AlexeyDrozd

1. Используется Face-swapping.

2. У подобных инструментов наблюдаются проблемы с отрисовкой «артефактов» (очки, пирсинг, татуировки и т.п.). Часто проблемы при поворотах головы. А ещё при изменении дистанции до камеры (ближе-дальше).

3. Покажу на конкретных кадрах.

Во-первых, очки. Дужек вы не найдёте на протяжении всего видео.

Во-вторых, при резких поворотах головы пропадают не только очки, но и само наложенное лицо. Фрагмент ниже длится всего 1 секунду, поэтому замедлил его в 4 раза и добавил стоп-кадр на 2 секунды.

В-третьих, при изменении расстояния от объекта до камеры можно увидеть, как заменённое лицо дрожит, «бликует» и, в конце концов, вовсе исчезает в мучениях. Последние кадры остановил, чтобы лучше был виден момент перехода.

Пример 4

Таким бы мог быть Николас Кейдж (если бы захотел).

Это довольно качественная подделка, в порядке даже разлетающиеся волосы. Если смотреть в динамике – полный порядок. Но если вспомнить про технику (face-swapping) и ограничения, то снова надо обратить внимание на повороты головы. При покадровом просмотре на предельных углах лицо снова становится как блин. Но главное – есть явное место, где нейросеть не справилась.

Пример 5

Бывает так, что всё сделано настолько качественно, что подкопаться можно чуть ли не к паре кадров. В приведённом примере я нашёл только 1 огрех (нос убежал в самом конце ролика). А вы заметили ещё что-нибудь?

Пример 6

И ещё один сложный пример, где зацепиться было практически не за что. Обратите внимание на то, как раздувается щека.

Эффект будет более заметен, если открыть видео в видеоредакторе и зациклить момент, добавив реверс.

Пример 7

Теперь пример с использованием другой техники.

Puppet Master или Lip Syncing. Обратите внимание на то, как у поддельной Ким Кардашьян ведёт себя нос.

В видеоредакторе на реверсе эффект ещё больше выражен.

Пример 8

И, пожалуй, последний пример. Тоже представитель Puppet Master\Lip Syncing.

При всей красоте и качественности ролика, подделку можно заметить. Есть один явный момент, когда на картинку напал паралич, а двигается только рот.

Кстати, здесь нет стоп-кадра, всего лишь замедлил фрагмент в 3 раза.

Выводы

Основываясь на том, до чего дотянулись руки, и что разглядели глаза, осмелюсь утверждать, что в ближайшее время эпидемия дипфейков нам не грозит. Но утверждение будет справедливо при нескольких «если»:

• Если по-прежнему будут высокие пороги входа по технике, времени, знаниям или деньгам;

• Если не появится «профит», который будет перекрывать понесённые затраты на создание дипфейка;

• Если не только появятся, но и будут использоваться инструменты для выявления подделок.

Пока же общая рекомендация по выявлению дипфейка такая: думайте головой. Не переставая этого делать, следуйте алгоритму:

1. Контекст

2. Определить технику

3. Вспомнить ограничения

4. Искать артефакты в местах, которые следуют из п.2

Кто-то радуется развитию технологий, а у меня взгляд с другой стороны – для «ибэшников» это риски. Массового применения дипфейков в корпоративном секторе, к счастью, пока не видно. Но риски точечных атак очень вероятны.

Вот несколько примеров использования дипфейков для обмана и мошенничества.

Раз

Начнём с безобидного. Популярная японская байкерша-блогер оказалась 50-летним мужчиной — он притворялся девушкой с помощью фильтров FaceApp. Обман раскрылся случайно: подписчики увидели отражение в боковом зеркале мотоцикла на одном из снимков, где вместо молодой девушки было лицо взрослого мужчины. А до этого их смутила волосатая мужская рука на фото.

Цзунгу (так на самом деле зовут блогера) рассказал журналистам, что для перевоплощения использовал фильтры приложения FaceApp: помимо настроек «красоты», они позволяют поменять гендер и возраст на фото.

По его словам, он просто хотел почувствовать себя интернет-знаменитостью, но решил, что в сети все хотят видеть «красивую девушку, а не пожилого дядю».

