Fortexa Investigations
Письма с темой вроде «-TruistBank Payment-$1.5 million» массово рассылаются по электронным адресам. Отправитель представляется американским банком Truist и сообщает радостную новость: получателю «одобрены» полтора миллиона долларов, осталось только подтвердить личные данные в течение 48 часов. Это классическое мошенническое письмо о «выплате» — из того же жанра, что письма о наследстве и лотерейных выигрышах. Разбираем по признакам, почему ему нельзя верить, хотя формальные проверки подлинности оно проходит.
Что обещают и что просят взамен
Письмо подписано «Майком Лайонсом», «помощником главного финансового управляющего директора» банка. Текст сообщает: специальный департамент «по борьбе с мошенничеством» проверил дело получателя и постановил немедленно выплатить $1,5 млн — сумма «одобрена и легализована». Чтобы получить деньги, нужно ответить на письмо и прислать: полное имя, страну, домашний адрес, прямой телефон, возраст и профессию. На выбор предлагаются три способа «доставки»: банковский перевод, доставка банковской карты или «денежный груз / чек».
Так устроена схема с авансовым платежом. Сначала у получателя собирают личные данные — они пригодятся для следующих писем и звонков, уже «персональных». Затем наступает главный этап: перед «выплатой» нужно оплатить из своих денег комиссию, налог или страхование перевода. После оплаты либо просят ещё, либо переписка обрывается. Никакого фонда с полутора миллионами не существует: это приманка. А словосочетание «денежный груз» как способ доставки — штамп жанра «нигерийских писем», кочующий по таким рассылкам десятилетиями. Отдельный маркер — ультиматум «ответьте в течение 48 часов»: настоящие выплаты не сгорают за двое суток, а срок нужен, чтобы получатель не успел спокойно проверить письмо.
Признак первый: адрес отправителя
Имя отправителя — TruistBANK, но адрес — spam@msttour.com.tw. Домен msttour.com.tw принадлежит тайваньской туристической компании и к американскому банку отношения не имеет. Более того, локальная часть адреса — буквально слово «spam». Настоящий банк рассылает письма со своего домена. Чужой домен в поле «От» — достаточный повод удалить письмо, не вчитываясь в текст.
Признак второй: зелёные проверки, которые ничего не гарантируют
Служебные заголовки письма выглядят обманчиво благополучно: SPF — pass, DKIM — pass, DMARC — pass. Эти проверки подтверждают только одно: письмо действительно отправлено с сервера, уполномоченного отправлять почту для домена из адреса отправителя, — то есть для msttour.com.tw. Они не проверяют имя отправителя и не имеют отношения к Truist. Письмо честно отправлено с тайваньского сервера — просто подписано чужим банком, и именно поэтому все галочки зелёные.
Остальная цепочка картину не улучшает. Отвечать предлагается на бесплатный ящик filesfile74@gmail.com, а в подписи стоит ещё один адрес — irsgov@from.az: бесплатная почта, маскирующаяся под налоговую службу. Реальная отправка, судя по заголовкам, шла с адреса в африканском диапазоне IP-адресов через тот самый тайваньский сервер, а почтовая программа отправителя — Microsoft Outlook Express версии 6.00.2600.0000, клиент начала 2000-х годов.
Признак третий: текст собран из чужих кусков
Адрес в шапке письма — «1818 H Street, NW, Washington, DC 20433» — это штаб-квартира Всемирного банка. У самого Truist штаб-квартира находится в городе Шарлотт, штат Северная Каролина. Подпись гласит «Truist Bank Group PLC»: PLC — форма британских публичных компаний, американские банки так не именуются. По тексту разбросаны структуры, которых не существует, — «Truist Bank Bonds And Investments Product Treasury», «Trustnet Bank Group», — и должность, которой нет. Грамматика — на уровне подстрочного перевода. Настоящий банк не собирает официальное письмо из названий трёх разных организаций.
Что делать с таким письмом
Не отвечать и не отправлять данные. Банк, в котором у вас нет счёта, не может «одобрить» вам выплату; банк, в котором счёт есть, не просит подтвердить адрес и возраст ответным письмом на Gmail. Проверить любое «уведомление от банка» можно только одним способом: зайти на официальный сайт банка напрямую или позвонить по номеру с банковской карты — никогда по контактам из подозрительного письма. О самом письме можно сообщить в Федеральную торговую комиссию США через ReportFraud.ftc.gov, а в почтовом сервисе отметить его как фишинг. Если данные уже отправлены — главное, не переводить деньги ни под каким предлогом и сохранить переписку: она пригодится, если дело дойдёт до заявления в полицию или в банк.