Лига мобильной связи

Был у нас тут месяц назад для работников билайн корпоратив и обещано, что некоторым клиентам в рамках лояльности будет разослано под НГ ряд новогодних выгодных персональных предложений, а также выкачен в публичный доступ в 1С тарифный план с интернет-трафиком объемом 1 Тб для новых подключений.

В итоге входит клиент на свой номер и пробует активировать сформированное конкретно под него данное предложение. Опция позволяет зафиксировать навсегда посуточную абонентскую плату 5р/сутки.

Поскольку у клиента возникла ошибка, то была создана заявка в CRM-портале для подключения данной скидки техническим отделом. По итогу Шапалова Марина Сергеевна прислала клиенту банальную отписку, что он может сам подрубить данную скидку, хотя из скрина выше, что не может. Да еще и ФИО клиента в самой заявке указала не те.

После такого откровенного кидняка клиент заходит на свой номер, чтобы свалить от этого оператора в Сбермобайл. И что же он видит на своём номере?! У него висит маркет на запрет переноса номера! Хотя абонент давний клиент, уже очень много лет, на номере огромный стаж.

В общем билайн как всегда в своём репертуаре - кидает со скидками, не дает перенести номер. Рад, что увольняюсь под Новый год из этой компании.

UPD: клиент прошёл опросы, согласно которым начисляют бонусный баланс. Потратил полчаса своего времени, чтобы ответить на вопросы. По итогу нифига не начислили. Вы что, совсем там офигели под Новый год!?

К слову, решать они эту проблему отказываются категорически.

В сухом остатке, поддержка на мой резонный вопрос пожелала мне хорошего настроения.

Не будьте как Саша - не подключайтесь к YOTA, если не хотите для себя таких геморроев.

Абсолютно легальные инструменты за смешные деньги могут позволить вам звонить всем активным клиентам ваших конкурентов, построить десяток эффективных мошеннических схем или даже позвонить предполагаемому любовнику вашей девушки/жены, а заодно проверить, где она была вчера вечером! Обнаружил я это в ходе одного из расследований утечек клиентов. И я твердо уверен, что такого быть не должно. Инструмент, использующийся в статье, эффективнее утечек баз. Нашими данными не должны так легко легально торговать практически в режиме онлайн. Можно найти любого, куда он ходит, где живет и спит, и позвонить им. Почему и как это работает, какие риски это несет и как этому противодействовать? Расскажу далее.

❯ Расследование, с которого всё началось

Осенью ко мне обратился крупный заказчик с довольно типовой проблемой — утечкой лидов с сайта, собирающего заявки. Работало это так:

• Клиент оставляет заявку на сайте.

• В этот же день с ним связывается колл-центр заказчика.

• На следующий день ему звонят злоумышленники и начинают продавать уже свое.

Это затрагивало значительную часть клиентов, но не всех. К моменту начала расследования утечке был уже не первый месяц.Отрабатывали мы стандартные гипотезы:

• Слив сотрудниками колл-центра.

• Технический фактор слива данных с сайта.

• Слив данных партнерами и контрагентами.

• Таргетинг на клиентов компании.

Но эта статья ни в коем случае не пиар расследования, и я не буду утомлять вас подробностями того, как мы исключали одну версию за другой. Важно то, что мы нашли.

Многие знают, как работает таргетированная реклама, и провайдеры сотовой связи открыто продают маркетинговым агентствам данные о переходах на сайты.

Вот, например, прогноз аудитории одного из провайдеров сотовой связи, на таргетинг всех, кто за последнюю неделю заходил на Хабр! Примерно 280 тыс. человек, цена смс каждому будет в районе нескольких рублей + 0.5 рубля за этот доп фильтр. Да, информация по вашему входу на сайт стоит 50 копеек.

Как это работает? Это все входы на сайт через мобильный интернет! Провайдер видит домен к которому вы обращаетесь, он не шифруется по умолчанию в TLS.

Можно купить только у одного провайдера? Нет, они перепродают сервисы друг друга, поэтому можно оттрекать абонентов нескольких провайдеров в личном кабинете одного. Они сами распределяют прибыль от продажи ваших данных.

Данными о заходах на сайты торгуют уже давно, позволяют отправлять СМС,  а маркетинговые агентства, покупая этот трафик, позволяют ПОЗВОНИТЬ жертве клиенту, правда, без передачи номера. За оплату такого слива вам дадут ссылку через которую можно позвонить через гейтвей IP-телефонии.

