У світі кібербезпеки відбулося значне викриття: троє молодих людей зізналися у створенні та експлуатації платформи OTP.Agency, яка дозволяла злочинцям обходити системи двофакторної автентифікації (2FA) великих банків та онлайн-сервісів у Великобританії. Ця справа демонструє зростаючу витонченість кіберзлочинців та підкреслює важливість постійного вдосконалення систем захисту.
Механізм роботи OTP.Agency
OTP.Agency пропонувала послуги з отримання одноразових паролів (OTP) для більш ніж 30 популярних сервісів, включаючи Apple Pay та провідні британські банки. Платформа використовувала методи соціальної інженерії, здійснюючи автоматизовані дзвінки жертвам та імітуючи офіційні банківські повідомлення. Злочинці, які вже мали доступ до облікових даних жертв, могли використовувати цей сервіс для подолання додаткового рівня захисту у вигляді 2FA.
Масштаби операції та фінансові збитки
За даними Національного агентства з боротьби зі злочинністю (NCA), від дій OTP.Agency постраждало понад 12 500 осіб протягом 18 місяців роботи платформи. Потенційний прибуток операторів сервісу оцінюється в діапазоні від 30 000 до 7,9 мільйонів фунтів стерлінгів, залежно від типу придбаних підписок. Ця цифра яскраво ілюструє масштаби загрози та фінансові стимули для кіберзлочинців.
Технічні аспекти та інновації злочинців
OTP.Agency продемонструвала високий рівень технічної складності. Платформа використовувала технологію text-to-speech для автоматизації дзвінків та маскування ID злочинців. Це дозволяло створювати переконливу імітацію легітимних банківських комунікацій, підвищуючи ефективність атак соціальної інженерії.
Ціноутворення та доступність послуг
Сервіс пропонував різні тарифні плани, від базового за 30 фунтів до елітного за 380 фунтів. Ця гнучка модель ціноутворення зробила послуги доступними для широкого кола кіберзлочинців, від початківців до досвідчених хакерів. Елітний пакет навіть надавав доступ до систем верифікації Visa та Mastercard, що свідчить про глибину проникнення злочинців у фінансову інфраструктуру.
Правові наслідки для операторів OTP.Agency
Трьом основним фігурантам справи – 22-річному Каллуму Пікарі, 21-річному Віджаясідхуршану Віджаянатану та 19-річному Азі Сіддіке – висунуто звинувачення у змові з метою шахрайства та виготовлення засобів для шахрайських дій. Пікарі, як власник платформи, додатково звинувачується у відмиванні грошей. Згідно з британським законодавством, їм загрожує до 14 років ув’язнення, що підкреслює серйозність цих кіберзлочинів.
Ця справа є важливим нагадуванням про постійну еволюцію методів кіберзлочинців та необхідність посилення заходів безпеки. Фінансовим установам та розробникам систем автентифікації слід враховувати нові вектори атак та вдосконалювати механізми захисту від соціальної інженерії. Користувачам же рекомендується бути пильними, не розголошувати конфіденційну інформацію по телефону та використовувати додаткові засоби захисту, такі як апаратні ключі безпеки, для критично важливих облікових записів.
