Могут ли хакеры снять деньги с карты
Обновлено: 17.04.2024
Весной этого года двое из организаторов хакерской группы Carberp были приговорены к пяти и восьми годам лишения свободы. Их жертвами стали более тысячи российских граждан, а общая сумма хищений составила около $10 млн, это при том, что доказать удалось далеко не все эпизоды. Хакеры создали бот-сеть с использованием банковского трояна Carberp, на долю которого приходится 72% заражений финансово-кредитных учреждений в мире. Вирус попадал в компьютеры пользователей при посещении зараженных сайтов, среди которых были популярные финансовые порталы. Специальная программа-загрузчик определяла тип системы дистанционного банкинга используемой на компьютере, и подбирала подходящий модуль вируса.
Хотя организаторов группы поймали и привлекли к ответственности, исходные тексты вредоносного Carperp были опубликованы в Интернете в общем доступе, и уже появляются его различные модификации под банки Европы и Латинской Америки.
Дистанционное банковское обслуживание (ДБО) – наиболее привлекательный объект для атаки хакеров. Они тщательно подбирают банки с большим оборотом средств в ДБО и атакуют их системы.
По данным Group-IB, ежедневно в российских банках совершается около 28 хищений, при этом у юридических лиц сумма хищения в среднем составляет 1,6 млн руб., у физических лиц - 75 000 руб.
Когда ключи электронной подписи хранились на флешках или компьютерах, кражи совершались моментально и очень просто. Тогда банки начали переходить на токены - компактные USB-брелоки, которые служат для авторизации пользователяи безопасного удаленного доступа к данным. Но и они не стали панацеей – разработчикам хакерской группы Carberp потребовалось не так много времени для создания подходящего вируса для обхода системы защиты и незаметной подмены реквизитов легального платежного поручения.
Что касается краж, совершаемых сотрудниками компаний, схема довольно простая: злоумышленник выводит средства на обналичивание, заражает компьютер вирусом и списывает хищение на вирус.
Наличие большого количества сервисов по обналичиванию средств в России существенно облегчает экономическую часть преступления. Тем не менее, расследовать такие инциденты профессионалу достаточно просто – обычно даже первичная экспертиза определяет отсутствие банковского вируса, а если он и есть, то обнаруживается, что его не использовали.
Основным направлением защиты от мошенничеств в ДБО сегодня является создание таких систем, которые способны определить, что рабочая станция клиента заражена, а проводимая операция является хакерской атакой.
Последние два года в России также очень активно развивается сегмент решений класса TrustScreen. Они позволяют выводить реквизиты платежного поручения на экран устройства, которое устанавливается между рабочей станцией и токеном и блокировать операцию подписи до тех пор, пока клиент не проверит их корректность и не нажмет кнопку подтверждения. Такая архитектура не позволяет незаметно для легального пользователя подменить какой-либо документ в системе Интернет-банкинга. На Западе решения со схожим функционалом используются уже несколько лет и довольно хорошо себя зарекомендовали.
Хотя, если принимать врасчет невнимательность и легковерность многих пользователей систем ДБО, 100% защиты от атак у банков так и не существует. Хакерская работа становится все более продуманной, повсеместно используются не только технические средства, но и социальная инженерия. Кроме того, данные могут быть украдены не по вине банка, однако он все равно понесет убытки. Так, в США хакеры украли данные о пластиковых картах почти 70 миллионов клиентов у американской розничной сети Target, и банкам пришлось потратить $200 млн на их перевыпуск. Тем не менее, при правильном подходе к процессу относительно несложно снизить риски до приемлемого уровня и выстроить систему, которая в случае атаки поможет оперативно расследовать инцидент и минимизировать ущерб от него.
Спасите наши банкинги
Хакеры могут взломать мобильные банкинги россиян, пишут «Известия». В даркнете на продажу выставили доступ к коммутатору мобильного оператора. Название оператора и страна действия не разглашается. Но коммутатор может предоставлять доступ к российским сотовым операторам в роуминге. Это позволит хакерам получить контроль над системой сигнализации SS7 и перехватывать SMS с паролями от банков.
Мошенники могут перехватывать SMS-пароли. Фото: bigstock.
