотрудниками известных брокеров и предлагают выгодные условия сотрудничества.
Колл-центры
Организованное инвестиционное мошенничество неотрывно связано с колл-центрами. Такие колл-центры наиболее распространены в Украине, России, Грузии и странах Юго-Восточной Азии. Это строго иерархичная криминальная структура, которая может существовать долгие годы.
В самом низу иерархии находятся так называемые «звонари», ещё их называют «воркерами». Это мошенники нижнего уровня. Они звонят по списку лидов и занимаются первоначальным завлечением жертв. Именно эти люди в том числе заводят анкеты на сайтах знакомств для привлечения лидов.
Чаще всего на таких должностях работают студенты. Подобные вакансии обычно встречаются в тематических и региональных чатах, посвященных поиску работы.
Живые сотрудники могут быть заменены чат-ботами на основе нейросетей. Мы уже находили такие боты, работающие на основе MadelineProto и интеграции с различными версиями ChatGPT. Промпты для ботов основаны на ролевой игре, в которой прописан характер, возраст, пол персонажа и сценарий на несколько дней.
Следующий уровень – «менеджеры по продажам» (Sales Manager). Они работают с теми жертвами, которые уже клюнули на крючок. В схемах инвестскама это те самые «специалисты», которые обучают пользователей «торговать» на специальной площадке. На такие должности назначают мошенников, которые уже имеют опыт работы в сфере инвестскама.
Уровнем выше идут «менеджеры по удержанию» (Retention Manager). Они работают с теми пользователями, которые уже вложили деньги и, вероятно, заподозрили мошенничество.
Удержание заключается в том, чтобы убедить жертву: никакого мошенничества якобы нет, а чтобы вывести полученный «доход», достаточно выполнить определённые условия. Иногда мошенники говорят, что нужно провести дополнительные процедуры безопасности с привлечением международных наблюдателей из Интерпола, Комиссии по ценным бумагам США и т.д. и т.п.
Удержание – самый опасный этап, на котором утративший бдительность пользователь может потерять все свои накопления и даже взять кредиты в расчёте на будущий доход.
Для организации работы колл-центров также нанимают системных администраторов и других IT-специалистов. Они поддерживают сетевую инфраструктуру для работы мошеннических проектов. В такую инфраструктуру входит хостинг, VoIP-телефония, CRM-система и прочее.
Анализ инвестиционной площадки
Когда-то нам на глаза попалась польскоязычная брокерская компания Gold Flame (goldflame[.]com). Комиссия по финансовому надзору Республики Польша (KNF) включила эту платформу в список публичных предупреждений – так бывает, когда деятельность компании вызывает у регулятора подозрения в нарушении закона.
В интернете можно найти множество ресурсов, которые предостерегают пользователей от инвестиций через эту площадку.
При этом сам домен goldflame[.]com был зарегистрирован 09.01.2007 – почти двадцать лет назад. Скамеры обычно предпочитают использовать ресурсы с длительной историей регистрации, а контент размещают накануне запуска мошеннической схемы.
И здесь мы видим аналогичную картину: по данным Wayback Archive, лендинг брокерской компании появился на домене только в декабре 2020 года.
Причина расхождений понятна: скамеры активно пользуются аукционами доменных имен и перекупают домены с давней историей регистрации. Они рассчитывают, что при проверке такой домен вызовет у пользователей больше доверия.
При регистрации такой брокер не потребует от пользователя подтверждения почты и телефона, что должно вызвать подозрения, так как такой легкий путь для входа нетипичен для настоящих инвестплощадок.
Вернёмся к платформе Gold Flame. Основная логика веб-сайта расположена на домене goldflame[.]io.
Торговый терминал располагается на поддомене light-trading[.]goldflame[.]io. Данные торговых сигналов подгружаются с домена xcritical[.]com.
Запомните имя этого домена. К нему мы еще не раз вернемся.
На главной странице Gold Flame прямо упоминается использование торговой платформы XCritical.
Компания XCritical, как можно узнать на её официальном сайте, с 2013 года занимается разработкой программных продуктов для форекс-брокеров.
В число таких продуктов входит CRM-система, торговая платформа, онлайн-помощник для инвестирования, интегрированный с ИИ, а также ПО для работы с партнерскими программами.
Примечательно, что компания практически не указывает о себе никакой информации. Страницы «О нас», «Политика конфиденциальности» и прочие не содержат названия юридического лица, адреса и других контактных данных. Также официальный сайт ничего не сообщает о ключевых лицах данной компании.
Однако в архивных копиях на ресурсе Wayback Machine за 2020 год такая информация осталась.