Два

В марте 2019 управляющий директор британской энергетической компании был ограблен на €220 000 (около $240 000). Он отправил эти деньги фирме-поставщику из Венгрии, потому что его босс, глава материнской фирмы в Германии, несколько раз подтвердил ему такую инструкцию. Но на самом деле какой-то хитрый злоумышленник просто использовал софт с AI-технологиями, чтобы в режиме реального времени заменять лицо и голос руководителя, и требовать, чтобы тот заплатил ему в течение часа.

Сообщение исходило с адреса босса в Германии, в подтверждение британскому директору был направлен e-mail с контактами. Предположить, что что-то идёт не так, можно было разве что по требованию босса провести всю сделку как можно быстрее, но это далеко не первый аврал, который случался в их бизнесе.

Три

Китай. Мошенники покупали на чёрном рынке фотографии людей в высоком разрешении и их персональные данные ($5-38 за комплект). Покупали «специально подготовленные» смартфоны ($250), которые умели имитировать работу фронтальной камеры, на самом деле адресату (госведомству) передавалось сгенерированное дипфейк-видео.

Схема позволила мужчинам создавать от лица ненастоящих людей компании-пустышки и выдавать своим клиентам поддельные налоговые накладные. Таким образом им удалось за два года украсть $76,2 млн.

Четыре

Индия. С мужчинами в социальных сетях связываются женщины с фейковых аккаунтов, а затем звонят по видео, общаются с пользователем и производят действия сексуального характера. После такого разговора мужчины получают угрозы разослать записанное видео знакомым и родственникам жертвы, если тот не перечислит определённую сумму на счёт шантажистов. И если в такой схеме раньше участвовали настоящие женщины, то сейчас мошенники используют deepfake, а также технологию преобразования текста в звук, которая помогает в создании речи фальшивых девушек на видео. Некоторые из жертв мошенников перечисляют крупные суммы денег, которые доходят до миллионов рупий, а некоторые не ведутся на провокации.

Это далеко не все новости. Регулярно всплывает что-то ещё. То исследование выйдет, что тесты банков для проверки личности «чрезвычайно уязвимы» для deepfake-атак. То банки просят ЦБ провести эксперимент по использованию видеозвонков для удалённого открытия счетов новым клиентам.

Тем не менее можно сделать вывод, что на данный момент качественные дипфейки используются чаще как элемент большой сложной кампании. Простыми же, которые легко тиражировать (например, deepnude), бьют по площадям.

Подделка видео

Начнем с теории. В этом вопросе я опирался на работу «Deepfakes Generation and Detection: State-of-the-art, open challenges, countermeasures, and way forward. В ней авторы выделяют 5 техник:

• Face-swapping. «Пересадка» лиц. Чаще всего дипфейками именуют ролики, созданные с помощью этой техники.

• Lip syncing. Буквально «синхронизация губ». Здесь пересадок не происходит. Губы «жертвы» на видео двигаются синхронно с подменённой аудиодорожкой. Как дубляж.

• Puppet master. Буквально «кукловод». В идеале, полная передача характеристик лица «донора» на лицо «жертвы». Как делали «людей» из племени Нави в Аватаре Джеймса Кэмерона.

• Face Synthesis and Attribute Editing. Буквально «синтез лиц и редактирование атрибутов». В отличие от Puppet Master, здесь идёт работа с одним лицом. Его можно состарить, омолодить, изменить цвет, причёску, дорисовать очки, шляпу и т.п. Из относительно свежих ярких представителей я бы сюда отнёс фоторедактор Lensa, хотя понятней иллюстрирует идею Snapchat со своими фильтрами.

• Audiodeepfakes. Авторы работы к этому разделу отнесли всё, что связано с аудио, хотя лично я бы разделил на 3 категории: искажение голоса, синтезаторы, клонировщики.

Также все инструменты можно разделить на 2 большие группы: те, которые осуществляют подмену в режиме реального времени и те, кто генерирует результат постфактум.

Проще познакомиться с плюсами и минусами каждой техники на конкретных примерах. Разберем несколько приложений/сервисов. Какие-то пробежим, на некоторых остановимся подробнее.

