Страх номер один

Согласно данным Американской ассоциации банкиров (American Bankers Association), в мире совершается больше чем $ 2,5 триллиона операций по кредитным картам в год. // Константин Абрамов, директор по развитию сервисов компании Chronopay – для Bankir.Ru

Карты принимаются в более чем 24 миллионах точек в более чем 200 странах. Каждую секунду совершается около 10 тыс. сделок при помощи банковских карт. Однако, например, для американцев, сегодня мошенничество с карточками является страхом № 1. Озабоченность тем, что с карты могут украсть деньги, сильнее угрозы терроризма, компьютерного вируса и даже здоровья и личной безопасности.

Убытки от карточного мошенничества в США оцениваются в $8,6 млрд. в год, говорится в докладе, опубликованном в 2009 году компанией Aite Group. Хотя эта цифра мала по сравнению с общим годовым объемом платежей по картам, которым составляет в США $2,1 трлн., карточное мошенничество продолжает беспокоить как пользователей, так и банки и компании, обеспечивающие платежи в Интернете.

Мы живем в России, и платежи банковскими картами у нас пока не так популярны и распространены, как впрочем, и исследования – какие страхи у нас преобладают.

Однако, судя по всему, россияне будут платить картами все больше и больше, и поэтому защита от карточного мошенничества – вопрос серьезный и важный для всех заинтересованных сторон.

Так какие виды мошенничества с банковским картами существуют в Интернете?

Фишинг, вишинг, картинг и фарминг

Cамый популярный и самый известный способ – это фишинг (от английского fish -удить рыбу). Концепция фишинга состоит в том, что мошенник любыми возможными способами пытается выудить из держателя карты информацию. Это может быть подложное письмо, например, от банка или платежной системы, клиентом которой держатель является, с просьбой так или иначе сообщить информацию, с помощью которой мошенник может получить доступ к средствам - запрос пин-кода, логина, пароля и т. д. Самый простой способ фишинга – подделка письма. Пользователь получает письмо с предложением перейти по ссылке, адрес которой похож на адрес известной пользователю компании. Если пользователь перейдет по ссылке и укажет данные доступа, которые обычно использует для доступа к интернет-банкингу или личному кабинету, его персональные данные станут доступны мошенникам.

Кроме того, фишеры активно используют бот-сети, чтобы выудить личные данные пользователей. Бот-сеть представляет из себя компьютерную сеть, состоящую из некоторого количества хостов, с запущенными ботами (автономным программным обеспечением). Такая схема позволяет у каждого последующего зараженного компьютера получить список адресов электронной почты и использовать его для расширения бот-сети с целью добычи конфиденциальной информации.

История фишинга началась в 1995 году, когда в сети Америка Онлайн (AOL) мошенники начали активно использовать неосведомленность пользователей для получения конфиденциальных сведений. Позже озадаченным сотрудникам AOL пришлось писать клиентам письма о том, что AOL никогда не запрашивает у своих клиентов конфиденциальной информации по почте. Кстати, не запрашивают аналогичную информацию также и сотрудники банков и платежных систем.

Каждому пользователю можно посоветовать: никогда не торопитесь делиться конфиденциальной информацией, обратитесь в банк и удостоверьтесь в том, что информация запрашивается действительно представителем банка и в обоснованных целях.

Вишинг - это слово, возникшее из двух английских слов voice (голос) + fishing (удить рыбу). Для данного типа мошенничества используется технология передачи речевого сигнала через сети Интернет VoIP (Voice over IP). Скажем, на ваш телефон поступает звонок от представителя банка или автоматического информатора о том, что ваш счет был заблокирован, и вам необходимо перевести телефон в тоновый набор и ввести пин-код доступа к карте. В таком случае нужно не реагировать на первый же звонок (т.е. действовать по предложенному алгоритму), а срочно связаться с банком и удостовериться, что проблема действительно существует. Опять же – в любом случае не сообщайте по телефону свои конфиденциальные данные.

Как правило, вишеры совершают не один звонок, а несколько. В первом разговоре они вытягивают конфиденциальную информацию, затем отвлекают, успокаивают бдительность пользователя повторным звонком, сообщая, что проблема разрешилась, тем самым выигрывая время, чтобы пострадавший не позвонил в банк и не заблокировал карту.

В России вишинг развит достаточно слабо, этот вид мошенничества больше направлен на Европу и Соединенные Штаты, где телефон широко используется для рекламных сообщений, звонков сотрудников банков и других компаний. Но не исключено, что такой вид мошенничества вскоре придет и в Россию.

Следующий вид мошенничества – фарминг, который является более сложной модификацией фишинга. Концепция фарминга состоит в том, что на локальном компьютере пользователя подменяются файлы и свойства файлов, определяющие поведение локального компьютера при доступе к адресам в сети Интернет (файл HOSTS и настройки DNS-серверов). В конечном счете все манипуляции мошенников ведут к тому, что локальный компьютер оказывается «одурачен». Человек набирает в браузере проверенный адрес сайта, которым пользуется каждый день, например известный поисковик, но в результате манипуляций компьютер переадресует его на другой адрес, указанный мошенником.