Но это не так страшно и эффективно, ведь на сайт много кто заходит, будет много мусорных звонков от случайных заходов. А у нашего заказчика утекали именно оформленные заявки. Звонили только тем, кто их оставил, и только через мобильный интернет. Но не всем, кто вообще заходил на сайт.

Но не так давно появилась новая опция, позволяющая отследить звонки!

Вам предлагают вбить от 5 номеров, и посмотреть, а сколько ваших жертв, тьфу, клиентов звонили на указанные номера? Или им звонили с этих номеров, или как на скрине “любое направление”. 190 человек из 280 тысяч пользователей Хабра за последнюю неделю общались с техподдержкой Госуслуг, ведь ее номер 78001007010.

Почему я уверен, что их 190, и туда не попали другие 4 номера? Их не существует, туда можно вбить любые несуществующие номера. Вот подтверждение, я поменял первый номер на также не существующий, поменял 0 на конце на 1, и в выборке аудитории стало пусто!

Именно так угоняли заявки у нашего клиента, они ставили фильтры:

• Заход на сайт компании.

• Звонок с номера колл-центра компании.

Колл-центр заказчика звонил по всем заявкам, а уже на следующий день это появлялось в личном кабинете маркетологов, которые за небольшую сумму могли совершить звонок всем, кто попадал в фильтр!

Да, за слив метаданных ваших телефонных звонков нужно доплатить всего-то 2 рубля!

Полный список доступных фильтров и условий прикладываю:

Отдельно обратите внимание на “присутствие в геозоне” и условие “вход в геозону”. Где-то год назад мой коллега по кибербезопасности Дмитрий Евдокимов спросил у меня, не замечаю ли я, что в командировках в Москву спам звонков и смс прилетает больше, чем дома в Питере? Тогда я не мог аргументированно ответить почему, но вот, Дима (@d1g1), тебе ответ! Таргетят нас именно так.

❯ А если не маркетологи?

Но кто еще может использовать подобный инструмент? Покупая ссылки на звонки у маркетинговых компаний за скромные деньги или вовсе бесплатно пользуясь фильтрами?

Конкуренты

Могут таргетировать ваших сотрудников, и звонить вашим клиентам под любым предлогом,копируя вашу базу.

Они же могут таргетировать ваших сотрудников с целью коммерческого шпионажа, фильтры по гео могут даже позволить им следить за перемещениями! Главное — просто правильно их настроить.

Ревнивые мужья/жены

• Ваша жена/девушка с кем-то очень мило беседовала вчера?

Вы можете позвонить всем, с кем она вчера говорила!

• Она куда-то ездила на выходных и вы ей звонили?

По фильтру звонков таргетите именно ее, а геозоной начинаете искать, сужая круг и перемещая его куда угодно. Вуаля, вы найдете в каких зонах она была в определенный момент в течение дня. И ее подруга живет совсем не там.

Мошенники

• Узнать, что жертва (да, тут уже жертва) уехала в геозону?

• Позвонить всем, кто общался вчера с центром элитных автомобилей, и попросить предоплату за бронь?

• Позвонить всем клиентам дорогого отеля, которые вчера туда заехали и звонили в него? Можно предложить что-то элитное с “предоплатой”!

И многое многое другое, такой инструмент — настоящий подарок для продвинутых и таргетированных атак “колл-центров служб безопасности”. Все, что нужно, — оплатить услуги любого из кучи агентств, или напрямую закупать у провайдеров на любое юрлицо.

Внимание, платить нужно только за звонок/смс, отслеживать геолокацию абонента можно абсолютно бесплатно в предпросмотре аудитории фильтров!

❯ А как этому противодействовать?

Если у вас своя компания и вы боитесь утечек клиентов, изобразите клиента. Возьмите новую симку, зайдите к себе на сайт с мобильного интернета и оформите заявку, позвоните на телефон, указанный на сайте. Словом просто пройдите клиентский путь.

Если после такого вам позвонят конкуренты/мошенники, у вас проблема, но уже хорошо, что о ней вы узнали. Первое, что вам придется сделать, — выбить из их рук фильтр звонков, ведь он самый эффективный в таргетинге. Для этого придется сменить привычный номер на сайте, а в идеале заменить его динамическим. При большом и сменяемом пуле номеров, фильтр работать перестанет, отследить, с кем именно общается ваша компания звонками, станет невозможно.

Альтернативный вариант — звонить через мессенджеры, но далеко не всем это будет по душе(

А для обычных пользователей?