MSQRD

Несмотря на множество аналогичных по идее приложений (например, Reface), начать хочется с MSQRD, потому что на моей памяти, это первая программа для создания дипфейков, которая появилась в публичном доступе. Белорусский стартап, который за 1 миллиард долларов был куплен потом ТемиКогоВРоссииНельзяБезЗвёздочкиНаписать.

В примере ниже MSQRD используетFace-swapping\Face Synthesis and Attribute Editing.

Плюсы подобных инструментов:

• Низкий порог вхождения по знаниям. Не нужно дополнительно штудировать мануалы.

• Низкий порог вхождения по технике. Обработка происходит на стороне сервиса.

• Низкий порог вхождения по затраченному времени. Результат получаем практически мгновенно.

• Бесплатно.

Минусы:

• Нет свободы воли. Перечень сцен и героев для подмены ограничен создателями приложения.

• Цифровой след. Регистрация, водяные знаки и т.п.

DeepFaceLab

Пожалуй, самый известный, самый замануаленный, самый проработанный и прочие «самый» инструмент. Яркий представитель техники Face-swapping, обойти вниманием который было нельзя.

Инструкции есть на многих языках как в формате текста, так и в видео-гайдах. Обработку и обучение нейронки можно запустить даже на CPU, поэтому решено было проверить на себе. Результат:

Мда…Совсем не то, что ожидал. Почему? А потому что решено ведь было следовать принципу, вынесенному в начало статьи: сделать качественный дипфейк (видео и аудио), не особо вникая в вопрос. В случае с DeepFaceLab это явно не получится. Нужно учитывать довольно много нюансов. Перед обучением нейронки нужно как минимум учесть:

• качество видео «донора» и «жертвы» (свет, цвет и т.д.);

• масштаб пересаживаемых лиц (чтоб не получилось, как у меня, когда маленькая картинка растягивается и мылит);

• наличие в обоих видео всех положений головы (особенно, если собираетесь сильно ею вертеть);

• необходимость удалить «плохие» кадры из наборов данных перед началом обучения (кадры без лица, размытые кадры, кадры с посторонними предметами, перекрывающими лицо и т.п.).

После обучения работы тоже хватает. Внутри DeepFaceLab есть встроенный инструмент Merger, с помощью которого можно осуществлять покадровую подгонку пересаженного лица.

Именно в нём регулируется размытие, размер маски, её положение, цвет и т.д.

Если же подходить к вопросу в стиле «Далее-Далее-Готово», то результат получится, как у меня.

Плюсы подобных инструментов:

• Свобода воли. Можно создавать произвольный контент.

• Низкий порог вхождения по технике. Но стоит отметить, что чем слабее железо, тем дольше будет проходить обучение нейросети и прочая обработка.

• Минимальный цифровой след;

• Бесплатно.

Минусы:

• Высокий порог вхождения по знаниям;

• Высокий порог вхождения по затраченному времени;

• Нельзя сделать подмену в режиме реального времени.

Wav2Lip

Настала пора инструмента, который использует технику Lip syncing. И хоть подходящего железа под рукой не было, проект позволял поиграться с помощью Google Colab. Вооружившись инструкцией, получил результаты:

Оказалось, что инструмент довольно чувствителен к посторонним шумам и может принять их за речь. В итоге в видео есть участки тишины, на которых видно, как шевелятся губы. Возможно, избежать ложных сработок позволит предварительное редактирование аудио с вставкой полной тишины между словами. Проверять я это, конечно же, не буду © Кстати, с русской речью тоже всё получается неплохо.

Плюсы подобных инструментов:

• Свобода воли. Можно создавать произвольный контент;

• Меньше возни с предварительной подготовкой данных, если сравнивать с DeepFaceLab;

• Больше достоверности, так как ничего не заменяется, а лишь искажается небольшой участок рта;

• Минимальный цифровой след (если не работать через Colab);

• Бесплатно.

Минусы:

• Высокий порог вхождения по знаниям;

• Высокий порог вхождения по технике (если не работать через Colab);

• Высокий порог вхождения по затраченному времени;

• Нельзя сделать подмену в режиме реального времени.

А ещё желательно избегать неоднотонных фонов. В противном случае область подмены будет бросаться в глаза.