За доступ к коммутатору продавец просил 30 тыс. долларов в биткоинах. О «лоте» рассказали в компании по борьбе с утечками данных DeviceLock.
Информация была выставлена на продажу в марте. Подготовка к подобной мошеннической операции требует траты времени и денег. Эксперты считают, что хакеры могут начать атаку на счета в мае. Как раз успеют подготовиться, а россияне расслабятся на праздниках и утратят бдительность.
Почему стоит опасаться россиянам
Среди стран СНГ Россия – лакомый кусочек для интернет-мошенников, считают эксперты компании. Во-первых, русскоговорящие злоумышленники «специализируются» на онлайн-атаках. Во-вторых, жители страны активно пользуются мобильными банкингами и хранят деньги на накопительных и текущих счетах.
Мошенники могут действовать осторожно: взламывать десятки, максимум – сотни аккаунтов в день, чтобы не привлекать внимание. Масштабную атаку на счета зафиксируют банковские антифорд-системы, и хакерам придётся остановиться.
Как защитить деньги в мобильном приложении банка
Взломать онлайн-банк не так просто. У большинства финансовых организаций для входа в приложение требуется логин и пароль. А одноразовый SMS-код уже давно не используется для разового входа. Чаще всего в онлайн-банк заходят с помощью пароля от приложения, который устанавливает сам владелец, сканирования отпечатка пальца или Face ID.
Банки считают, что один доступ к коммутатору и перехват SMS не поможет мошенникам. Не игнорируйте попытки мошенников украсть деньги — жалуйтесь в службу безопасности банка. Некоторые финансовые организации даже платят за информацию о преступниках.
При хищении средств с банковских карт и счетов вернуть деньги сложно: за первое полугодие 2020 года возвращено только 12% украденного. Какие виды мошенничества распространены и как избежать кражи, разбирался РБК
За первое полугодие 2020 года мошенники украли у банковских клиентов с их карт и счетов 4 млрд руб., совершив более 360 тыс. несанкционированных операций. Из этой суммы банки смогли вернуть пострадавшим только 12,1% (около 485 млн руб.), а общий объем похищенных средств больше показателей аналогичного периода прошлого года на 39%.
Какие схемы мошенничества получили наиболее широкое распространение и как не стать их жертвой — в обзоре РБК.
Способы хищения денег с банковских карт
Самым распространенным способом мошенничества является социальная инженерия — методы обмана и введения клиентов в заблуждение с целью кражи денежных средств. По данным ЦБ, в первом полугодии 2020 года на нее пришлось 83,8% случаев от общего числа атак. Традиционно мошенники звонят банковским клиентам под видом «службы безопасности банка» или «службы финансового мониторинга» и сообщают о том, что по карте якобы совершена подозрительная операция. Под предлогом спасения денежных средств они заставляют клиента совершить ряд действий, чтобы украсть деньги с его счета. Контактную и персональную информацию о клиентах злоумышленники получают, покупая «слитые» базы в даркнете (теневой сегмент интернета. — РБК) либо находя их там же в свободном доступе. Также для убедительности они могут звонить с подменных номеров банков и других структур. Далее схема мошенничества развивается по нескольким сценариям.
- Мошенники выманивают платежные данные карты (16-значный номер, имя владельца, срок действия и трехзначный код на обратной стороне, а также код из СМС от банка) либо обманом узнают данные для входа в личный кабинет.
- Иногда мошенники в процессе звонка просят установить на телефон специальное приложение якобы для лучшей защиты — им оказывается программа удаленного доступа и управления, с помощью которой можно зайти в личный кабинет онлайн-банка жертвы и перевести оттуда деньги на свой счет.
- Программы удаленного доступа помогают не только украсть все имеющиеся деньги, но и оформить в мобильном приложении предодобренный кредит, если такой продукт предлагается клиенту, а затем вывести и заемные средства.
- Также во время звонка мошенники убеждают своих жертв снять деньги в банкомате и зачислить их на специальный счет для «спасения средств». Некоторые злоумышленники, «заботясь» о клиенте, заказывали своим жертвам такси до ближайшего банкомата.
