Журнал «Компьютерра» № 29 от 15 августа 2006 года
Шрифт:
И все же — выразительные возможности софтверных инструментов растут; надежность и качество Платформ повышается; связность-всего-через-веб — таки да…. Следовательно, все не зря?..
ОПЫТЫ: Все очень просто! Как украсть WebMoney, не зная даже Excel
Автор: Don Pedalis
Давным-давно, аж в 2002 году, на российском интернет-рынке появился рекламный брокер. Назовем его Ratatuy.ru, хотя его настоящее имя покороче, трехбуквенное. Предлагаемый брокером сервис был призван наконец урегулировать дикие отношения между рекламодателями и веб-мастерами: первые норовили обмануть с оплатой, а вторые — накрутить баннеропоказы. Сервис за небольшой процент
Короче, все были довольны, но относились к сервису настороженно — годы дикого Рунета приучили людей к тому, что не может быть все хорошо и без обмана в любом сервисе, связанном с деньгами, тем более если система использует для платежей полуанонимную WebMoney. Да еще и вывод средств из системы осуществлялся не сразу, а только два раза в месяц. Но когда выплаты пошли — регулярно, честно и строго по графику, — народ активно потянулся в сервис. Соответственно рекой потекли и деньги, привлекалось все больше серьезных рекламодателей и интернет-площадок.
У сервиса было только одно слабое место — приходилось переводить деньги со своего кошелька в системе WebMoney на кошелек Ratatuy. Переведенная сумма сразу же зачислялась на ваш внутренний счет в системе. Это было нужно для того, чтобы исключить возможные мошенничества с оплатой. Теперь деньги снимались со счета рекламодателя автоматически в зависимости от того, за что он платит при проведении рекламной кампании, и если все честно — зачислялись на счет владельца сайта, где осуществлялись рекламные услуги. Владелец сайта, в свою очередь, не мог сразу же воспользоваться деньгами — качество его услуг перепроверялось, «накрутки» и «автоклики» больше не оплачивались. Правда, количество средств у вас на счету не являлось тайной для других зарегистрированных участников проекта, но в этом тоже было удобство — веб-мастера не заключали контрактов на рекламу с рекламодателями, баланс средств которых был минимален.
Где-то через полгода существования сервиса, когда в системе крутились уже достаточно большие деньги, многие рекламодатели и владельцы сайтов в один совсем не прекрасный день обнаружили, что суммы на их счетах в системе близки к нулю. Народ дружно закричал: «Дождались!» И со всей нерастраченной силой мелкобуржуазного гнева обрушился на Ratatuy.
Как ни странно, сайт продолжал существовать, администраторы отзывались в ICQ и огрызались на форумах. То есть это не была очередная банальная пирамида. Люди стали выводить средства из системы, сервис лихорадило, начались проблемы с выплатами. Но в целом рекламный брокер продолжал функционировать и отрицал всякую причастность к происшедшему. В общем, все, наверное, со временем бы устаканилось и забылось, но нашлось несколько обиженных, которые обратились в милицию.
Расследование показало, что деньги в системе Ratatuy не растворились, просто все пострадавшие в тот день дружно решили перевывести средства на кошельки WebMoney. Причем не на те кошельки, что обычно, а на другие. Но системой это не возбранялось, поэтому никакой тревоги не было. Кроме того, как уже говорилось, в Ratatuy нельзя вывести средства мгновенно, переводы на кошельки клиентов производились только два раза в месяц — 15-го и 25-го. Так вот заказы на вывод средств поступили 14-го вечером.
Безопасность системы Ratatuy, похоже, нарушена не была, никаких следов покушений на базу регистрационных данных участников проекта тоже не имелось. А перед милиционерами был только длинный список wmz-кошельков, на которые ушли средства. Естественно, что при таком раскладе под подозрение в первую очередь попали сотрудники Ratatuy.ru. В отношении
Дело в том, что параллельно милиция пыталась проследить судьбу средств на выявленных подозрительных кошельках WebMoney. Их роднило только одно — все они были зарегистрированы недавно, частично анонимными, частично на реальных людей, причем действительно проживающих по указанным при регистрации адресам в различных городах России. Все это распыляло силы милиции и затрудняло расследование. Естественно, что просто заблокировать эти кошельки было нельзя, да и денег на них уже не было — они были переведены на другие электронные кошельки. Новых кошельков было меньше, на каждый из них поступали переводы с двух-трех первоначальных кошельков. Далее количество кошельков только уменьшалось, а вклады на них укрупнялись. При этом путаница с регистрацией меньше не становилась. Следователи надеялись, что в конце концов останется только один кошелек. Но надежды не сбылись. Кошельков осталось около десятка, из них четыре анонимных и два с неверными регистрационными данными, сумма на каждом была внушительной. В отношении людей, чьи регистрационные данные совпали с реальными, проводились проверки, хотя по ходу следствия стало очевидным, что все не будет так легко. Просто если на предыдущих кошельках деньги не задержались и суток, то на последних они пролежали несколько дней.
Вообще вся затея с многочисленными переводами с кошелька на кошелек, очевидно, была задумана под впечатлением от просмотра голливудских киношедевров и призвана замести следы, но в наш век это просто невозможно. Тем более если иметь соответствующую договоренность с банком или со службой WebMoney. Информация о том, с какого электронного кошелька и на какой поступают деньги, не теряется и при необходимости предоставляется компетентным органам. Более того, предоставляется информация и о том, когда и под каким IP-адресом заходил в систему клиент данного кошелька. Соответственно, велись наблюдения за переводами и с оставшихся электронных кошельков. Часть денег все же растворилась — их конвертировали в электронные системы PayPal и eGold, воспользовавшись услугами посредников. Чтобы проследить их судьбу дальше, нужно было выходить на международный уровень. Но этого не потребовалось.
С одного из кошельков была переведена небольшая сумма еще одному клиенту в системе WebMoney — им оказался интернет-магазин Bolero. После чего милиционеры через сотрудников магазина быстро узнали регистрационные данные человека, который таким способом оплатил заказанную книгу. Ниточка потянулась в Ростов-на-Дону.
Но найти человека мало, нужно еще доказать его виновность. В доме подозреваемого произвели обыск и изъяли компьютер. Компьютер был тщательно осмотрен, подозреваемый допрошен. Милиция искала суперхакера, взломавшего почти одновременно множество аккаунтов, не оставившего следов в неплохо защищенной системе, ловко провернувшего сложную операцию и проколовшегося по мелочи всего один раз. Как же удивились следователи, обнаружив, каким образом молодой человек добился столь выдающихся результатов.
Оказалось, что на тот момент в системе Ratatuy в качестве логина учетной записи по умолчанию использовался e-mail клиента, а пароль клиент выбирал сам. Так вот, логин наш герой узнавал заранее, вступая в переписку с перспективным членом системы, на счету которого была солидная сумма. А пароль подбирался простой программкой перебора по словарю. Если таким образом результата достичь не удавалось, молодой человек не расстраивался и приступал ко взлому следующего аккаунта. Изначально планировалось взломать около сотни аккаунтов, удалось — около семидесяти. Вот что значит хороший словарь, ну и стоит подумать о том, как все-таки одинаково мыслят люди.