Avatarify

Программа использует технику Puppet master и позволяет в режиме реального времени «оживить» какое-нибудь фото. Есть известный ролик, который показывает возможности этого решения: «Илон Маск» вошел в конференцию в зуме». Обратите внимание, «Илон Маск» почти не шевелит головой. Только глазами. Он как восковая фигура. Но некоторые и в жизни не демонстрируют живость мимики или пребывают в разных состояниях, так что вполне можно и обмануться. Голос, понятно, совсем не подделан – подробнее о синтезе речи в режиме реального времени поговорим ниже.

Потенциал здесь определённо есть, но пока всё же этот проект не рассматриваю, как серьёзную угрозу. Уж слишком много факторов должны сойтись, чтобы на выходе получился приемлемый результат. К примеру, требуется определённый перечень софта и железа. Причём, подозреваю, что в ряде случаев нужно будет точное попадание в версию, а не «от 3.5 и выше». У меня так и не получилось запустить проект (хотя может дело в руках).

Если посмотреть на успехи тех, кто смог стартануть, выяснится, что нужно подбирать подходящую позу, угол и т.п., чтобы аватар не пучило. Смотрите сами:

Но если глянуть в сторону коммерческих проектов, результаты будут более впечатляющими.

Плюсы подобных инструментов:

• Подмена в режиме реального времени;

• Свобода воли. Перечень сцен и героев для подмены не ограничен;

• Минимальный цифровой след (для некоммерческих инструментов);

• Бесплатно (для некоммерческих инструментов);

• Низкий порог вхождения по знаниям (для коммерческих инструментов).

Минусы:

• Высокий порог вхождения по знаниям (для некоммерческих инструментов);

• Высокий порог вхождения по технике (для некоммерческих инструментов);

• Платно (для коммерческих инструментов);

• Цифровой след (для коммерческих инструментов).

Что до Face Synthesis and Attribute Editing, то в части создания дипфейков я склонен рассматривать эту технику как продолжение Puppet Master с аналогичными преимуществами, ограничениями и выводами.

Подделка аудио

Настало время попробовать подделать голос. По одной из версий, которые читал про первый в мире инцидент с применением deepfake, голос жертвы не клонировали. Был найден пародист с изначально похожим на жертву голосом, который затем сымитировал акцент, манеру речи и прочее. Чтобы было ещё более похоже, голос дополнительно искажали в момент разговора. С этого и начнём.

«Искажатели»

Они часто используются в игровой индустрии – например, если игрокам важно, чтобы по голосу их не узнали. Искажатели работают в режиме реального времени и меняют голос на лету.

Плюсы подобных инструментов:

• Можно найти бесплатные;

• Работа в режиме реального времени;

• Низкий порог вхождения по технике.

• Низкий порог вхождения по знаниям.

Минусы:

• Вряд ли получится сымитировать любой голос;

• В теории, подделанный голос можно преобразовать обратно и получить изначальный голос говорящего.

Синтезаторы речи

Принцип работы прост: вводим текст – нам его озвучивает голос. Часто такие инструменты представлены в виде сервисов.

Как видите, есть опции по выбору языка, скорости, «актёра» и тона речи. Некоторые сервисы предлагают синтезировать актёра под заказ.

Плюсы подобных инструментов:

• Можно найти бесплатные;

• Низкий порог входа по знаниям;

• Низкий порог входа по технике;

• Низкий порог входа по времени.

Минусы:

• Свобода воли. Произвольный голос не подделать.

• Ограничения инструмента (не во всех сервисах даже есть возможность изменять ударение);

• Цифровой след;

• Не работает в режиме реального времени.

Клонирование голоса + синтезаторы речи

Логичным развитием синтеза речи является синтез речи конкретного человека. Из бесплатных инструментов я попробовал этот.

Упрощённо логику работы можно описать так:

1. Добываем аудио «жертвы», чей голос будем поддерживать. Чем выше качество записи, тем лучше. В идеале wav, на котором только голос человека без посторонних шумов.

2. Готовим набор данных. Нарезаем аудио на отдельные фразы, транскрибируем и всё это дело сохраняем определённым образом.

3. ВЖУХ (запускается обучение нейросети);

4. Пишем текст, синтезатор его озвучивает подделанным голосом.