В последнее время стали появляться более сложные схемы: к звонкам от «банковских работников» добавились звонки от «правоохранительных органов», которые «подтверждают», что кто-то пытается украсть деньги клиента, поэтому их надо спасти путем перевода на «безопасный» счет. Также злоумышленники начали звонить от имени бюро кредитных историй и сообщать, что обнаружили попытки оформления кредитов с использованием паспорта жертвы.
- Злоумышленники могут перевыпускать сим-карты, воспользовавшись ошибкой или недобросовестностью сотрудников салонов связи: для этого достаточно знать Ф.И.О. и номер телефона потенциальной жертвы. «Злоумышленник приходит в салон сотовой связи и просит перевыпустить сим-карту, в качестве документа предъявляет подделанные копию паспорта или доверенность. Получив желаемое, он устанавливает карту в телефон и пытается привязать этот номер к мобильному банкингу. Обычно для этого необходимо ввести одноразовые коды несколько раз», — описал типичный сценарий ведущий эксперт «Лаборатории Касперского» Сергей Голованов.
Как не ошибиться, создавая собственную торговую марку
Сооснователь DoorDash: отличной идеи недостаточно для создания бизнеса
Кастовость, стартапы, осторожность — что нужно знать о бизнесе в Индии
Почему Kraft Heinz провалила реструктуризацию: отвечает Джон Коттер
Зачем главы крупнейших компаний чистят туалеты и едят собачий корм
Сотрудники воруют на работе: какие 10 мер помогут этого избежать
Некоторым даже поднимут зарплату: краткосрочный прогноз для рынка труда
Какие активы выиграют и проиграют от укрепления рубля
Во время пандемии и перехода многих процессов в онлайн-формат киберпреступники также активизировались в интернете, предупреждал ЦБ. По данным регулятора, за первое полугодие 2020 года мошенникам удалось украсть в интернете свыше 2 млрд руб., то есть более 50% из общего объема похищенных за этот период средств.
По данным «Лаборатории Касперского», в 2020 году активно росли объемы телефонного мошенничества и скама. С января по ноябрь компания обнаружила почти 86 тыс. скам-ресурсов, из них 62,5 тыс. были заблокированы во втором полугодии. Особенно распространено такое явление в русскоязычном сегменте интернета. По подсчетам компании, потенциальный ущерб от мошенничества мог бы превысить 13 млрд руб., если бы каждая заблокированная попытка перехода пользователя на подобный ресурс повлекла за собой обман хотя бы одного человека.
В России в этом году среди всех входящих звонков с неизвестных номеров доля спама составила 63%, а доля звонков с подозрением на мошенничество — 5,9%. При этом злоумышленники активно пользовались технологией подмены номера. Чаще всего они указывали телефоны финансовых организаций, государственных учреждений или юридических лиц. «Люди проводят все больше времени с телефоном под рукой и чаще берут трубку. Но при этом возможность принять взвешенное решение в разговоре у них есть не всегда. Часто злоумышленники использовали актуальную новостную повестку, чтобы вызвать доверие у жертвы», — объясняет Голованов.
Как не стать жертвой мошенников
Однако вернуть деньги, которые были украдены с помощью социальной инженерии, сложно, так как потерпевший добровольно подтверждал операции по своему счету и у банка есть основания отказать в возврате средств, предупреждает юрист. Клиент может обратиться в банк с требованием заблокировать мошенническую операцию, но, как показывает практика, в подавляющем большинстве случаев в отсутствие документов, подтверждающих факт совершения мошеннических действий, банк, скорее всего, ответит отказом. «Этот отказ можно оспорить в суде, но опять же, как показывает практика, если вы подтвердили операцию списания сами в порядке, установленном банком, шансы минимальны», — добавляет Иккерт.
В первом полугодии 2019 года мошенники пытались похитить со счетов крупнейших банков России более 24 млрд руб. По данным Центробанка, в 2018 году из-за действий злоумышленников с карт граждан было списано порядка 1,4 млрд руб. — на 44% больше, чем годом ранее. По мнению ведущего аналитика Российской ассоциации электронных коммуникаций (РАЭК) Карена Казаряна, по итогам текущего года эта сумма может увеличиться еще в 1,5 раза. В разговоре с РБК Петербург эксперт рассказал, как меняются методы «работы» киберпреступников и кого следует винить за растущие денежные потери граждан.
