Этот сценарий — собирательный, взятый из публично задокументированных закономерностей, а не описание конкретного случая.
Неделя 1: разведка
Подготовка начинается задолго до дня закрытия. Объявления о недвижимости, публичные записи и посты в соцсетях о переезде — всё это сигналит, что готовится сделка. Злоумышленнику не нужно ничего взламывать, чтобы узнать, кто в ней участвует: история листингов агента покупателя, кадровый справочник титульной компании, даже автоответ «отсутствую в офисе» могут точно назвать того, кто ведёт дело.
Дни до закрытия: подготовка
Когда имена и дата установлены, злоумышленник разворачивает инфраструктуру: домен, почти неотличимый от домена титульной компании, или доступ к реально скомпрометированному ящику через переиспользованный или утёкший пароль. Всё готово до отправки первого подозрительного письма.
День закрытия: приходит письмо
Сообщение приходит в момент, когда срочность ощущается нормальной, часто ближе к дедлайну перевода. Оно ссылается на реальный адрес, реальную дату закрытия, иногда — на настоящие имена остальных участников. Просимое изменение обычно небольшое: обновление маршрутного номера, пометка, что первый счёт «отклонили». Ничто не выглядит драматично.
Дополнительный звонок
Если покупатель колеблется, часто следует телефонный звонок — иногда с подмены номера, всё чаще с ИИ-голосом, совпадающим с кем-то, с кем покупатель уже разговаривал. Звонок нужен, чтобы снять последнее сомнение перед отправкой перевода.
После перевода
Отправленные средства обычно не задерживаются на счёте-получателе. Они переводятся дальше, дробятся или конвертируются за часы — специально, чтобы опередить запрос на отзыв. Обнаружение часто наступает только через дни, когда реальный продавец или кредитор подтверждает, что средства так и не пришли.
Где эту последовательность можно было бы разорвать
Каждая предыдущая стадия зависит от одной непроверенной вещи: личности того, кто просит двигать деньги, и счёта, на который они уходят. Подтвердить и то, и другое независимо — и зафиксировать это подтверждение в защищённой от подделки записи в блокчейне, а не в редактируемой базе, — единственный шаг, который рвёт всю последовательность.
- Насколько заранее злоумышленники обычно начинают планирование?
- Разведка часто начинается за недели до закрытия, используя публичную информацию из объявлений, кадровых страниц и соцсетей, а не какое-либо проникновение в системы.
- Достаточно ли телефонного звонка, чтобы подтвердить, что инструкции легитимны?
- Только если он сделан на номер, который у вас уже был, а не на номер из подозрительного сообщения, и в сочетании с независимой проверкой личности и реквизитов.