Например, в 2020 году на официальном сайте XCritical публиковалась новость с упоминанием интервью руководителя компании Якова Л. проекту Finversia.
В сентябре 2020 года на домене xcritical.com существовала страница с экспертным советом компании.
В том же году на странице «О нас» была указана кипрская компания Quant ROI LTD, зарегистрированная в 2015 году. Мы исследовали руководителей данного юридического лица через сервис OpenCorporates и обнаружили, что эти компании используются для массовой регистрации других юридических лиц.
Примечательно, что юридическое лицо XCritical упоминалось и на другом мошенническом ресурсе 770capital.com наравне с Maxi Services Ltd и Apachwell Ltd.
Maxi Services Ltd – это основное юридическое лицо проекта Maxi Markets, такой же «брокерской кухни», как и 770 Capital. Домены этого проекта внесены в реестр Центробанка РФ – список компаний с признаками нелегальной деятельности на финансовом рынке.
И вот на что стоит обратить внимание: 770 Capital и Maxi Markets связаны с XCritical не только юридическими лицами, но и сетевой инфраструктурой. Например, на домене xcritical[.]com существует большое количество поддоменов, которые отсылают к этим площадкам.
Помимо этого, поддомены xcritical[.]com отсылают к другим площадкам: monfex, glfin, u-crypto.
Ещё в 2021 году системой F6 Threat Intelligence был обнаружен SSL-сертификат с хэш-суммой 1c605331de7fd6fa997641bc01390dcda1a962cc.
Сертификат выписан на поддомены вида informer и wgt-srv0 для многих уже знакомых нам доменов: maximarkets[.]info, xcritical[.]com, umarkets[.]info, oceanmarkets[.]info, prtrend[.]org. Большинство из этих доменов имеют признаки фейковых брокеров, использующих торговую платформу XCritical.
В этом списке особый интерес представляет проект Umarkets. Домены этого проекта включены в реестр Центробанка РФ как имеющие признаки нелегального участника рынка ценных бумаг.
Домены umarkets[.]biz, umarkets[.]trade и umarkets[.]co, кроме очевидного сходства в названии, объединяет еще кое-что: согласно историческим данным WHOIS, все они были зарегистрированы на одного человека.
Домен проекта Maxi Markets maximarkets[.]cn также был зарегистрирован с использованием этих контактных данных.
Человек с таким же именем и фамилией – Яков Л. – упоминался в 2020 году на сайте XCritical как руководитель этой компании. Сейчас на сайте этой информации уже нет.
О чём расскажут цифровые следы
Исходя из сказанного выше можно сделать вывод: XCritical разрабатывает программное обеспечение, которое используют площадки с признаками нелегальной деятельности на финансовом рынке.
Сам по себе этот факт ни о чём не говорит: ведь никто не вменяет в вину разработчикам легитимных компьютерных программ, что киберпреступники используют их продукты для совершения преступлений.
Однако, на наш взгляд, связь XCritical с указанными площадками выходит за рамки обычных отношений разработчика и клиента, иначе как у них могла бы оказаться общая сетевая инфраструктура?
К 2020 году крупные российские банки разработали и начали активно продвигать собственные инвестиционные площадки. На эти площадки перешли, пожалуй, все, кто хотел заниматься инвестициями в России. Потребность в неофициальных торговых платформах полностью отпала, так что разработчики подобных платформ оказались в незавидном положении.
По нашей оценке, в нынешних условиях добросовестному брокеру практически не имеет смысла использовать непопулярные торговые платформы вроде XCritical, поскольку на рынке существуют известные торговые терминалы, например, MetaTrader, cTrader и TradingView. Эти платформы плохо подходят злоумышленникам, поскольку делают невозможным или сильно затрудняют симуляцию реальной торговли. Такие платформы могут присутствовать на сайтах фейковых брокеров, однако принцип работы таких брокеров будет заключаться в отсутствии реальной торговли и вывода средств на настоящий рынок. А кроме того потребуется интегрировать CRM и другие необходимые для мошенников сервисы.
Какой вывод мы можем сделать из первой части нашего исследования? По нашей оценке, компании вроде XCritical предоставляют фейковым брокерам не только терминал для симуляции биржевых операций, но и CRM-систему, ИИ-помощника и партнерскую программу. Фейковый брокер, обращаясь к услугам такой компании, получает практически всю необходимую инфраструктуру «под ключ».
XCritical – не единственная платформа, которая предлагает продукты и полное сопровождение инфраструктуры фейковых брокеров, работающих в сфере инвестиций. О других мы расскажем в следующих выпусках нашего исследования.
