Троян в кнопочном телефоне — как крадут ваши деньги
Привет.
Тема скрытых и неприятных сюрпризов в кнопочных телефонах поднималась у нас неоднократно, но по прошествии лет многие моменты из памяти стираются, а, значит, их нужно освежить. Поводом также послужила презентация «Трояны и бэкдоры в кнопочных мобильных телефонах российской розницы», за авторством ValdikSS.
Стереотипы утверждают, что возможности кнопочных телефонов заметно меньше, чем у смартфонов, поэтому никакая слежка за ними невозможна в принципе. Увы, здравый смысл здесь не работает как нужно, так как любой мобильный телефон может собирать различную информацию, а кнопочные аппараты тут не исключение. Более того, те системы слежки, что мы видим в смартфонах зародились еще во времена кнопочных телефонов и успешно эволюционировали. Другое дело, что в кнопке есть изначально заложенные ограничения, например, нельзя определить точные координаты аппарата, так как обычно нет встроенного GPS, но зато можно увидеть район, в котором аппарат работает (точность меньше, но зачастую и этого достаточно).
Большинство покупателей кнопочных телефонов — это вовсе не пожилые люди, эта часть пользователей заметна, но не определяющая. Тут снова играют стереотипы, но кнопочные телефоны зачастую нужны в довольно специфичных группах, они популярны в них.
Несколько лет назад говорили о кнопке с Надей Полицыной, интервью вполне актуально и сегодня с точки зрения того, кто является покупателем таких аппаратов.
Давайте разберемся, что именно может находится в кнопочных телефонах и как на это реагировать. Начнем с самого обыденного факта, а именно регистрации аппарата на сети, когда производитель хочет получить информацию о том, что телефоном начали пользоваться. Делается это для различных целей, например, сборе статистики о продаже, отсчете электронной гарантии и так далее. К сожалению, большинство производителей никак не предупреждают покупателя о том, что в его телефоне есть подобная функциональность и какие-то данные передаются вовне. Обычно это SMS-сообщение и оно содержит следующую информацию:
- Дата
- IMEI-номер (отсюда известна модель)
- Язык меню
- Страна
- Идентификатор базовой станции
Еще хуже то, что информация об отправленном SMS-сообщении не появляется нигде в телефоне, узнать об этом вы можете только в детализации оператора. Это обычное SMS, которое стоит согласно вашему тарифу, как правило, цена варьируется от 1 до 3 рублей. Проблема в том, что никто вас не предупреждает об этом, и несмотря на незначительность суммы, это ваши деньги, которые с вас снимают без спроса.
Обычно такие SMS носят разовый характер, после регистрации аппарата в базе, никому не интересно, что будет с ним происходить дальше. Тот же Transsion (в России известен под маркой iTel), вовсе выдает свою базу IMEI в открытом доступе, вы можете посмотреть, где зарегистрирован тот или иной аппарат.
Для производителей такая аналитика полезна, но в моделях, где отсутствует интернет-подключение, сбор осуществляется отправкой SMS. И то, что пользователь об этом ничего не знает, однозначно плохо. Но никакого криминала или, тем более, троянов такие аппараты не содержат. Это просто незадокументированная для покупателя функция.
В аппаратах, физически имеющих мобильный интернет, передача осуществляется с его помощью (даже, если ваш тариф не поддерживает мобильный интернет, есть ухищрения, как передать информацию, используя служебные пакеты).
Большинство производителей кнопочных телефонов в России берут китайские модели, дорабатывают их под свои задачи и проверяют функциональность, которая им нужна. Зачастую скрытые возможности ускользают из поля зрения, либо не хватает компетенции, чтобы попросить их убрать. В результате аппараты получают скрытые возможности, что неизвестны заказчику. Выясняется это все в момент, когда аппараты уже продаются, а пользователи обнаруживают неправильное поведение. Исправление возможно только в сервисном центре, либо в новых партиях товара. И это проблема выбора устройств от компаний, которые не очень следят за их качеством. Тут возникает извечный вопрос, что внешне телефоны могут быть одинаковы и полностью идентичны, но внутри над ними проведена совершенно разная работа. Почему-то покупатели обычно судят об одинаковости моделей исключительно по их внешнему виду.
