Новая SMS-афера: как мошенники крадут ваш аккаунт Pango
Практический гид по распознаванию SMS-мошенничества от имени Pango — что проверять перед кликом
Как работает афера — 4 точных шага
Вам только что пришла SMS, выглядящая так, будто она от Pango. Текст точен: «Подозрительная операция на сумму 450 шекелей (NIS) совершена с вашей карты, заканчивающейся на 4521. Для отмены операции нажмите здесь». Вы помните, что совершали покупки сегодня, но не на эту сумму. Поднимается паника. Вы нажимаете на ссылку.
Именно этого и ждал атакующий.
Шаг 1: Поддельное сообщение приходит
SMS, идентифицирующая себя как Pango, обычно с утверждением о «подозрительной транзакции» или «срочной проблеме безопасности». Иногда упоминаются последние 4 цифры вашей карты — данные, которые могут утечь из старых баз данных или с торговых сайтов. Выглядит абсолютно аутентично.
Шаг 2: Обманчивая ссылка
В сообщении появляется короткая ссылка (bit.ly / cutt.ly / странный локальный домен вроде pango-verify.com), выглядящая знакомо, но не являющаяся официальным адресом. Ссылка ведет на сайт, идентичный настоящему сайту Pango — тот же логотип, те же цвета, тот же пользовательский опыт.
Шаг 3: Поддельный экран входа
Сайт просит ввести логин и пароль «для верификации». Есть и успокаивающее сообщение: «Мы защищаем ваш аккаунт». Всё выглядит нормально. Вы вводите данные.
Шаг 4: Доступ открыт атакующему
Как только вы ввели данные, атакующий уже внутри. Он может совершать денежные переводы, воровать дополнительные данные кредитных карт, сохраненные в аккаунте, или продавать доступ к вашему аккаунту другим лицам. Всё это происходит в реальном времени, за считанные минуты.
Почему это так хорошо работает?
Pango используется ежедневно: парковка, мелкие платежи, быстрые переводы. SMS от Pango — обычное дело, и легко пропустить предупреждающие сигналы, когда речь о рутине. За последний год количество жалоб на SMS-мошенничество от имени Pango выросло на 40%, и большинство жертв сообщили, что не заметили ни одного из предупреждающих признаков.
Сравнительная таблица — настоящая SMS против поддельной SMS
| Критерий | Настоящая SMS от Pango | Поддельная SMS (фишинг) |
|---|---|---|
| Отправитель сообщения | Pango или официальный 5-значный номер (например: 5XXXX) | Странное имя, незнакомый номер, или поддельный «PangoAlert» |
| Ссылка | Всегда pango.co.il или app.pango.co.il | bit.ly, cutt.ly, или похожий домен вроде pango-verify.com |
| Запрос ввести пароль | Pango не запрашивает пароль через SMS | Просит «верифицировать аккаунт» с логином и паролем |
| Срочность | Нейтрально: «Новая транзакция», «Напоминание об оплате» | «Срочная проблема безопасности!», «Ваш аккаунт будет заблокирован через 24 часа» |
| Язык | Правильный иврит, без орфографических ошибок | Иногда Google Translate с странными формулировками |
| 4 цифры карты | Появляются только в контексте реальной транзакции, которую вы недавно совершили | Упоминаются как «доказательство» того, что сообщение настоящее, техника убеждения |
Важный момент: даже если в сообщении упоминаются последние 4 цифры вашей карты, это не означает, что оно легитимно. Эти данные могут утечь из старых баз данных, из утечек торговых сайтов или даже из чеков, которые вы выбросили в мусор. Атакующие используют это, чтобы создать у вас ложное чувство безопасности.
Что делать, если получили подозрительную SMS — практический чек-лист
Перед тем как на что-то нажать:
1. Не нажимайте на ссылку сразу
Откройте приложение Pango напрямую со смартфона, или наберите адрес pango.co.il в браузере. Если есть реальная проблема с аккаунтом, вы увидите её там. Нет никакой причины заходить через ссылку в SMS.
2. Проверьте отправителя сообщения
Pango отправляет SMS с четким именем или с фиксированного 5-значного номера. Если имя «Pango-Security», «PangoTeam» или что-то подобное, это почти наверняка мошенничество. Если это обычный номер из 10 цифр, это еще более подозрительно.
3. Ищите языковые и стилистические ошибки
«Ваш аккаунт подлежит приостановке», «Верифицируйте операцию в течение 24 часов или аккаунт будет заблокирован». Такие формулировки не появляются в официальных сообщениях. Pango пишет на правильном иврите и не использует тактики давления.
4. Скопируйте ссылку и вставьте в блокнот (не нажимайте на неё)
Проверьте, начинается ли адрес с https://pango.co.il. Любой другой домен — включая вариации вроде pango-verify.com или pangosecure.co.il — поддельный. Обратите внимание на буквы, которые выглядят похоже (например, 0 вместо O).
5. Если не уверены, позвоните напрямую в поддержку Pango
Номер поддержки указан в приложении и на официальном сайте. Они подтвердят за секунды, настоящее ли сообщение. Это займет одну минуту и может сэкономить вам тысячи шекелей.
Если уже нажали на ссылку:
Не вводите данные на сайте
Немедленно закройте страницу. Не продолжайте скроллить и не пытайтесь «проверить, что там». Любой ввод информации на поддельном сайте передает её напрямую атакующему.
Если ввели логин и пароль, смените пароль сейчас
Зайдите в настоящее приложение или на официальный сайт и немедленно смените. Включите двухфакторную аутентификацию, если Pango предлагает. Сделайте это раньше всего остального.
Проверьте историю операций в аккаунте
Ищите транзакции, которые вы не совершали. Если есть, немедленно обратитесь в поддержку Pango и заблокируйте карту. Задокументируйте каждую подозрительную операцию со скриншотами, включая время и дату.
Сообщите в Pango
Перенаправьте поддельное сообщение в поддержку (скриншот или копию полного текста и ссылки). Это помогает им заблокировать ссылку и предупредить других пользователей, и создает официальную документацию на случай, если потребуется подать жалобу.
Как защитить аккаунт Pango в будущем — 5 привычек
1. Включите двухфакторную аутентификацию, если доступна
Не все платежные приложения предлагают это, но если Pango добавит такую опцию, включите немедленно. Это означает, что даже если кто-то украдет ваш пароль, он не сможет войти без дополнительного кода, отправленного на ваш телефон.
2. Не сохраняйте пароль в браузере
Если кто-то получит доступ к вашему телефону (кража, потеря или ремонт у ненадежного специалиста), он сможет автоматически войти. Используйте вместо этого зашифрованный менеджер паролей.
3. Проверяйте список устройств, подключенных к аккаунту
Если Pango позволяет видеть, откуда входили в ваш аккаунт, делайте это раз в месяц. Если видите вход с незнакомого устройства, немедленно смените пароль.
4. Меняйте пароль каждые 6 месяцев
Это значительно снижает риск в случае утечки данных. Даже если ваш пароль утек из старой базы данных, через 6 месяцев он уже нерелевантен.
5. Используйте инструменты идентификации номеров, такие как Traceback
Если кто-то звонит и идентифицирует себя как «поддержка Pango», вы сможете верифицировать его личность за секунды. Traceback раскрывает настоящую личность звонящего и работает со всеми операторами в Израиле. Идентификация происходит за 1,3 секунды, и отчет можно использовать для документирования преследования. Подписка стоит 14,90 шекелей (NIS) в неделю, 29,90 шекелей (NIS) в месяц или 249,90 шекелей (NIS) в год, без ограничения количества идентификаций. Также есть 3-дневная бесплатная пробная версия для месячной и годовой подписки.
Частые вопросы — SMS-мошенничество Pango
В: Pango когда-нибудь отправляет SMS со ссылкой на внешний сайт?
Нет. Все официальные сообщения от Pango направляют в приложение или на домен pango.co.il только. Сокращенные ссылки (bit.ly, cutt.ly и подобные) всегда подозрительны. Ни одна легитимная компания не использует сокращатели ссылок в сообщениях о безопасности.
В: Если ссылка выглядит нормально на телефоне, она безопасна?
Нет. Телефоны иногда показывают только часть адреса. Всегда копируйте ссылку в блокнот и проверяйте весь адрес, особенно домен (часть, заканчивающуюся на .com или .co.il).
В: Pango попросит меня ввести пароль через SMS?
Никогда. Если SMS просит «верифицировать аккаунт» с логином и паролем, это мошенничество. Pango запрашивает вход только в приложении или на официальном сайте, и никогда через ссылку в SMS. Это золотое правило: ни одна компания не попросит пароль в текстовом сообщении.
В: Что делать, если атакующий уже успел получить доступ к моему аккаунту?
Немедленно смените пароль, проверьте историю операций, заблокируйте кредитную карту, если есть подозрительные транзакции, и обратитесь в поддержку Pango. Сохраните скриншоты всего подозрительного (сообщения, операции, ссылки). Это может помочь в случае иска или при координации с банком для возврата средств.
В: Можно ли сообщить о таком мошенничестве в полицию?
Да. Обратитесь в киберподразделение полиции со всеми деталями: скриншот сообщения, поддельная ссылка и история операций из аккаунта. Если есть финансовый ущерб, подайте официальную жалобу в ближайший полицейский участок. Скорее всего, вы не увидите деньги обратно от атакующего, но отчет важен для предотвращения будущих мошенничеств.
В: Такие аферы случаются и с другими приложениями (Bit, Paybox)?
Безусловно. Любое популярное платежное приложение — потенциальная цель. Применяются те же принципы: не нажимайте на ссылки в SMS, всегда проверяйте домен и не вводите пароль, если не уверены на 100%, что находитесь на настоящем сайте. Чем популярнее приложение, тем больше попыток фишинга.
В: Как я могу быть уверен, что нахожусь на настоящем сайте?
Наберите адрес pango.co.il напрямую в браузере, не полагайтесь на ссылки. Проверьте, что рядом с адресом есть зеленый замок (HTTPS). Если адрес начинается с http без S, или есть предупреждение «Небезопасный сайт», немедленно выходите.
Итог: не нажимайте, открывайте приложение
SMS-мошенничества изощрены, потому что используют доверие, которое мы построили к ежедневным приложениям вроде Pango. Самое важное правило: не нажимайте на ссылки в SMS. Открывайте приложение напрямую. Если есть реальная проблема с аккаунтом, вы увидите её там. Если вы получаете подозрительные звонки или сообщения, Traceback может помочь вам идентифицировать настоящего звонящего за секунды и сэкономить головную боль и финансовый ущерб.
Запомните: SMS-мошенничество не исчезнет. Чем популярнее Pango, тем больше будет попыток фишинга. Но если вы усвоите базовые правила — не нажимайте, проверяйте отправителя, копируйте и проверяйте ссылку — ваш шанс попасть в ловушку падает почти до нуля.
⚠️ Примечание: Эта статья содержит общую информацию и не является юридической консультацией. По конкретным юридическим вопросам рекомендуется проконсультироваться с лицензированным адвокатом. Traceback не несет ответственности за юридические результаты.