Меньше серфите через мобильный интернет, используйте Wi-Fi. Также по возможности прячьте свои коммуникации от провайдера с помощью сервисов защиты трафика, их как раз сейчас используют для совсем другого, о чем сейчас не стоит писать по просьбе РКН. Но это надёжно закроет доступ к посещаемым вами сайтам.

Геозону контролировать невозможно, не оставлять же дома телефон, как некоторые криминальные элементы?

❯ А что с этим делать глобально?

Реклама должна работать, это драйвер бизнеса! Но не такой ценой. По моему скромному мнению, необходимо ограничивать инструменты рекламы. Сейчас провайдеры и маркетинговые агентства открыто торгуют очень чувствительной информацией, позволяющей даже узнать, где находился их абонент в течение дня!

Более того, чтобы “пробить” геолокацию, зная номер абонента, не нужно платить ни одного рубля, проходить какую-то модерацию, нужно просто иметь логин и пароль к любому кабинету рекламы! И сделать ему один единственный сброс-звонок, для эффективной фильтрации по звонкам.

Почему это законно? Номер не передается, персональных данных фактически нет. Передается ссылка для звонка, или отправляется СМС сообщение. Геолокация тоже передается "всего фильтра", а не конкретной персоны. Но никого не волнует, что отфильтровать одного человека довольно просто.

Чтобы понять как это стоит ограничить, нужно понять, а где грань этичного таргетинга? Как можно таргетировать группы людей, без возможности вычленить конкретных людей?

Напишите свое мнение в комментариях, попробуем разобраться вместе. По моему мнению, мы эту грань уже давненько прошли. И эта грань — фильтр по звонкам, именно он позволяет нам легко таргетировать и сливать информацию по конкретному абоненту! Зная его номер и сделав ему пустой разовый звонок.

Написано специально для Timeweb Cloud и читателей Пикабу. Больше интересных статей и новостей в нашем блоге на Хабре и телеграм-канале.

Хочешь стать автором (или уже состоявшийся автор) и есть, чем интересным поделиться в рамках наших блогов (за вознаграждение) — пиши сюда.

Облачные сервисы Timeweb Cloud — это реферальная ссылка, которая может помочь поддержать авторские проекты.

То же самое сделал и для другого своего номера, который у меня с 2004 года, тогда ещё компания НСС была, а телефон свой первый, я помню, покупал специально с GPRS, чтобы сидеть в интернете.

Но через некоторое время начали сыпаться эти смс прямо как спам, почти каждый день. Обновите, значит, свои чёртовы персональные данные, мы хотим ещё!

Но я же всё вам отправил, вот и документ есть это подтверждающий. И я игнорировал эти смс.

И вот 24 ноября они заблокировали мне симку, интернет пропал, там ещё оставалось 14 дней его, а это около 300 руб. Денег, конечно же, никто возвращать не собирается, похоже.

Звоню им 26 ноября, понимаю, что оператор там шестёрка, которая просто диктует справку бабушкам, но пытаюсь им что-то вразумить, попросить о помощи, что мне нужен интернет, что мне заблокировали симку по ошибке,что паспортные данные я уже отправлял 5 месяцев назад, но ничего не помогало, ответ был простой - топайте к нам в офис с паспортом. А паспорт в городе остался, ехать туда 3 часа в одну сторону. Я говорю, а давайте моя жена придёт с моим паспортом, я вот сейчас по телефону даю своё согласие на это. Но нет, вам самим нужно приходить. А ваше заявление мы не видим, вы нам ничего не присылали. Это пист детс! Я говорю, да вот у меня есть подтверждение, вы сами его мне прислали 29 июня. Нет, мы ничего не получали, приезжайте к нам давайте, потратьте своё время, у вас его полно, наверное.

Подумав, как быть, я подключил на свой телефон интернет 3 Гига, расшарил его как точка доступа и роутером уже раздаю инет по всему дому. До пятницы хватит продержаться, поищу информацию пока, что делать дальше.

И придумал вот что - жена купит симку Билайна для роутера, там 35 гигов есть за 650 руб в мес. Привезёт в пятницу и всё, о еледва можно будет спокойно забыть, идите на...

А основной свой номер я переведу в билайн, скатаю с паспортом в офис, но уже к ним. Мне всё равно ведь ехать придётся? Ну вот.

НСС, прощайте, спустя 20 лет вы потеряли своего постоянного клиента своим отвратительным отношением к нему.