Хватает инструкций, где подробно показан каждый этап. Результатом, к сожалению, поделиться не могу, т.к. действовал через Colab и добиться чего-либо приемлемого на выходе не получилось. В основном из-за того, что если оставить обучаться нейронку надолго, то что-то шло не так и валилось с ошибкой. Если же обучение шло недолго, сгенерированный голос был не особо похож на «жертву».

Плюсы подобных инструментов:

• Бесплатно;

• Свобода воли. Можно подделывать любой голос;

• Минимальный цифровой след (если запускать на своей технике, естественно).

Минусы:

• Высокий порог входа по знаниям;

• Высокий порог входа по технике;

• Высокий порог входа по времени;

• Ограничения инструмента (ударения, интонации и т.п.);

• Не работает в режиме реального времени.

Клонирование + синтез. В режиме реального времени

Логичное развитие логичного развития. Пока сказать об эффективности такого подхода мне нечего, не дошли руки (и техника) попробовать. Но различные инструменты, как коммерческие, так и бесплатные, уже есть. Вот для видео, вот для аудио. Наверняка кто-то в скором времени и вместе соберёт, если уже не собрал. Как минимум, на поверхности лежит идея запуска Real-Time-Voice-Cloning в паре с Avatarify.

Кстати, в задаче повышения достоверности дипфейков есть не одно направление. Параллельно, идя по пути улучшения подделки, можно идти по пути внесения осознанных ухудшений. Например, чтобы скрыть неидеальный фейк при звонке можно вносить на лету различные помехи в видео и аудио: посторонние шумы, пикселизацию, прерывание сигнала и прочее.

Как выявлять дипфейки без специализированных инструментов и сервисов. Практика

Итак, нагрузившись теорией по самое горлышко, пора сформулировать не просто списки признаков, а понятную инструкцию. Поясню мысль. Выкатить кучу «сигнатур» дипфейков любой может. И нельзя сказать, что это ложная информация. Вот, например, мой список, на что стоит обращать внимание для аудио:

• Выразительность;

• Одышка;

• Эмоции;

• Ударения;

• Слова-паразиты;

• Специфические дефекты;

• Темп.

А ведь в реальности у каждого инструмента, с помощью которого создаётся подделка, есть свои ограничения.

Но запомнить, а главное, вспомнить в нужный момент, всё это человек вряд ли сможет. Поэтому предлагаю такую инструкцию по выявлению дипфейков:

1. Контекст

2. Определить технику

3. Вспомнить ограничения

4. Искать артефакты в местах, которые следуют из п.2

Проиллюстрирую на примерах, о которых упоминал в самом начале статьи (ролик под названием «10 лучших Дипфейк видео»). В качестве дополнительных инструментов будет задействован любой проигрыватель, который способен воспроизводить видео покадрово.

Пример 1

Тут, как и во многих других подделках, нет смысла идти дальше шага Контекст. Тем не менее, пройдёмся по алгоритму:

1. Используется техника Face Swapping.

2. Ограничения касаются положения головы при поворотах на большие углы.

3. Нейронка просто не знает, как нарисовать правильно, пытается до последнего показывать оба глаза. В итоге лицо получается похожим на блин. Как такое произошло? Когда готовили дата-сет изображений Стива Бушеми, скорее всего не «скормили» нейронке фото в нужном ракурсе.

Пример 2

Если уменьшить скорость воспроизведения или смотреть покадрово, можно сразу увидеть несколько артефактов. Например, несовпадение текстуры кожи.

Ещё переборщили с размытием. Во время движения весьма бросается в глаза.

На крупных планах «мыло» видно ещё больше.

На одном кадре нейросеть даже перестаралась и попыталась нарисовать лицо там, где его не должно быть.

Также на крупных планах вы сможете найти эффекты «дрожания» наложенного лица. А пока пройдёмся по алгоритму:

1. Используется Face-swapping.

2. Если не попали с размерами лиц «донора» и «жертвы», лицо донора будет мылить. Для более качественной «пересадки» используется размытие границ, но с ним можно переборщить. Лицо в каждом кадре накладывается без оглядки на прошлое и будущее. Как следствие, лицо может «дрожать».

