Всем привет! На связи Айнур Абдрахманов, аналитик сервиса проактивного мониторинга внешних цифровых угроз Jet CSIRT, также известный как исследователь, который тратит вечера на изучение телеграм‑каналов с обещаниями «пассивного дохода от 5000₽ в день». Мониторинг таких пабликов — это, если хотите, профессиональная привычка: там раньше всех появляются новые социальные схемы, там их обкатывают и оттуда они расползаются в массы.

Хочу поделиться наблюдением — социальная инженерия эволюционирует. Вместо прямого нападения на жертву мошенники теперь вербуют легитимных пользователей в качестве инструмента атаки. Я изучил рабочую модель, в которой агенты, привлечённые обещаниями лёгкого заработка, добровольно превращают свои аккаунты Avito в фишинговые площадки. В статье — подробный разбор всей цепочки: как вербуют «сотрудников», как построена их работа и почему для обмана были выбраны именно популярные и дорогие товары вроде коллекционных LEGO.

Всё началось с того, что я дрейфовал по телеграм‑каналам с тегами «работа онлайн», «удалёнка без опыта» и подобными. В одном из них попалось объявление:

«Хотите зарабатывать на Авито? Ваш аккаунт может на этом заработать! Пишите нам, мы укажем, какие объявления размещать, а вы за это получите вознаграждение»

Формулировка знакома по десяткам других скам‑схем: раньше так же предлагали «сдать в аренду» карту или паспорт. Появление в этом ряду аккаунта на маркетплейсе — сравнительно новая история, и её стоило разобрать. Я написал по указанному контакту.

Первое, что бросилось в глаза — меня сразу перенаправили от первого контакта к другому «оператору». Это классический приём дистанцирования, известный как «переброс». Смысл в том, что первый аккаунт — это витрина: он собирает лиды, но никакой конкретики не выдаёт. Диалог по существу ведёт второй. Если первый аккаунт улетит в бан, витрину переклеят, схема продолжит работу. Похожий паттерн я уже описывал в статье «Скам на арбитраже криптовалют. Разбор действий мошенников».

На прямой вопрос о сути работы последовал уклончивый, но успокаивающий ответ:

После установления контакта началась проверка на серьёзность намерений и обозначение «оклада».

Мошенникам действительно нужен живой аккаунт со стажем и отзывами. Их цель — добропорядочные пользователи с накопленной историей продаж. Сразу после этой «проверки» последовало первое конкретное задание.

Реакция на объявление оказалась мгновенной, что лишь подтвердило его эффективность как мошеннической приманки. В течение 10 минут на него откликнулось более десяти человек — показатель того, насколько хорошо работают триггеры «дешёвого лота», когда речь идет о редких коллекционных товарах, вроде фигурок LEGO.

На мой вопрос «Что дальше?» оператор раскрыл легенду и истинную роль «менеджера».

Упоминание крупного маркетплейса — очередной приём для легитимизации схемы в глазах и жертвы, и самого агента. Затем последовала финальная, самая важная инструкция.

Жертва переводит деньги, а служба безопасности Авито отправляет ваш аккаунт в блокировку. А если кто‑то из жертв напишет заявление, IP‑адрес в логах Авито будет тоже ваш.

Учитывая, что мошенник не будет скидывать свои реквизиты, вполне возможно, что используется ещё одно подставное лицо (которое тоже не догадывается о сути происходящего), это известная схема в P2P‑арбитраже, «чёрный треугольник». Злоумышленник выставляет ордер на продажу криптовалюты на легальной P2P‑бирже, указывая в качестве способа оплаты карту дропа. Легальный покупатель крипты переводит рубли на эту карту, не подозревая, что это деньги, украденные у жертвы с Avito. Мошенник видит поступление и отдаёт покупателю криптовалюту. В итоге украденные рубли конвертируются в USDT руками постороннего человека, а для банков транзакция выглядит как обычный P2P‑обмен между двумя физлицами. А возможно, всё куда проще: скамер мог вывести деньги через сеть дропов, ведь сумма перевода небольшая.

Разобрав эту схему от первого сообщения в Telegram до передачи банковских реквизитов, можно сделать однозначный вывод: это не «удалёнка», а конвейер по производству соучастников преступлений. Мошенники создали идеальную для себя бизнес‑модель, где все риски (ст. 159 УК РФ) несёт нанятый «менеджер».

Мошенничество на маркетплейсах постепенно превращается в индустрию с разделением труда, а место классических «звонков от службы безопасности банка» занимают более сложные схемы, в которых жертв фактически две: та, что теряет деньги, и та, что теряет аккаунт (а с некоторой вероятностью — и свободу).