В эпоху цифровизации мы привыкли получать мгновенные ответы на любые вопросы. Потерял ключи? Есть приложение. Не знаешь, чем больна комнатная цветок? Сфотографируй лист. Странный звук в двигателе машины? Загрузи фото двигателя, и «ИИ» всё подскажет. Но за удобством «бесплатной диагностики по фото» часто скрывается изощренная схема сбора персональных данных, финансовых реквизитов и даже биометрии.
Как работает схема: от безобидного бота до утечки данных
Мошенники используют психологию срочности и жажды бесплатного экспертного мнения. Классическая цепочка атаки выглядит так:
- Привлечение внимания: Реклама в соцсетях, спам-рассылки, фишинговые сайты-клоны известных сервисов (страховых, сервисных центров, медицинских порталов) с заголовками: «Узнайте стоимость ремонта по фото за 1 минуту», «Бесплатная проверка мольберта/авто/кожи по снимку».
- Загрузка фото: Пользователь загружает изображение. Казалось бы, безобидно. Но фото часто содержит метаданные (EXIF): геолокацию, модель телефона, время съемки. Если на фото попали документы, номера VIN, рецепты или лица — это уже досье.
- Запрос контактов «для отправки результата»: Бот или сайт требует номер телефона, email или вход через Telegram/VK/Google «для авторизации». В этот момент происходит привязка устройства и личности к загруженному контенту.
- Социальная инженерия: «Диагностика» выдает пугающий вердикт: «Критический износ», «Опухоль», «Аварийная деталь». Затем предлагает «решение»: перейти по ссылке на «партнера», скачать APK-файл с «лечением», ввести карту для «предоплаты запчасти» или оплатить «страховку» по ссылке.
Основные векторы атак под маской диагностики
Авто-диагностика: «Оцените ущерб по фото для ОСАГО/КАСКО»
Самый популярный вектор. Пользователю предлагают сфотографировать повреждение кузова для «удаленного расчета выплаты».
- Цель: Получение VIN-номера (виден на фото лобового стекла или кузова), госномера, фото ПТС/СТС (часто просят прикрепить «для идентификации»), номера телефона.
- Риск: Подделка ДТП («разбитые» машины продаются в залоговые/на запчасти с чистой историей), оформление микрозаймов на данные владельца, целевой фишинг от имени страховщика.
Медицинская само-диагностика: «ИИ определит рак по фото родинки/языка/рентгена»
Приложения и боты, обещающие заменить врача.
- Цель: Биометрические данные (фото лица, кожи, глаз), история болезни (вводится в чат), контакты.
- Риск: Продажа чувствительных медицинских данных страховым компаниям (повышение полисов), работодателям, мошенникам для целевого фишинга («Мы видим у вас проблему, купите БАД/курс лечения»). Незаконная обработка особой категории персональных данных (ст. 10 ФЗ-152).
Техническая диагностика: «Проверьте телефон/ПК/диск по фото/скриншоту»
Просят сделать скриншот экрана с ошибкой, фото наклеек на ноутбуке или SMART-данных диска.
- Цель: Серийные номера устройств, MAC-адреса, версии ОС, установленное ПО (видно на скриншоте), логины в углу экрана.
- Риск: Подбор эксплойтов под конкретную версию ОС, кража аккаунтов (если на скриншоте виден парольный менеджер или открытая почта), социальная инженерия от имени «техподдержки Microsoft/Apple/Samsung».
Агро/Бытовая диагностика: «Определите болезнь растения/породу собаки/ценность монеты»
Казалось бы, безвредные хобби-боты.
- Цель: Геолокация (где растет растение/живет собака = адрес дома), модель камеры, контакты для «консультации эксперта».
- Риск: Базы данных для таргетированной рекламы, определение отсутствия хозяев дома (по времени активности и гео), продажа номеров в базы колл-центров.
Технические механизмы сбора данных (что вы не видите)
Даже если вы не вводили номер телефона, современные веб-технологии позволяют собрать «цифровой отпечаток» (fingerprint) устройства в момент загрузки фото:
- Navigator API & User Agent: Модель телефона, ОС, версия браузера, язык системы.
- Canvas/WebGL Fingerprinting: Уникальные параметры видеоподсистемы — позволяют идентифицировать устройство с точностью 99% без куков.
- Battery Status API: Уровень заряда и время до полной зарядки — вектор для отслеживания сессии.
- Network Information API: Тип соединения (Wi-Fi/4G), примерная скорость — коррелирует с геолокацией.
- Storage Manager / IndexedDB: Проверка доступного места, наличие локальных баз других сайтов.
- EXIF-данные фото: GPS-координаты (если не выключены в настройках камеры), модель камеры, уникальный ID сенсора (Sensor Fingerprinting, позволяет привязать фото к конкретному физическому телефону).
Красные флаги: как распознать ловушку
| Признак | Описание |
|---|---|
| Домен 3-го уровня или странное имя | diag-free.example.com, diagnostika-besplatno.ru, gosuslugi-diagnostika.tk. Официальные сервисы используют основные домены (gosuslugi.ru, strahovaya-kompaniya.ru). |
| Требование входа через соцсети/мессенджеры | «Войдите через Telegram, чтобы получить отчет». Легитимные сервисы обычно дают результат на экране или по email без OAuth. |
| Запрос излишних прав | Приложение просит доступ к контактам, микрофону, SMS, геолокации для «диагностики фото». |
| Давление срочностью и страхом | «Критическая ошибка!», «Рак 4 стадии!», «Машина взорвется завтра!». Реальные эксперты не ставят диагнозы в капсе. |
| Предложение скачать APK / .exe | «Скачайте наш сканер для точной проверки». Это прямой путь к трояну-шпиону или банковскому вредоносу. |
| Отсутствие юрлица и политики конфиденциальности | Нет ОГРН/ИНН, нет ссылки на 152-ФЗ, нет контактов ДПО (делегата по защите данных). |
Последствия попадания в ловушку
- Финансовые потери: Кража средств с карт (после ввода реквизитов на фишинговой странице «оплаты»), оформление микрозаймов на паспортные данные (полученные из метаданных или введенные в чат).
- Кража идентичности (Identity Theft): Использование фото документов, селфи (если просили «фото с паспортом для верификации»), биометрии для прохождения KYC в криптобиржах, банках, госуслугах.
- Таргетированный фишинг (Spear Phishing): Звонки «из банка/СБ/страховки» с знанием вашего VIN, диагноза, адреса, модели телефона — доверие мошенников возрастает в разы.
- Ботнет и шпионаж: Установленное «приложение для диагностики» может читать SMS (коды 2FA), клавиатуру, экран, контакты, геолокацию в фоне.
- Продажа данных в Darknet: Базы «Владельцы BMW X5, Москва, телефон, email» или «Люди с подозрением на онкологию, тел.» стоят дорого.
Как защититься: чек-лист безопасности
Техническая гигиена
- Выключите геотеги в камере: Настройки → Приложения → Камера → Разрешения → Геолокация → Запретить. Или используйте приложения-сниматели EXIF (Exif Eraser, Scrambled Exif) перед отправкой.
- Используйте изолированные профили/браузеры: Для сомнительных сайтов — режим инкогнито, отдельный профиль Firefox/Chrome с uBlock Origin, NoScript, CanvasBlocker.
- Не давайте права «на всякий случай»: Если бот просит контакты/микрофон/СМС для фото — отказывайтесь или удаляйте приложение.
- Проверяйте домены: Whois (whois.ru), VirusTotal (проверка URL), наличие HTTPS (но это не гарантия честности).
Поведенческие правила
- Не загружайте фото документов, лиц, VIN, рецептов, экранов с паролями в непроверенные боты/сайты.
- Не вводите платежные данные на сайтах, открытых из ссылок в ботах/СМС/почте. Зайдите на официальный сайт вручную.
- Не скачивайте APK/EXE из ссылок в чатах. Только официальные магазины (RuStore, Google Play, App Store, официальный сайт разработчика).
- Скептицизм к «ИИ-диагностике»: Никакой нейросеть не заменит осмотр кузовщика, врача или сисадмина. Бесплатный сыр — в мышеловке.
- Право на забвение (152-ФЗ): Если данные уже ушли — пишите претензию оператору (если найдете контакты) и в Роскомнадзор. Меняйте пароли, включайте 2FA (лучше аппаратный ключ или TOTP, не SMS).
«Бесплатная диагностика по фото» — это современная версия троянского коня. Вы добровольно вносите врага за стены цифрового дома, надеясь на экспертное мнение, а получаете утечку биометрии, финансов и приватности. Цена «бесплатного» отчета часто измеряется в украденных идентичностях и пустых счетах.
Помните: легитимные организации (страховщики, дилеры, клиники, производители железа) имеют официальные приложения, порталы и очные приемные. Они не просят прислать фото в анонимный бот Telegram или на сайт на бесплатном хостинге за промисом «мгновенного ИИ-вердикта». Будьте параноидальны, в кибербезопасности это синоним выживания.
Статья подготовлена в образовательных целях. Оставайтесь в безопасности. Дата актуализации: .