3. Удалось с лихвой найти артефакты.

   1. Лоб выделяется, он блестит, а другие части лица нет.

   2. Очень хорошо видно размытие по границе «маски».

   3. На крупных планах видно, как отличается текстура кожи.

   4. Есть моменты, когда голова (лоб, шея, уши) «жертвы» не двигается, а лицо «донора» немного смещается. Дрожание.

Т.к. у Пикабу есть лимит на количество медиа в посте, придётся разбить пост на 2 части.
UPD: Вторая часть.

Коронавирус

Это всеобъемлющая тема, которая задавала тон всему году. Поэтому решено было вынести её в отдельный пункт, чтобы не возвращаться к ней в каждом последующем.

Активный рост регистраций доменов начался с февраля, но главный всплеск пришелся на первый карантинный месяц – на март. Число регистраций доменов covid выросло больше чем на 1200%, по доменам corona – больше чем на 600%. Дальше число регистраций только снижалось, очередной небольшой всплеск был в ноябре.

Занимательный факт с Шелдоном Купером: если глянуть на график регистрации доменов, видно, что слово «covid» прижилось в русском языке лучше, чем «corona». Исключение было лишь в марте.

Если углубиться в тему, заметно, как менялись тренды в течение года. Так, в начале 2020-го названия доменов больше эксплуатировали информационную и просветительскую тематику (ключевое слово дополнялось чем-то вроде «informer», «radar», «bulletin» и т.п.).

В мае тема коронавируса заиграла новыми красками – люди стали искать информацию о компенсационных выплатах. На руку злоумышленникам сыграла и официальная «юзерфрендли»-ссылка: posobie16.gosuslugi[.]ru. Это сразу отразилось на количестве регистраций доменов с вариациями на тему gosuslugi, posobie, vyplaty и т.п.

Вот для примера график для «госуслуг»:

Волна «выплат» затем сменилась темой тестов, а после – и вакцинации. Так с 1 июля по 14 августа в доменной зоне RU было зарегистрировано 66 сайтов на тему COVID-19. Среди них 28 – с упоминанием вакцины в названии. Пик регистраций пришелся на 22 июля-4 августа, вторая волна – на 11 августа (это дата официального объявления о регистрации вакцины «Спутник V» российского производства).

Если резюмировать, регистрация фишинговых сайтов по теме коронавируса – это только часть огромной махины мошенничеств. Сложно найти направление, по которому коронавирус не внёс бы свои коррективы. Были и поддельные рассылки от ВОЗ, и продажа пропусков во время локдауна, и фальшивые результаты ПЦР-тестов. И много чего ещё.

Некоторые другие темы, которые интересовали мошенников

Категоризировать фишинговые волны можно по-разному. Для наглядности, решено было за основу взять регулярность атак. Исходя из этого получилось всего 3 категории: разовые, сезонные и вечные.

Разовые акции

Появляются в качестве ответа на запрос общества. Спрос порождает предложение, как бы банально ни звучало. Стоило по телевизору в мае сказать про ковидные выплаты, как реакция не заставила себя ждать (см. график выше). Весенние локдауны тоже служат хорошей иллюстрацией.

По динамике регистраций доменов со словом zoom в названии хорошо видно, когда россияне стали массово осваивать новые форматы учебы и работы. В марте регистраций подозрительных zoom-доменов было 4, в апреле уже 28, а в мае – 49.

Занимательный факт: дополнительную путаницу для пользователей внёс сам Zoom, будучи зарегистрированным на национальном домене US, а не «привычном» COM.

Ещё одну разовую акцию можно было наблюдать летом накануне голосования за поправки в Конституцию.

Официальный сайт 2020og[.]ru как бы сам напрашивался на вариации с использованием «0», «-» в разных интересных местах.

Занимательный факт: представители власти иногда, сами того не желая, помогают мошенникам. Для привлечения граждан к онлайн-голосованию мэрия Москвы запустила проект портала «Активный гражданин», который предполагал розыгрыш 2 млн сертификатов на оплату товаров, услуг, парковки и скидки в ресторанах. Розыгрыш сертификатов «Активный гражданин» был организован по следующей официальной (!) схеме. Для информирования организаторы использовали смс-рассылку. Потенциальному участнику розыгрыша приходило сообщение с предложением перейти на сайт (домен ag-vmeste[.]ru), где нужно было бы ввести код из смс. А чтобы отказаться от участия, нужно было написать сообщение на короткий номер.