«Мы наблюдаем постепенную эволюцию киберпреступности. Раньше деньги крали в основном путем хищения банковских реквизитов, считывания информации с карт в банкоматах, а также во время онлайн-покупок. Позднее к этому добавился так называемый фишинг, когда злоумышленники рассылают гражданам письма от лица банка, создают подставные сайты, куда просят вести логины и пароли от личного кабинета клиента банка.
Однако в последний год набирает популярность новая схема. Злоумышленники создают организованные преступные группы (ОПГ), которые используют похищенные или ушедшие в сеть персональные данные граждан. Такие ОПГ даже используют специальные колл-центры, «сотрудники» которых звонят с номеров, похожих на номера банков, и, зная информацию о человеке, пытаются выудить у него кодовое слово или код из смс-подтверждения.
В этом случае мы имеем дело с большим количеством жертв и крупными суммами хищения, чем и объясняется значительный рост статистики краж с банковских счетов. Обычно преступников интересуют суммы от нескольких сотен тысяч рублей. Причина появления такого рода мошенничества — рост популярности интернет-банкинга и онлайн-услуг, а также утечки персональных данных из-за недостаточной их защиты со стороны банков, а иногда и банального подкупа их сотрудников. За последние 2-3 года было несколько серьёзных утечек персональных данных клиентов банков и по прошествии полугода видно, что мошенники начинают эти данные использовать.
Мы имеем дело с большим количеством жертв и крупными суммами хищения, чем и объясняется значительный рост статистики краж с банковских счетов.
Возникает вопрос — насколько велика здесь вина самих банков. На мой взгляд, с информационной безопасностью у банков явно не всё в порядке. Любой банк стоит перед выбором — он может обеспечивать безопасность так, как ему предписывают стандарты платёжных систем и методические требования ЦБ и ФСБ по защите информации. Второй вариант — выстраивать систему так, чтобы она реально была безопасной.
Система безопасности, которая бы практически на 100% защищала средства граждан на банковских счетах, существует. Её стоимость зависит от инфраструктуры конкретного банка, но в целом — это миллионы долларов. Банки не создают такие системы, потому что это дорого и для этого нужны специальные сотрудники. Таких сотрудников сегодня у банков недостаточно для того, чтобы обеспечивать реальную безопасность и одновременно исполнять требования регулятора. Но есть и другая причина, по которой банки не сильно заботит надежность их систем безопасности. Дело в том, что деньги крадут не у банков, а у их клиентов.
Как Украина осваивает криптовалюты на фоне российской спецоперации
Эпоха iPod: как Apple создала самый популярный плеер в истории
Не все деньги должны работать: как создать в компании резервный фонд
На США надвигается рецессия. Как действуют Джордж Сорос и Рэй Далио
Вы хотите выплатить дивиденды акционерам. Как отказаться от моратория
Зачем главы крупнейших компаний чистят туалеты и едят собачий корм
Как вернуть себе и сотрудникам спокойствие и веру в будущее — 5 шагов
Как сильно стагфляция может ударить по экономике в 2022 году
Одна из причин, по которым банки не создают эффективных систем безопасности, состоит в том, что деньги крадут не у банков, а у их клиентов.
С другой стороны, чтобы человек стал мишенью для злоумышленников, они должны получить доступ к его персональным данным. Как правило, преступники знают о своей жертве достаточно много — вплоть до того, сколько денег у нее на счету. Получить доступ к такой информации можно только за счет «дырявой» системы безопасности банка.
Как правило, преступники знают о своей жертве достаточно много — вплоть до того, сколько денег у нее на счету.
Изменить ситуацию помог бы пересмотр законодательства об информационной безопасности. К сожалению, в России всё, что связано с защитой персональных данных, носит формальный характер — люди пишут бумажки. Это не имеет никакого отношения к реальной защите. Правоохранители карают банки за несоответствие бумажек, а не за сами утечки персональных данных. Бумажки нет правильной — это плохо, а вот то, что у тебя база утекла на 400 тыс. клиентов — не так страшно.
