Стремительное развитие высоких технологий закономерно приводит к тому, что достижения в этой сфере всё чаще используются в преступных целях. Вызывает особую озабоченность тот факт, что сегодня около 90% всех киберпреступлений имеют экономическую направленность. По официальным данным, с начала года правоохранительные органы Украины зафиксировали более 20 тысяч незаконных операций с платежными карточками физических лиц, которые привели к совокупным убыткам на сумму более 500 миллионов гривен. И это лишь те факты, которые удалось зафиксировать. К слову, сумма в пол-миллиарда гривен касается только украинских банков и не включает убытки иностранных банков, работающих в стране.
О том как обстоят дела с киберпреступлениями в банковской сфере и как с ними бороться, рассказал в интервью «i» экс начальник управления Нацбанка Украины в Одесской области Олег Бурдейный.
Что сегодня происходит в сфере кибербезопасности в банковской сфере? Какие основные тенденции?
Несмотря на то, что кибербезопасность – это, пожалуй, одна из самых важных сфер деятельности для любой современной финансовой структуры, проблемы всячески пытаются замять и не афишировать. Боясь спугнуть клиентов, банки не публикуют реальные цифры, занижая реальную значимость проблемы. Те цифры, которые попадают в официальную статистику – это только масштабные случаи, которые скрыть было невозможно. Говоря о тенденциях, то их можно разбить по ряду устоявшихся направлений: скиминг, фишинг, кардинг, взломщики клиент банков, взломщики корреспондентских счетов самих банков, взломщики платежных систем.
На сегодняшний день ситуация такова, что меры борьбы с киберпреступлениями в банковской сфере совершенствуются, однако появляются все новые и новые высокотехнологичные угрозы и вызовы. Требуется время для того, чтобы найти пути борьбы с ними. Методы борьбы часто отстают на шаг, а то и два от методов взлома.
Для сравнения: как обстоят дела с банковской киберпреступностью в других странах?
Проблема есть даже в самых развитых экономиках. Я бы сказал, там она особенно актуальна. В США, например, киберпреступления в банковской сфере наносят ежегодный ущерб в размере 5 миллиардов долларов; в Германии киберпреступники воруют около 4 миллиардов евро в год; Французские банки несут ущерб в миллиард евро в год.
Несмотря на то, что борьба с киберпреступностью там на совершенно другом уровне, киберпреступники осваивают новые методы и успевают за развитием высоких технологий. В итоге, количество преступлений в области компьютерной информации ежегодно возрастает на 30-40%.
Как же злоумышленники получают доступ в систему?
Наиболее частым способом взлома системы является внедрение вируса через специальные рекламные предложения, распространяемые по электронной почте, или через социальные сети, то есть так называемый “фишинг”. Фактически, логины и пароли к электронным кошелькам и онлайн-сервисам доверчивые пользователи часто отдают сами, не проявив должного внимания тому, кто и зачем запрашивает эту ключевую информацию. Делается это достаточно просто – создаётся фальшивая копия сайта, на которой злоумышленники как бы от имени интернет-магазина или платёжной системы требуют ввести данные карточек или счетов. И готово.
На самом деле, большинство методов построены на так называемой “социальной инженерии” – то есть манипуляции людьми. Но есть и другие способы взлома вашего компьютера – более консервативные и устаревшие – через внешние носители.
Расскажите подробнее о методах работы злоумышленников?
Их множество. И список постоянно пополняется. Помимо уже упомянутого нами фишинга, существует, например, такая практика как скимминг (англ“skimming”) – незаконное копирование содержимого треков магнитной полосы (чипов) банковских карт. Процедура осуществляется с помощью специального устройства – скиммера. Это миниатюрное считывающее переносное устройство, которое крепится к банкомату и помогает мошенникам воровать реквизиты, PIN-коды и прочую информацию, хранящуюся на магнитных полосах банковских карт. Скиммер может представлять из себя пластиковую накладку, которую крепят к кардридеру, или миниатюрную видеокамеру, установленную где-то в раме банкомата, и записывающую на видео процесс введения PIN-кода.
Еще один распространённый форм-фактор скиммеров – накладки на клавиатуру, которые попросту считывают набор символов PIN-кода, введённого пользователем. Крепится накладка обычным двусторонним скотчем или “липучкой”. Иногда скимминговые устройства можно заметить по изменившемуся внешнему виду клавиатуры – она излишне выпирает из корпуса, или же наоборот – слишком утоплена в него.
Получив необходимые данные с помощью скиммера, злоумышленники могут без особого труда создать дубликат карточки и получить доступ к средствам ничего не подозревающей жертвы. Именно поэтому банки предупреждают о том, что следует проверять наличие лишних предметов в банкомате или следы вмешательства в устройство.
Другой способ махинаций с картой – так называемый “кардинг” (англ. carding). Кардинг предполагает собой проведение с банковской картой операций, не санкционированных её владельцем. Физическое наличие карты совершенно необязательно – реквизиты берутся со взломанных интернет-магазинов, компьютеров пользователей (через системы удалённого доступа или вирусы), из расчётных систем, и т.д.
Использование компьютерных программ и электронных каналов связи в банковской сфере всегда таит в себе риски, связанные с несанкционированным доступом к расчетному счету. Одной из наиболее масштабных киберугроз являются атаки на клиент-банк.
Сегодня банки предлагают два вида программных продуктов для осуществления безналичных платежей юридическими лицами – системы “клиент-Банк” и “интернет-банк”. С точки зрения пользователя, разница заключается в способе входа. Система “клиент-банк” требует запуска специальной программы, для которой нужен цифровой ключ, выдаваемый банком.
В случае с “интернет-банком” необходимо зайти на сайт банка и воспользоваться переменным кодом для осуществления платежа. Несмотря на
предоставление кодов самим банком, ни одна из этих систем не может похвастаться стопроцентной безопасностью и “непробиваемостью”.
Как происходит взлом «клиент-банка»?
Кража примерно по следующей схеме: компьютер, на котором установлена программа “клиент-банк” блокируется, чтобы не было оперативного доступа к счёту. Блокировка может происходить самыми разными методами, от непринятия пароля, до “забивания” канала, или вообще физического выведения из строя жёсткого диска. Пока оперативного доступа к счёту нет, преступники переводят деньги, используя цифровую подпись или ключ (“компрометация ключа”), или же снимают деньги через банкомат или со счёта. Когда жертва узнаёт, что был совершён несанкционированный платёж, – уже слишком поздно.
Существует распространённое заблуждение, что злоумышленники не смогут взломать компьютер, если на систему установлен пароль?
Могут, причём опять же из-за уязвимостей, которые возникают на стороне клиента. Дело в том, что сейчас, для удобства поддержания системы, системные администраторы могут удалённо мониторить и управлять всем, что находится на компьютерах в локальной сети. Хакеры используют те же методы и программы, чтобы скрыто вести наблюдение и контролировать ваши действия. Доступ в систему злоумышленники могут получить, внедрив вирус в компьютеры конкретной сети.
Наиболее частый случай: на почту пришло странное сообщение, пользователь его открыл и “поймал” вирус. С одного компьютера вирус попадает на другие, заражая всю сеть. Вирус можно скачать и вместе с полезным контентом. Ну и, разумеется, есть случаи с оставленными без присмотра компьютерами – это настоящая находка для хакеров. Без вашего ведома можно получить физический доступ к компьютеру, и проделать необходимые операции.
Какие усилия предпринимают сами банки, чтобы уберечь своих клиентов от киберугроз?
Современные банки активно борются с киберпреступностью и махинациями, хоть и не всегда эта борьба оказывается эффективной. В 2013 году по инициативе Независимой ассоциации банков Украины (НАБУ) был запущен проект «Противодействие киберпреступности» (anticyber.com.ua), однако работу проекта результативной назвать нельзя.
Для защиты клиентов от киберугроз, некоторые банки предлагают использование одноразовых паролей, высылаемых по СМС, или специальных переменных кодов на карточках. Другие рекомендуют предлагают электронные USB-ключи и смарт-карты (Touch Memory, eToken, Rutoken), которые призваны обеспечить надёжную систему аутентификации и защищённого хранения данных. Стопроцентной гарантии, тем не менее, никто не даёт – система может подвергнуться взлому извне.
Эти решения сертифицированы СБУ для обеспечения информационной безопасности. Стоит, однако, отметить, что банки далеко не всегда идут навстречу правоохранительным органам, предоставляя данные о том, что происходит в их системах. Чаще всего, такие данные от банков о незаконных операциях с платежными карточками в правоохранительные органы не поступают вовсе, а банковские учреждения стараются самостоятельно установить нарушителей.
В США, Японии и Китае были созданы специальные центры реагирования на киберпреступления, при сотрудничестве с мировыми компаниями в сфере разработки ПО, такими как Microsoft, Xerox, Google, HP и другими. Эти центры призваны осуществлять мониторинг киберугроз и разрабатывать эффективные методы противодействия.
Очевидно, что создание аналогичных центров намного эффективнее, чем финансирование правоохранительных органов в борьбе с киберпреступностью. Они не имеют ни достаточной квалификации, ни прямой юрисдикции в обеспечении кибербезопасности.
Как же пользователям бороться с киберугрозами? Каковы меры безопасности?
Безусловно, киберпреступления в банковской сфере требуют оперативного ответа со стороны правоохранительных органов на национальном уровне, но ключом к решению проблемы является более ответственное и внимательное отношение населения к безопасности своих безналичных операций. Есть ряд простых рекомендаций, которые позволят минимизировать риски, касающиеся платежей и онлайн-банкинга:
* Разумеется – нельзя передавать пароли, цифровые ключи и PIN-коды третьим лицам, или записывать их на пластиковых банковских картах. Их не могут знать даже работники банка.
* При снятии средств в банкоматах проверять отсутствие накладок, и вмешательства в целостность банкоматного устройства.
* Внимательно подходить к выбору мест оплаты банковской картой, не вводить личные банковские данные на подозрительных сайтах в Интернете.
* Для электронных цифровых ключей первоочередной мерой безопасности является хранение их на внешнем носителе и использование только при осуществлении операции по банковским платежам.
* Установить лицензионное антивирусное ПО от ведущих разработчиков. Такие программы как Антивирус Касперского, ESET NOD32, Dr. Web обеспечат безопасность на уровне компьютера, фильтруя сетевой трафик и сканируя файлы в системе.
* Не переходить по сомнительным ссылкам. Неизвестно, что может находится на “том конце”. Стоит проверять правильность адреса ссылки, и наличие протокола https. Если ссылка получена от другого пользователя в вашей сети, или, например, личным сообщением – можно спросить и уточнить действительно ли она была отправлена от его имени.
* Некоторые банки рекомендуют пользоваться клиент-банком на отдельном компьютере, к которому не имеют доступ другие пользователи, а также не использовать на этом компьютере взломанных или сомнительных программ.
К сожалению, статистика высокотехнологичных преступлений наглядно демонстрирует, что многие граждане пренебрегают этими простыми нормами. В дополнение к этим базовым правилам, которые должны быть знакомы каждому пользователю, необходимы также и более системные решения, такие как совершенствование законодательной базы и ее правоприменения в постоянно развивающейся высокотехнологичной среде.
