Социальная инженерия

Краткое определение

Социальная инженерия (Social Engineering) — это метод мошенничества, при котором злоумышленники используют доверие, любопытство, страх, жадность или ощущение срочности, а не только технические уязвимости. Цель — заставить трейдера раскрыть конфиденциальную информацию, перейти по вредоносной ссылке, установить программу удалённого доступа или перевести деньги на указанный счёт.

В финансовой сфере и трейдинге социальная инженерия не является законной торговой стратегией. Это распространённый риск кибермошенничества и инвестиционного мошенничества. Начинающим трейдерам особенно важно быть внимательными: злоумышленники часто выдают себя за поддержку брокера, торговую платформу, регулятора, инвестиционного наставника или поставщика «инсайдерской информации».

Как это работает

Социальная инженерия обычно строится по схеме «получить доверие — создать давление — подтолкнуть к действию»:

Ключевой момент: атака социальной инженерии часто выглядит не как «хакерская атака», а как обычное общение со службой поддержки, инвестиционная рекомендация или уведомление о безопасности аккаунта.

Типовые сценарии в трейдинге

1. Поддельная служба поддержки платформы

Злоумышленник связывается с трейдером через SMS, email, мессенджер или рекламное объявление в поиске. Он сообщает о риске по счёту, необходимости верификации для вывода средств или обновлении системы и отправляет ссылку на поддельную страницу входа. После ввода логина, пароля и кода подтверждения реальный аккаунт может быть захвачен.

2. «Наставник» в инвестиционной группе

В чатах и группах так называемый наставник сначала публикует рыночные мнения или скриншоты, создавая видимость экспертизы, а затем направляет пользователей пополнить счёт на конкретной платформе или копировать сделки. Такие ситуации могут быть связаны с фиктивными торговыми площадками, манипулированием ценами или невозможностью вывести средства.

3. Мошенничество с удалённой помощью

Злоумышленник утверждает, что поможет открыть доступ, восстановить вывод средств или изменить настройки аккаунта, и просит установить программу удалённого управления. После получения доступа он может увидеть коды подтверждения, изменить данные аккаунта или инициировать перевод средств.

4. Мошенничество с приватными ключами и seed-фразами

При операциях с криптоактивами любой человек, который просит приватный ключ, seed-фразу или резервную копию кошелька, должен рассматриваться как источник высокого риска. Легитимные торговые платформы и сервисы кошельков, как правило, не требуют от пользователя раскрывать такие данные.

Простой пример

Начинающий форекс-трейдер получает письмо, внешне похожее на сообщение от брокера, с темой: «Аномалия по марже счёта, подтвердите данные в течение 30 минут». Ссылка ведёт на страницу, очень похожую на официальный сайт, где нужно ввести пароль и SMS-код. После отправки данных злоумышленник использует их для входа в реальный аккаунт, меняет контактную информацию и пытается вывести средства.

В этом примере основной риск связан не с прогнозом направления рынка, а с подменой личности, созданием срочности и раскрытием конфиденциальных данных.

Как защититься

• Не входите в торговый аккаунт по ссылкам из email, SMS или мессенджеров: лучше вручную ввести адрес официального сайта или использовать уже установленное официальное приложение.
• Не передавайте никому коды подтверждения, пароли, приватные ключи, seed-фразы или доступ к удалённому управлению: даже если человек представляется сотрудником поддержки, регулятором или аналитиком.
• Проверяйте канал связи: используйте номер телефона, внутренние сообщения или раздел поддержки, опубликованные на официальном сайте или в официальном приложении платформы.
• Осторожно относитесь к формулировкам «срочно» и «гарантированная доходность»: добросовестные финансовые сервисы обычно не требуют частных переводов через мессенджеры и не обещают безрисковую прибыль.
• Включите многофакторную аутентификацию (MFA): но помните, что коды подтверждения нельзя пересылать другим людям.
• Регулярно проверяйте настройки безопасности аккаунта: привязанный email, номер телефона, адреса вывода средств, API-доступы и устройства входа.
• При подозрении на взлом действуйте быстро: смените пароль, отзовите подозрительные разрешения и свяжитесь с провайдером только через официальные каналы.

Границы риска и где это применимо

Риск социальной инженерии актуален для акций, форекса, фьючерсов, контрактов на разницу цен (CFD), криптоактивов и других онлайн-финансовых сервисов. Он отличается от риска рыночных колебаний: даже при правильной торговой идее счёт может понести убытки из-за раскрытия учётных данных или предоставления несанкционированного доступа.

Важно учитывать, что не каждый убыток или спор с платформой является социальной инженерией. При оценке ситуации следует обращать внимание на признаки подмены личности, поддельные ссылки, просьбы раскрыть данные, частные переводы, удалённый доступ или необычно срочные требования.

Связанные термины

• Фишинг (Phishing): попытка получить данные пользователя через поддельные письма, сайты или сообщения.
• Многофакторная аутентификация (MFA): мера защиты аккаунта, при которой к паролю добавляется дополнительный способ подтверждения.
• Захват аккаунта (Account Takeover): получение злоумышленником контроля над учётной записью и выполнение несанкционированных действий.
• Инвестиционное мошенничество (Investment Scam): схема, в которой пользователя побуждают инвестировать через фиктивные возможности, обещания доходности или имитацию профессиональной экспертизы.
• Вредоносное ПО (Malware): программное обеспечение для кражи информации, удалённого управления устройством или нарушения работы системы.

Источники

• https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/oiea/investor-alerts-and-bulletins
• https://www.ftc.gov/business-guidance/small-businesses/cybersecurity/phishing
• https://www.investopedia.com/terms/s/social-engineering.asp