Стоит добавить, что внимание мошенников привлекают не только массовые маркетинговые акции, но и запуск бонусных программ отдельных брендов. Так, немного покопавшись в доменах, можно обнаружить, что мошенники пытались организовывать сценарии мошенничества с бонусными программами «Лукойла» (в январе был всплески регистраций сайтов типа BONUS-CARD-LUCOIL[.]ru, BONUSI-LUKOIL[.]ru), Тинькофф, Альфа-банк, ВКонтакте, Ситимобил, BelkaCar, МТС, М-Видео, Магнит и др.

Сезонные акции

Кампании выше были реакцией злоумышленников на событие, которое уже произошло. Но так происходит не всегда. Когда событие происходит регулярно, некоторые работают на опережение. В качестве примера возьмём «чёрную пятницу». В прошлом году в СМИ засветилась кампания «-off».

200 доменов с этим суффиксом были зарегистрированы в октябре. Под раздачу попали популярные бренды: мебельные компании, ювелирные салоны, сотовый ритейл, магазины одежды и т.д.

А вот праздничный пример, подсмотренный у коллег. Количество зарегистрированных доменов со словами ded и moroz.

Ну и конечно куда без онлайн-заказов. Первый пик регистраций сайтов пришёлся на апрель. Это отлично видно по регистрациям доменов с использованием наименования известных онлайн-ритейлеров и служб доставки: Boxberry, Wildberries, Cdek, Avito, Youla.

По данным профильной ассоциации АКИТ в первый же день, когда президент объявил о том, что нас ждет неделя «выходных» дней, в целом ряде сервисов по доставке еды количество заказов выросло в 5-10 раз. А после e-commerce освоили даже те, кто раньше не покупал онлайн. Быстрее всего рос сегмент продажи одежды и обуви.

Чаще всего сайты пытаются мимикрировать под страницы оформления заказа ( «корень» order), доставки («корень» delivery) и оплаты товара («корень» pay). Для примера, в феврале регистраций доменов со словом «delivery» было 53. В апреле стало 288. Но про это поговорим отдельно в разделе про используемые приёмы.

Занимательный факт: график выше иллюстрирует все 3 категории. Так, весенний пик – разовая акция. Летний пик – сезонная. В целом же, интерес к площадкам в 0 не уходит, что приводит нас к последней категории – «тема вечная».

Вечный рейв

Работает – не трогай. Некоторые мошенники, действительно, не хотят гнаться за модой, предпочитая нестареющую «классику». К ней отношу упомянутые выше торговые площадки, службы доставки и, конечно, банки. В качестве примера предлагаю посмотреть на «великий и ужасный» Сбер.

Именно по нему количество подозрительных доменов стабильно растёт. Есть версия, почему так. В сентябре 2020, когда компания презентовала экосистему из 10 онлайн-сервисов, число регистраций доменов со словом sber выросло вдвое. «Интернет-умельцы» явно пытались использовать тот факт, что клиенты «Сбера» еще не разобрались с новой экосистемой. А потому регистрировали домены типа sber-car, sber-burger, sber-maps, sber-disk, sber-book, sber-mobil и многие другие. «SBER» стал каким-то аналогом Bluetooth («всё лучше с Bluetooth» ©TBBT S2E18). Серьёзно, чего только не регистрировали с ним.

Кроме того, Сбербанк из-за своей известности и повсеместного присутствия, любим мошенниками в качестве сайта-партнёра для оплаты: AVITO-SBERPAY-WALLET[.]RU и т.п.

Используемые приёмы

Задача данного раздела не перечислить в стиле реферата всё то, что можно найти на просторах сети, а показать распространённые техники с наглядными примерами.

Правит балом тайпсквоттинг. Для введения в заблуждение используются символы, похожие между собой. VV вместо W, 0 вместо O, rn вместо m и так далее. Но чаще ставку делают не на маскировку, а на невнимательность. К примеру, просто добавляя букву в домен: gosuslugie[.]ru, gosuslugis[.]ru

Очепятки вкупе с невнимательность жертвы – наше всё.