Самый популярный на сегодняшний день в России вид мошенничества – это, пожалуй, кардинг. Он включает в себя операции с использованием банковской карты или ее реквизитов, не инициированные или не подтвержденные ее держателем. Реквизиты платежных карт, как правило, похищают со взломанных серверов интернет-магазинов, платежных и расчётных систем, а также с персональных компьютеров (либо непосредственно, либо через вредоносное программное обеспечение).

Первый, и, безусловно, главный способ борьбы со свершившимся фактом мошенничества – опротестование платежа. Вы всегда сможете прийти в свой банк и подать заявление об опротестовании сделки.

Кроме того, стоит обращать внимание опять же на адрес страницы. Если интернет-сервис использует шифрованное соединение, обеспечивающее защиту от мошенников, адрес страницы всегда будет начинаться с HTTPS.

Конечно, меры по борьбе с мошенниками принимают не только пользователи, но и платежные системы, банки и процессинговые компании. Платежными системами Visa и MasterCard был разработан международный протокол, который называется 3-D Secure, (под торговыми марками Verified-By-Visa – для Visa и Mastercard SecureCode – для MasterCard). Суть его заключается в получении дополнительного пароля для проведения интернет-операций. Когда вы проводите операцию по списанию средств с вашей карты в сети Интернет, вам предлагается перейти на сайт банка, выпустившего вашу карту и ввести специальный пароль. На данный момент в России несколько банков поддерживают данную технологию, например, это Сбербанк и МастерБанк.

Большую роль в противодействии мошенничеству играют и процессинговые компании, благодаря специальным системам фильтрации всех обслуживаемых операций на предмет возможного мошенничества. Постоянно совершенствуемые технологии позволяют процессинговым компаниям сводить размеры мошенничества к минимуму и оперативно вычислять мошенников, передавая информацию об этом в правоохранительные органы.

Попались в сети

Следующий пункт – мошенничество в социальных сетях. Социальные сети – это очень привлекательное поле для обычного пользователя, в подобных сетях идет постоянный обмен информацией. Но оно также привлекательно и для мошенников. Наверное, каждый пользователь пережил спам-рассылки со своего аккаунта с предложениями проследить за владельцем мобильного телефона, прочитать чужие СМС сообщения и т. д. В таких случаях необходимо сообщать администрации сервиса, что мошенники пытаются активно воздействовать на пользователя.

Иногда социальные сети предлагают сервисы, которые, на наш взгляд, являются просто находкой для мошенников. Например, недавно созданная в США сеть под названием Blippy планирует предложить своим пользователям услугу, с помощью которой они смогут сообщать данные о своих онлайн покупках и смотреть данные о таких же покупках у других пользователей, сравнивая цены, условия и т.д. Эта услуга в данный момент в стадии разработки, однако, представители компании Symantec, специализирующейся на IT-безопасности, неодобрительно отзываются о таком сервисе. Менеджеры инженерных систем сингапурского офиса компании говорят, что риски, связанные с предоставлением информации по кредитным картам, значительно перевешивают преимущества такой услуги. Symantec предупредил, что сайты социальных сетей являются "все более привлекательной мишенью для киберпреступников для сбора конфиденциальной информации".

Социальные сети объединили два фактора, которые делают их идеальной мишенью для онлайн преступной деятельности: огромное количество пользователей и также высокий уровень доверия среди тех пользователей.

Стоит отметить, что ранее Facebook предложил услугу аналогичную Blippy. Но она была ликвидирована в сентябре 2009 года после коллективного иска пользователей о нарушении неприкосновенности частной жизни.

Меры предосторожности

Что же можно порекомендовать пользователям?

Первое, что касается защиты данных своих банковских карт.

Не оставляйте расчетные карты без присмотра и не передавайте третьим лицам.

Никому не сообщайте ваш пароль от сервиса, который позволяет распоряжаться средствами, например, от интернет-банка или электронного кошелька.

Не следует хранить пин-код вашей карты вместе с самой картой.

Никогда не сообщайте CVV/CVС код никому, за исключением процесса оплаты в интернет-магазине, так как это необходимо для завершения сделки.

Ни в коем случае не предоставляйте личную информацию в ответ по электронной почте. Ни один банк и ни один сервис никогда не попросят вас предоставить пароль доступа.

Регулярно проверяйте состояние своего счета как в платежной системе, так и на карте. Если в вашем банке есть услуга СМС-уведомления – обязательно подключите ее, так как это самый быстрый способ получить информацию о том, что с вашим счетом что-то происходит.

Ни в коем случае не храните все ваши деньги на банковской карте.

Заведите специальную карту именно для интернет-расчетов.

Аккуратнее используйте и говорите об информации, которая используется вами для ответа на второй секретный вопрос при восстановлении пароля.

Никогда не проводите операций по картам, с помощью электронных платежных систем в магазинах, которым вы не доверяете или которые видите в первый раз. Особенно, если на них нет логотипов платежных систем, и других организаций, которые борются с мошенниками.

Если вас попросили прислать пароль или другие данные карты, не отсылайте, а звоните в колл-центр банка и удостоверьтесь в отсутствии попытки мошенничества.