Хакер из Кингисеппа пробил брешь в интернет-торговле ж/д билетами и задел интересы сына главы РЖД Якунина. В группу входили десятки парней, ущерб измеряется в сотнях миллионах, география – до Камчатки. Редкое it-мошенничество объединили в преступное сообщество.

На прошлой неделе Управление на транспорте ГУ МВД по Северо-Западному Федеральному округу, наконец, сообщило о 25-летнем хакере Максиме Матюшеве, уроженце Кингисеппа. Арестовали его и предъявили ему обвинение по мошенничеству в сфере компьютерной технологии еще в октябре этого года.

Жителю Ленобласти инкриминируется 6 успешных эпизодов изъятия денег в особо крупном размере со счетов туроператоров, продающих ж/д билеты. Сейчас дело объединили с аналогичным московским. Многостраничные папки убыли в столицу. Там следствие подозревает парня еще в 6 аналогичных поступках.

Абсолютным прецедентом является еще и то, что десятки эпизодов и десятки фигурантов объединены в преступное сообщество.

Сегодня из его лидеров установлены, помимо Матюшина, еще четверо. Всем от 21 до 28. Один из них - 28-летний житель Москвы Роман Михайлов также арестован. Ему, кстати, следствие назначило психиатрическую экспертизу. Но особо интересен 24-летний житель Астрахани Ярослав Сумбаев. Его считают мозгом компании. Теперь его ищут за границей. Следователи подчеркивают, что география мошенничества определяется всей территорией РФ, а участники рынка исчисляют ущерб десятками и, возможно, сотнями миллионов рублей.

Вводная

РЖД продает билеты тремя способами. Частным лицам напрямую в кассе или через свой сайт, а юрлицам через единственного агента - систему ufs-online, принадлежащую московскому ООО "Универсальная финансовая система" ("УФС").

Компания "УФС" – технологический партнер РЖД, который оперирует специальной платформой по бронированию билетов. Эта платформа – единственный онлайн-сервис в России, который имеет доступ к электронной базе РЖД, контролирующей продажу всех билетов на поезда дальнего следования. УФС обеспечивает интеграцию с системой АСУ "Экспресс-3" ОАО "РЖД". Всем агентствам, работающим как в офлайне, так и в интернете (например, крупнейшим - ozon.travel и tutu.ru), чтобы начать продажу билетов на поезда, нужно подключаться к УФС. Всего платформу используют около 5 тысяч тревел-агентств, - заявляет на сайте компании ее гендиректор Дмитрий Ветчинка. Согласно данным СПАРК-Интерфакс, чистая прибыль компании за 2013 год составила 193 миллиона рублей. Единственным владельцем компании является оффшорная "АМ ЭБУКЕРС ЛИМИТЕД", зарегистрированная на Кипре.

Доступ к системе тысячам туркомпаний предоставляют крупные оптовики брони. Например, "Портбилет" и ""Транспортная Клиринговая Палата". Они закупают бронь у УФС и подключают к системе субагентов-туроператоров, которые в свою очередь выписывают электронные билеты гражданам, физически приходящим в офисы туркомпаний. УФС получает 60–100 рублей с билета, проданного через субагента. За девять месяцев 2014 года было продано 6 млн билетов, сообщается в октябрьском пресс-релизе компании. Всего же, по некоторым данным, на УФС приходится около 18% от всех электронных продаж РЖД. Сервисный сбор, который взимает УФС, зависит от цены билета и составляет в среднем 350 руб. Таким образом, с января по сентябрь УФС могла получить более 2 миллиардов рублей выручки, рассказали участники рынка.

Опрошенные 47news туроператоры уверяют, что компания УФС имеет непосредственное отношение к старшему сыну главы ОАО "РЖД" Андрею Якунину. Также версию семейственности в околожелезнодорожных темах отстаивал известный блогер Алексей Навальный.