Теперь давайте перейдем к моделям, которые не просто отправляют SMS, но делают это на платные номера, чтобы деньги списались с вашего счета у оператора. Мобильный оператор не видит, кто именно отправляет SMS, человек или сам аппарат, что создает раздолье для мошенников. Обычно схема мошенничества проста до безобразия. Китайская фабрика оценивает умения партнера и, если видит, что он не очень настойчив, не проверяет досконально товар, то ставит внутри троян, чтобы заработать дополнительные деньги. Если партнер ловит его за руку, то дальше эта функциональность отключается удаленно, и проблема заминается. Но до этого момента с клиентов такого производителя стригут барыши.
Например, в упомянутой в начале презентации говорится про телефон DEXP SD2810, который имеет встроенный троян. Марка DEXP принадлежит DNS, это огромная розничная сеть, имеющая магазины по всей стране. В погоне за дешевизной, скорее всего, эта модель не проверялась на наличие скрытых функций. Хотя можно придумать сотню причин почему это произошло, факт остается фактом, что это случилось.
Узнать о том, что телефон отправляет платные SMS и самостоятельно заказывает развлечения можно только из детализации, в списке SMS вы не найдете ничего. Обычно в таких аппаратах за SMS ставят небольшую сумму в 50 рублей или около того, стараются не частить с отправкой сообщений. То есть создают ситуацию, при которой человек может долгое время не обнаружить, что с него списывают деньги. Важно проверять свою детализацию хотя бы время от времени, чтобы знать, что происходит на вашем аппарате.
Говорить о том, что это масштабная проблема, охватывающая большинство кнопочных телефонов, нельзя. Попросил трех российских операторов провести анализ SMS с кнопочных телефонов и оценить, на каком их количестве есть заказ платных услуг. Результат у каждого из операторов оказался довольно схож — около 2% от всех кнопочных аппаратов имеют подключенные платные услуги. Учитывая, что часть людей действительно покупает гороскопы и другой контент, сказать, что проблема с троянами носит массовый характер невозможно, это все же экзотика. В линейке DEXP из более чем десятка моделей троян есть только в одном аппарате, что также показательно, не уследили за конкретной фабрикой. И это не значит, что обходить стороной нужно все аппараты от DEXP, какие-либо выводы тут невозможны, проблема может быть даже не в конкретной модели, а только в части партии, которая поступила на рынок.
Допустим, что вы столкнулись с такой проблемой, и ваш кнопочный телефон тратит деньги, что делать в такой ситуации? Вам необходимо заказать детализацию у оператора, убедиться, что никто в вашей семье не покупал такой контент. Затем вы можете написать претензию как продавцу этого устройства, так и производителю. В случае, если ни первый, ни второй не идут на контакт, то можно обратиться в суд — компенсация как стоимости устройства, так и морального вреда (последняя варьируется от 10 до 100 тысяч рублей, зависит от качества вашего юриста). Большинство людей конечно же в суд не идут, а проблема урегулируется во внесудебном порядке, производителю дешевле и проще поступить так. Тем более, что, повторюсь, такие истории не носят массовый характер.
Кнопочный телефон вовсе не означает полную защиту от слежки или от проблем. Как вы видите, с ними можно столкнуться. И тут на первый план выходит то, что нужно покупать устройства компаний, которые вы знаете, и понимаете, что они делают. Например, та же Nokia (HMD Global) продолжает лидировать в продажах на российском рынке, так как марку знают и по старой памяти ей доверяют. Стоимость телефонов Nokia заметно выше, чем у конкурентов, равно как выше и качество софта, его проверок. Это вовсе не значит, что нужно броситься и покупать только Nokia, нет. Но относится к покупке кнопочного телефона стоит чуточку ответственнее, чем это происходит сегодня, когда люди не понимают разницы и берут то, что есть, закрывая глаза на марку производителя, того, кто он и что умеет делать. Да это простой товар, но и при его покупке, как вы видите, могут быть подводные камни.