Вторая задача — развивать страхование. Оно позволяет выстроить схему, где все участники процесса имеют однонаправленный интерес — и страховая компания, и банки, и клиенты этих банков. Всем выгодно, чтобы хищений средств не происходило, поэтому у всех появляется стимул работать и не допускать подобных вещей. В Европе и Америке страхование вкладов распространено. Там в случае мошенничества деньги возвращаются клиентам банка, а дальше уже головная боль полиции и службы безопасности — искать мошенников. Когда интересантами становятся служба безопасности, страховые компании и банки, полиция ищет более настойчиво».
Риску финансового мошенничества подвержен примерно каждый четвертый владелец банковских карт. Как правило, злоумышленники используют методы социальной инженерии, и россияне переводят им деньги и выдают персональные данные добровольно. Forbes рассказывает об 11 распространенных способах, которыми пользуются мошенники
В июле эксперты НАФИ выяснили, что каждый четвертый держатель банковских карт в России может стать жертвой мошенников: 27% респондентов оказались в зоне риска, так как готовы сообщить посторонним CVV-код своей карты и срок ее действия. Чуть меньше трети владельцев карт в том или ином виде сталкивались с попытками мошенничества.
Мошенники продолжают совершенствовать свои методы, признала в конце июня глава ЦБ Эльвира Набиуллина. «Жулики во все времена были креативными. И технологии, к сожалению, только расширяют их возможности вводить граждан в заблуждение. Это и фишинговые сайты, и звонки из так называемых служб безопасности банков, фальшивые страницы банков и даже Банка России в соцсетях, где якобы разыгрываются призы или выплачиваются компенсации, и так далее», — перечисляла глава регулятора. По словам Набиуллиной, около 70% операций, которые делаются без согласия клиента, совершаются с использованием социальной инженерии. «И тогда банк ничего не нарушает, потому что человек сам передает пароли, все персональные данные мошенникам в руки», — сказала она.
Forbes рассказывает об 11 распространенных и актуальных схемах, которые используют мошенники для вывода денег с банковских карт и получения персональных данных.
Ложная помощь с возвратом средств за авиабилеты и гостиницы
«Мошенники активно используют любые информационные поводы и громкие события, — рассказывает замруководителя лаборатории компьютерной криминалистики и исследования вредоносного кода Group-IB Сергей Никитин. — В этом году активно используют тему коронавируса».
В частности, после закрытия границ мошенники начали звонить людям и предлагать свои услуги по возврату денег за купленные билеты и бронь отелей. О таком способе в мае предупреждал ВТБ. Мошенники используют в своих целях новый способ возврата денег за билеты с помощью ваучеров, которым уже пользуются многие авиакомпании. Пассажир оформляет ваучер, и деньги, потраченные на билет, зачисляются на специальный депозит в его личном кабинете на сайте авиаперевозчика или агрегатора. Мошенники звонят пассажирам, представляются сотрудниками авиакомпании и предлагают купить у них ваучер. Для этого они просят сообщить данные банковской карты для списания оговоренной суммы, а также код из полученного после этого СМС от банка.
«Ложные» льготы и пособия от государства или кредитные каникулы
Еще один «коронавирусный» способ мошенничества. Человеку могут позвонить якобы из банка и сообщить, что ему положена финансовая поддержка в связи с резкой потерей доходов, кредитные каникулы, рассрочки и т.д. Для их оформления звонящие просят сообщить данные банковских карт. Если владелец карты называет реквизиты банковской карты, срок ее действия и CVV-код, то мошенники уже могут совершать онлайн-покупки от его имени.
«Фальшивые» пособия на детей
В июне Почта-банк сообщил о способе мошенничества, связанном с выплатами «антикризисных» пособий на детей. Мошенники создают фейковые интернет-сайты, имитирующие портал госуслуг и якобы посвященные выплате пособий для семей с детьми. Внешне они либо полностью копируют официальный портал, либо очень на него похожи, говорилось в релизе банка. На таких сайтах мошенники просят ввести данные о номере банковского счета.
Мошенники связываются с владельцем карты и сообщают, что некто пытается привязать карту к другому номеру телефона. Для идентификации личности владельцу карты предлагается сообщить ее данные. После этого мошенники проводят с карты перевод, клиенту приходит код подтверждения от банка, который он тоже сообщает мошенникам — также для «идентификации». Узнав код, злоумышленники могут перевести деньги на другую карту.