Схема

На почтовый ящик туроператора приходит письмо с, якобы, деловым предложением. В письмо встроены интерактивные компоненты (динамические либо статичные картинки, "рюши", узоры и прочее веселье). Пользователь, например, секретарша, из любопытства реагирует на них нажатием мышки. Тем самым активируя микровирус типа "keyloger". Это программа, которая записывает все, что набрано на клавиатуре при пользовании компьютером.

Вирус может быть написан таким образом, что сканирует только символы, набранные в полях "логин", "пароль". Отправка данных происходит не через почту пользователя, а посредством мини-почтового клиента в составе вируса. Для этого требуется лишь наличие подключения к интернету.

Атака

направлена на получение доступа к личным кабинетам сотрудников агентства в системе "УФС", из которого осуществляется бронирование билетов сотрудниками. Известны случаи иного взлома, - через подбор пароля и логина с помощью специальных программ, а также через взлом серверов туроператоров. Сейчас известно, что обвиняемые действовали с ip-адресов зарубежных стран. Например, Колумбии и Прибалтики.

Получив логин и пароль, злоумышленники заходили в личный кабинет и покупали электронные ж/д билеты. Поскольку туроператоры работают с РЖД по принципу полной предоплаты, деньги сразу списывались со счета фирмы в пользу железнодорожников. Никаких сантиментов по отношению к коммерсантам хакеры не испытывали. Как выразились собеседники в транспортной полиции, "выгребали все подчистую, хоть 30 тысяч у мелкой фирмочки, хоть пару миллионов у крупных туроператоров". Для экономии времени хакеры выбирали самые "жирные" билеты. Самым частым вариантом был люкс "Москва-Владивосток". На момент подготовки публикации его стоимость составляла 38 615 рублей.

Билеты оформлялись на паспортные данные реальных людей. Чаще всего это были студенты, которых находили через соцсети. Их определение в иерархии звучит лаконично: "drop".

На арго интернет-жуликов это значит "ведомый". Также распространено слово "mule", что в переводе "осел". Есть и разновидности дропов, например, "сознательный дропчик", то есть тот, кто в курсе сомнительной схемы. Люди, дающие дропам задание, логичным образом именуются "дроповодами".

Дроп-студенты

Неправомерные по сути, но технически верные покупки билетов чаще всего осуществлялись ночью или в выходные и праздничные дни, когда вероятность оперативного реагирования жертвы снижается. На утро, после покупки дроповод скидывал дропу данные оформленного на него билета и тот сдавал билет в кассе возврата. Были варианты, когда дроп передумывал ехать и через 10 минут после покупки. Причем аферосистема работала размашисто.

Например, билет мог быть куплен в Москве, а сдан в Саратове или Красноярске. За работу дроп получал от фиксированных пары тысяч до 10% стоимости билета. Дроповод-организатор получал деньги посредством банковского перевода, либо через электронные кошельки. Для того, чтобы понять объем обналиченных средств, следствие сейчас ждет ответов о транзакциях от нескольких кредитных учреждений. Среди них ОАО "АКБ Авангард", ОАО "Бинбанк", ОАО АКБ "Росбанк", Северо-Западного банка ОАО "Сбербанк России", ЗАО "Связной Банк" и от ООО НКО "Яндекс-Деньги".

На данный момент полиция разыскивает 25 дропов из разных регионов РФ, участие которых в схеме обналичивания билетов установлено. Интересно, что среди них две девушки. Как нам пояснили в полиции, виновность дропа доказывать сложно, поскольку он может действительно использоваться втемную. Этот тезис доказывает отсутствие в информационном поле сообщений о возбуждение уголовных дел в отношении дропов.
Так, 25 июня 2014 года транспортная полиция по Центральному федеральному округу задержала двух студентов из Чувашии, которые пытались сдать билеты на Ярославском вокзале Москвы. Случай единичный и произошел благодаря реакции туроператора, у которого накануне были куплены билеты на 837 тысяч рублей и медлительности дропов.