- VVWW-AVITO[.]ru

- VWW-AVITO[.]ru

- WWV-AVITO[.]ru

- WWWSBERBANK[.]ru

Занимательный факт: вы заметили, что слово «невнимательностью» было написано с ошибкой?

Ещё один популярный приём – добавить какие-нибудь значимые слова и конструкции.

Тема личных кабинетов:

- MY

- MOI

- LK

Тема доставки:

- DELIVERY

- DOSTAVKA

- TRACK

- CHECK

Тема оплаты:

- PAY

- SECUREPAY

- OPLATA

- 3DS

- KASSA

- SAFEDEAL

- PROCESSING

В результате рождаются прекрасные:

- HTTP-WWW-AVITO[.]ru

- WWW-HTTPS-CDEK[.]ru

- HTTPS-WWW-CDEK[.]ru

- CDEK-RU-ORDER-WEBSITE-PAYMENT[.]ru

Наконец, для пущей убедительности мошеннической схемы, порой регистрируются домены, имитирующие ссылку на заказ. Это как раз тот случай, когда проще один раз увидеть.

- AVITO-RU-ID83676894500-ORDER[.]ru

- YOULA-RU-ID872798654490-ORDER[.]ru

- AVITO-ORDER74916392[.]ru

- AVITOPAY-ID7191392[.]ru

- AVITOPAY-ID7491392[.]ru

- AVITOPAY-ID74916392[.]ru

- YOULA-ID74916392[.]ru

- YOULA-ID74916396[.]ru

- YOULA-ID74971392[.]ru

- YOULA-ID749911392[.]ru

Выводы и рекомендации

1. Каждый большой информационный повод вызывает всплеск регистраций сайтов – как мошеннических, так и легальных, но «мусорных» (переадресующих на интернет-магазин, «зеркала» СМИ и т.п.).

2. Иногда виден «почерк» одного и того же злоумышленника.

3. Срок жизни фишингового или иного вредоносного сайта сократился, в том числе, благодаря вниманию общественности и СМИ до 2-3 дней. За это время даже профессиональные расследователи не всегда успевают изучить его содержимое. На мой взгляд, общественный резонанс – пока самый действенный механизм срыва мошеннических сценариев.

4. Принципиально новых способов «развода» не появляется. Чаще комбинируются и «переупаковываются» известные техники, проверенные временем. Поэтому информированность людей о способах отъёма их кровных крайне важна.

Поэтому напомним основные правила безопасности для пользователей.

1. Официальные бренды могут создавать дополнительные домены под конкретные акции, но информацию об этом как правило содержится на официальном сайте или ином официальном же источнике информации. При малейшем сомнении в том, что сайт легитимный, не выполняйте на нем никаких действий, просто покидайте его. Переход по ссылкам или скачивание какого-то содержимого может привести к заражению, любые оставленные данные – попасть к злоумышленникам. Не можете разобраться сами – попросите помощи у тех, кто разбирается.

2. Критично относитесь к халяве. Продажа айфона по цене в 2 раза ниже рыночной – это не «повезло». Это развод.

3. Ведите расчеты на официальном сайте. Например, перевод коммуникации с официального Avito в мессенджер делает невозможным оспаривание сделки, т.к. она выпадает из-под внимания службы безопасности сервиса.

4. Всегда обращайте внимание на предупреждения браузеров и антивирусных программ, если они уведомляют, что сайт вредоносный или небезопасный.

5. Научитесь проверять домены через whois. Недавно зарегистрированный домен с непонятным или «Private person» владельцем должен вызывать подозрение.

6. Сообщайте брендам о попытках мошенничества. Например, есть сервис Сбербанка (https://www.sberbank.ru/promo/antifraud/check.html), который предлагает проверить ссылку или номер телефона на достоверность, а также прислать информацию на проверку, если у вас закрались подозрения. Жалобы – это действенный способ максимально сократить срок действия сайтов злоумышленников.

Но это не столь важно. Важно, чтобы люди, которым нужна эта помощь, не попались на удочку мошенников. Пикабушник, предупреждён сам - предупреди знакомых.