Мошенничество с помощью сервиса для предпринимателей
Мошенники нашли лазейку в сервисе Сбербанка по дистанционному резервированию расчетного счета для индивидуальных предпринимателей. Злоумышленники представляются по телефону сотрудниками службы безопасности Сбербанка и сообщают клиенту о попытке несанкционированной операции по его счетам. Они предлагают открыть резервный счет в банке и пройти верификацию. Для этого просят предоставить данные карты. Когда клиент начинает сомневаться и отказывается раскрыть данные, мошенники заполняют анкету на сервисе по дистанционному резервированию расчетного счета, и тогда потенциальной жертве мошенника приходит реальная СМС с кодом подтверждения операции с номера Сбербанка 900.
На сайте Сбербанка перечислены и другие случаи мошенничества:
«Лотерея» от Сбербанка
Мошенники по телефону предлагают поучаствовать в лотерее от Сбербанка, для которой надо пройти опрос на сайте. Участникам «лотереи» обещают крупную сумму. Естественно, госбанк лотереи не проводит, а сайт фишинговый. На нем для подтверждения карты потенциальную жертву мошенников просят перечислить 150 рублей. «Вы отправляете деньги, а потом не можете связаться с мошенниками», — пишет банк.
«Брокерские или дилерские услуги»
Мошенники представляются сотрудниками брокерской или дилерской компании. Они предлагают инвестировать деньги с гарантией высокого дохода. Человек в итоге соглашается открыть счет и самостоятельно переводит деньги мошенникам. Еще один вариант, на который указывает Сбербанк, — мошенники предлагают зарегистрироваться на сайте бинарных опционов, после пополнения баланса человек получает уведомления о получении «бонусных» доходов. Чтобы их вывести, нужно внести на счет дополнительную сумму, в итоге эти деньги вернуть невозможно, пишет банк.
Звонки с похожих номеров
«Злоумышленники могут поменять одну цифру в номере, которую вы не заметите и подумаете, что это банковский номер», — предупреждает Сбербанк. Мошенники будут просить полные данные карты, CVV- или CVC-код, код из СМС или пароли от онлайн-банка, и объяснять это тем, что пытаются предотвратить подозрительную операцию.
«Перевод по ошибке»
Предложения установить программу удаленного доступа
Злоумышленники представляются сотрудниками банка и под разными предлогами могут предлагать установить на смартфон программу для удаленного управления. Например, мошенники могут говорить, что это спасет клиента от несанкционированного снятия денег. Далее человек скачивает по ссылке «специальный антивирус» или «программу для удаленной помощи». «Самое опасное заключается в том, что злоумышленник видит экран смартфона, — рассказывает Сергей Никитин из Group-IB. — Если это Android, то он может управлять этим смартфоном, если IOS, то просто видеть экран. Фишка здесь в том, что далее мошенники инициируют операцию по переводу средств со счета, и человеку приходит код, который сразу высвечивается на экране».
Об оригинальном применении этого способа в мае сообщал ВТБ. Весной из-за кризиса и пандемии резко выросло количество безработных, и тема вакансий стала особенно актуальной. Банк приводил пример вакансии тестировщика мобильных приложений для кандидатов без опыта работы. В процессе «тестирования» кандидата просили установить программы удаленного доступа к компьютеру или смартфону. В итоге мошенники получали доступ к банковским приложениям клиента.
Поход к банкомату для «спасения денег»
Этот вариант менее распространен, но хорошо действует на пожилых граждан. Злоумышленники уговаривают человека идти к банкомату и набирать в нем определенную последовательность команд. Обычно мошенники тревожным тоном сообщают, что деньги пытаются украсть и их нужно немедленно перевести на «страховой счет». Владельцу карты диктуют, какие кнопки нужно нажимать, и человек переводит деньги либо на номер телефона, либо на чужую карту.
Как себя защитить
Личные данные человека злоумышленники могут узнать через социальные сети и из утечек, в том числе клиентских баз банков. Часто в таких базах есть даже паспортные данные человека, информация о балансе, последних операциях и т.д. Также существует возможность узнать имя владельца чужой карты по ее номеру, попробовав выполнить платеж на нее, говорит Сергей Никитин из Group-IB .
Автор статьи
Читайте также: