Анатомия карточного мошенничества

Аутентификации лиц, совершающих операции как основа безопасности карточных операций

Что такое аутентификация

Удаленный доступ клиента к своему банковскому счету (счетам) для выполнения расчетов с предприятием торговли (сервиса) при совершении безналичной покупки или с целью получения наличных в банкомате (отделении) банка, или с какой-либо иной целью невозможен без надежной аутентификации клиента его банком. Любое лицо, запрашивающее доступ к банковскому счету с целью выполнения финансовой операции и (или) для получения информации о статусе счета, на момент запроса доступа к счету является для банка, в котором открыт счет, только лицом, совершающим операцию (далее — ЛСО). Первоочередная задача банка состоит в том, чтобы в момент обращения ЛСО к банковскому счету X проверить права ЛСО на доступ к счету X с целью его использования для совершения различных операций. Другими словами, банк должен проверить справедливость равенства «ЛСО = клиент банка А, имеющий право на доступ к счету X». Проверка этого равенства состоит из двух частей:

1) проверка того, что «ЛСО = клиент банка А»;

2) проверка того, что клиент А имеет право на доступ к счету X. Выполнение первой части и есть ничто иное, как решение задачи аутентификации банком ЛСО.

Существуют различные средства и связанные с ними технологии аутентификации ЛСО. Пластиковая карта является апробированным и широко используемым средством идентификации (аутентификации) лица, совершающего операцию. Например, в Европе примерно 30 % всех безналичных персональных покупок производится с помощью пластиковой карты. Пластиковая карта позволяет банку идентифицировать счет X, к которому обращается ЛСО, а также с хорошей достоверностью (как показывает практика с вероятностью не ниже 99,92 %) решить задачу проверки равенства «ЛСО = клиент банка, имеющий доступ к счету X». Значение 99,92 % выводится из того факта, что на сегодняшний день средний уровень карточного мошенничества составляет примерно 8 базисных пунктов.

Достоверность аутентификации лица, совершающего операцию с использованием пластиковой карты, является краеугольным камнем технологии пластиковых карт. От того, насколько технология позволяет банку-эмитенту карты быть уверенным в том, что операция выполнена с использованием его (банка-эмитента) карты, и операция совершается законным держателем карты — клиентом банка-эмитента, которому карта была выдана банком на основе договора банка с клиентом, зависит жизнеспособность карточной технологии в целом. Именно поэтому платежные системы и банки уделяют так много внимания вопросам карточной безопасности. Именно в результате осознания того факта, что технология аутентификации ЛСО при использовании карт с магнитной полосой уже не обеспечивает необходимый уровень достоверности, сегодня происходит массовая миграция банков на существенно более безопасную технологию, в основе которой лежит использование микропроцессорных карт.

При использовании карт аутентификация ЛСО является в общем случае распределенной процедурой, в которой заняты все участники операции — торговое предприятие, обслуживающий торговое предприятие банк, платежная сеть и, наконец, банк, к счету которого обращаются с целью проведения оплаты. Роли каждого участника процедуры аутентификации ЛСО важны (например, сеть аутентифицирует обслуживающий банк, обслуживающий банк в свою очередь аутентифицирует торговое предприятие, последнее выполняет важные функции для аутентификации ЛСО). Однако окончательное решающее слово — заключение по поводу справедливости равенства «ЛСО = клиент банка, имеющий доступ к счету»- произносится банком-эмитентом карты, а потому и ответственность за принятое решение в большинстве случаев (исключение составляют CNP-транзакции[152], не использующие протокол 3D Secure) несет эмитент карты.

Многофакторная модель аутентификации ЛСО

Когда речь идет о картах, для аутентификации ЛСО банком в общем случае используется трехфакторная модель аутентификации:

Фактор 1. Проверка чего-то, что имеется у ЛСО и что указывает на его связь с банком. В нашем случае — это проверка наличия у ЛСО пластиковой карты и подтверждение того факта, что карта была эмитирована банком.

Фактор 2. Проверка чего-то, что должно знать только ЛСО и может быть проверено банком (возможно опосредованно с использованием других участников операции, в рамках которой производится аутентификация ЛСО). В нашем случае — это ПИН-код, известный только ЛСО (может быть проверен банком-эмитентом, возможно с использованием карты эмитента, если карта является микропроцессорной и эмитент делегировал ей эту функцию) и (или) подпись ЛСО (подпись клиента изначально удостоверяется банком при выдаче карты клиенту и проверятся эмитентом опосредованно через торговую точку). Для соответствия законодательству некоторых стран при использовании микропроцессорных карт иногда одновременно применяется проверка ПИН-кода и подписи клиента.

Фактор 3. Проверка чего-то, что присуще только клиенту банка (физически не может быть передано иному лицу) и связано с выданной ему картой. В случае безналичных расчетов — это биометрическая информация клиента банка, записанная для хранения в чипе карты. Проверяется соответствие биометрической информации клиента банка, записанной в чипе карты, биометрической информации, относящейся к ЛСО.

Сегодня, как правило, используется двухфакторная модель (факторы 1 и 2). Биометрические методы верификации только начинают внедряться для держателей микропроцессорных карт.

Отметим, что логика многофакторной модели аутентификации очевидна. В первую очередь банк должен понять, что карта, по которой собираются выполнить операцию, действительно его карта, т. е. карта была эмитирована банком (фактор 1). Поскольку реквизиты карты определяют ее держателя, то, очевидно, следующий вопрос, на который должен ответить эмитент — моя карта находится в руках моего клиента, которому я выдал карту для обеспечения удаленного доступа клиента к своему счету? Для ответа на этот вопрос используется фактор 2.

Проверка наличия у ЛСО карты, выданной банком (фактор 1), выполняется в несколько этапов с помощью:

• осмотра продавцом торгового предприятия внешнего вида карты (проверка логотипов банка и платежной системы, голограммы, специальной микропечати, нанесенной на карту, тисненных секретных символов и т. п.), а также в случае микропроцессорной карты — с помощью оффлайновой динамической аутентификации карты;

• проверки обслуживающим банком того факта, что торговое предприятие, в котором совершается операция, действительно, обслуживается этим банком;

• проверки эмитентом номера карты, ее срока действия, секретных величин CVC/CVV (CVC_2/CVV₂), а в случае микропроцессорной карты — выполнение онлайновой динамической аутентификации карты.

Безусловно, динамическая аутентификация микропроцессорной карты подняла достоверность аутентификации ЛСО по фактору 1 (и, как следствие, аутентификации ЛСО в целом) на качественно новый гораздо более высокий уровень. Подделка микропроцессорной карты, поддерживающей процедуры динамической аутентификации, является весьма дорогостоящим мероприятием.

На сегодняшний день наиболее надежным и универсальным способом аутентификации ЛСО в соответствии с фактором 2 является проверка ПИН-кода. Это связано с тем, что ПИН-код является самым труднодоступным для мошенников секретом среди всех реквизитов карты с магнитной полосой, поскольку он на карте не хранится. Потому применение ПИН-кода — наиболее надежное средство безопасности операций, выполняемых с использованием карт с магнитной полосой. В общем случае ПИН-код представляет собой последовательность десятичных цифр, вводимых ЛСО во время совершения операции по карте. Размер ПИН-кода варьируется от 4 до 12 цифр (на практике в большинстве случаев — 4 цифры). ПИН-код вводится с помощью специального криптографического модуля, входящего в состав терминального устройства (банкомата, POS-терминала и т. п.) — ПИН-ПАДа, или PIN entry device (PED) — и должен быть передан на хост эмитента, где он проверяется. Знание ЛСО секрета, известного держателю карты, по которой производится транзакция, является веским основанием считать, что ЛСО и держатель карты являются одним лицом.

Пластиковая карта как средство идентификации (аутентификации) ЛСО

Пластиковая карта является носителем информации, которая:

• идентифицирует платежную систему (ассоциацию банков, к которой принадлежит эмитент карты), эмитента карты, карточный продукт, держателя карты — клиента банка;

• определяет условия применения карты (онлайновый (оффлайновый) режим обработки транзакции, необходимость выполнения транзакции только с использованием электронного терминала, необходимость ввода PIN-кода, географию приема, период времени, в течение которого карта может использоваться и т. п.);

• содержит элементы защиты карты от подделки и информацию, используемую для аутентификации карты и клиента (голограмму, микропечать, специальные эмбоссируемые (рельефные) символы, видимые в ультрафиолете символы, фотографию держателя карты, специальные проверочные значения CVV/CVC, CVV2/CVC2, обеспечивающие целостность данных карты, подпись держателя карты и т. п., в микропроцессорных картах — секретные ключи и, возможно, PIN-код держателя карты).

Карта содержит логотипы платежной системы и банка-эмитента, а также информацию, называемую реквизитами карты: номер карты, срок действия карты, код обслуживания, имя держателя, специальную информацию, генерируемую эмитентом и используемую им для удаленной проверки подлинности карты. Часть этой информации наносится на пластик карты с помощью специальной печати или тиснения и считывается в процессе совершения транзакции визуально и осязательно. Эта информация используется продавцом торгового предприятия для проведения так называемой голосовой авторизации, при которой торговое предприятие связывается по телефону со службой голосовой авторизации банка и сообщает ей информацию о реквизитах торгового предприятия, карты, держателя карты и совершаемой операции. Служба голосовой авторизации вводит полученную информацию о карте в компьютер процессингового центра, который инициирует авторизацию операции и возвращает решение эмитента, сообщаемое торговому предприятию.

Часть информации наносится на магнитную полосу и (или) в микропроцессор (чип), расположенные на карте. Информация с магнитной полосы или чипа считывается с помощью специальных устройств, называемых считывателями карты или карт-ридерами. Электронные терминалы (так называемые POS-терминалы[153]) в торговом предприятии, а также автоматические устройства выдачи наличных (банкоматы) оснащены подобными карт-ридерами, или просто ридерами.

Обслуживающий банк обеспечивает поддержку инфраструктуры приема пластиковых карт, к которой в общем случае относятся банкоматы, пункты выдачи наличных и предприятия торговли и сервиса. Обслуживающий банк заключает договоры с торговыми предприятиями на обслуживание в них пластиковых карт, гарантируя торговому предприятию возврат средств за операции, совершенные в нем по картам любого банка — участника платежной системы.

Некоторые платежные системы (например, VISA и MasterCard) дополнительно гарантируют торговому предприятию возмещение средств по транзакциям, выполненным с использованием карт этой платежной системы. Дополнительная гарантия выдается на случай финансового краха обслуживающего банка и его неспособности возместить торговому предприятию средства по покупкам, совершенным с использованием пластиковых карт. В этом случае платежная система рассчитывается с торговым предприятием по выполненным в нем карточным операциям вместо потерпевшего крах банка. Гарантия платежной системы повышает уверенность торгового предприятия в возмещении ему средств по безналичной покупке. Эта уверенность лежит в основе технологии расчетов с использованием пластиковых карт.

Одна из важнейших задач любой платежной системы состоит в создании широкой географически распределенной инфраструктуры приема карт. Подобная инфраструктура приема карт делает применение карты привлекательным для ее держателя и эмитента. Именно для создания развитой инфраструктуры приема карт и требуются усилия многих банков — участников платежной системы[154].

Аутентификация ЛСО на примере операции покупки с помощью платежной карты

Уже отмечалось, что в карточной технологии аутентификация ЛСО в общем случае имеет распределенный характер. В аутентификации ЛСО принимают участие все участники обработки транзакции, включая торговое предприятие, обслуживающий банк, эмитента карты и, наконец, самого держателя карты. Проиллюстрируем это на примере операции безналичной покупки по карте в торговом предприятии.

Когда клиент банка А для оплаты покупки предъявляет пластиковую карту в торговом предприятии обслуживающего банка В, то торговое предприятие в первую очередь должно убедиться в том, что в соответствии с договором с обслуживающим банком В операция по предъявляемой для оплаты карте будет возмещена. Другими словами, торговое предприятие должно убедиться в том, что эмитент А и обслуживающий банк В являются участниками одной платежной системы. Визуально это устанавливается по логотипу платежной системы, нанесенному на пластиковой карте клиента.

Процесс оплаты услуги в общем случае состоит из двух частей. Первая часть — авторизация транзакции (рис. 1).

Кассир торгового предприятия в первую очередь визуально осматривает предъявляемую для оплаты карту, проверяя наличие на ней чипа и обязательных атрибутов карты (логотипа и голограммы системы, секретных символов, микропечати и т. п.). Далее с пластиковой карты считывается необходимая для авторизации операции информация (с помощью ридера POS-терминала или визуально, если речь идет о голосовой авторизации), а также, возможно, у клиента запрашивается дополнительная аутентифицирующая его информация (персональный идентификационный номер клиента в банке (подпись) клиента, имя клиента, другая верифицирующая его информация). К полученной информации кассир добавляет информацию о покупке — размер и валюта операции, иногда ее тип.

На основе собранной информации торговое предприятие принимает решение о технологии выполнения операции (по магнитной полосе или чипу), а также о режиме авторизации транзакции — онлайновом или оффлайновом. При оффлайновом режиме решение о разрешении или отклонении операции принимается только терминалом в случае карты с магнитной полосой или терминалом и картой (эмитент определяет в приложении карты свои правила принятия решения) в случае микропроцессорной карты. В онлайновом режиме такое решение принимается эмитентом карты.

Торговое предприятие также проверяет наличие карты в стоп-листе, загружаемом на терминал, способный работать в оффлайновом режиме, обслуживающим банком. Иногда для повышения скорости проверки эта функция выполняется торговым предприятием вместе с обслуживающим банком в распределенном режиме.

В случае онлайновой авторизации полученная от клиента и считанная с карты информация, а также информация о покупке и торговом предприятии (идентификаторы торгового предприятия и устройства приема карты, способ ввода информации карты в платежную сеть, описание возможностей терминала по обработке транзакции) передаются торговым предприятием своему обслуживающему банку в форме авторизационного запроса. С помощью авторизационного запроса торговое предприятие спрашивает у обслуживающего банка, может ли оно предоставить данному клиенту запрашиваемую им услугу. Обслуживающий банк должен проверить полученные в запросе данные:

• существование торгового предприятия с указанными в запросе реквизитами и его авторизацию на выполнение запрашиваемой операции;

• целостность полученных от терминала данных;

• наличие карты в стоп-листах платежной системы;

• ограничения на обработку операции (например, карта предназначена только для выполнения внутристрановых покупок, карта должна использоваться с обязательной проверкой ПИН-кода ее держателя, операция должна быть обслужена в режиме реального времени и т. п.), установленные эмитентом карты; ограничения записываются эмитентом во время персонализации карты на магнитной полосе в элементе данных «Код обслуживания» и в приложении чипа карты (элементы данных Application usage control, CVM List и т. п.), если карта микропроцессорная.

В случае оффлайновой авторизации два последних пункта должны проверяться средствами электронного терминала.

В случае онлайновой авторизации обслуживающий банк обращается за разрешением на оказание услуги по пластиковой карте к банку-эмитенту А. При этом банки А и В обмениваются сообщениями в соответствии с правилами, установленными платежной системой. Поэтому синтаксис и семантика сообщений понятны обоим банкам.

Эмитент А, получив запрос от обслуживающего банка В, проверяет достоверность информации о карте и ее держателе: правильность реквизитов карты и идентификатора держателя карты, статус карты в системе эмитента (активная или заблокированная), ограничения на использование карты, ПИН-код, если он представлен, величины CVC/CVV, криптограмму ARQC для аутентификации микропроцессорной карты и т. п… После этого банк А определяет достаточность средств на счете клиента для оплаты запрашиваемой им услуги. Если все проверки завершились успешно, банк А отвечает на запрос банка В разрешением на совершение покупки, предварительно списав со счета клиента (или только «заморозив» на счете) размер покупки возможно вместе с некоторыми, установленными им комиссиями (в случае операции покупки снятие комиссии со счета держателя карты, обычно, запрещено правилами платежных систем).

Поскольку разрешение банка А по правилам любой платежной системы является гарантией возмещения средств банку B от банка A, обслуживающий банк в свою очередь разрешает операцию покупки своему торговому предприятию, тем самым гарантируя последнему возмещение средств за выполненную с использованием карточки операцию. В большинстве случаев, если обслуживающий банк представил эмитенту достоверную и достаточную (по правилам системы) для авторизации информацию, ответственность за транзакцию в случае возникновения спора (диспута) ложится на эмитента. В частности, если транзакция оказалась выполненной по поддельной карте или украденной (потерянной) карте, ответственность за мошенничество возлагается на эмитента карты[155].

Вторая часть безналичной оплаты товаров/услуг заключается в расчетах между всеми участниками транзакции. Как уже отмечалось, торговое предприятие получает возмещение за операцию покупки от своего обслуживающего банка. Обслуживающий банк, в свою очередь получает возмещение с банка-эмитента. Гарантом расчетов между банками выступает платежная система, и в этом состоит ее важнейшая функция. Расчеты, как правило, производятся безакцептно (т. е. без получения специального разрешения их участников) через специальные счета, открываемые банками в расчетных банках платежной системы.

Наконец, банк-эмитент списывает средства по операции со счета своего клиента. Таким образом, при участии и гарантии платежной системы реализуется передача средств со счета клиента на счет торгового предприятия.

Основанием для расчетов между участниками транзакции могут быть авторизационные сообщения, которыми обменялись в процессе совершения транзакции обслуживающий банк и банк-эмитент. В этом случае по окончании бизнес-дня платежная система на основании имеющейся у нее информации осуществляет расчеты за прошедший бизнес-день между всеми своими банками-участниками. Системы, в которых расчеты производятся на основании авторизационного трафика, называются Single message system (SMS).

Иногда правила платежной системы таковы, что для инициализации расчетов между участниками транзакции обслуживающий банк должен отправить в платежную систему специальное финансовое сообщение, которое далее передается банку эмитенту. Только на основании этого сообщения платежная система осуществит расчеты между своими банками-участниками по выполненной операции. Специальное сообщение называется презентментом (presentment), а системы, производящие расчеты на основе презентментов — Dual message system (DMS).

Сегодня международные платежные системы поддерживают оба типа систем расчетов — SMS и DMS, отдавая предпочтение в расчетах по безналичным покупкам системам DMS.

В платежной системе время от времени по различным причинам, связанным с техническими проблемами при выполнении отдельных транзакций (например, дублирование обслуживающим банком авторизационного запроса) или совершением мошенничеств, могут возникать споры (диспуты) между банком-эмитентом и обслуживающим банком. Например, держатель карты может утверждать, что никогда не совершал транзакции, за которую с его счета были списаны деньги, или совершал транзакцию, но на другую сумму. Жизнь многогранна, и подобных «или» может быть много. Для разрешения возникающих споров платежные системы разрабатывают правила, предусматривающие использование специальных сообщений, которыми в случае возникновения диспутов обмениваются банки — участники системы.

В частности, если банк-эмитент в результате проведенного расследования, инициированного держателем карты, приходит к выводу о том, что некоторая транзакция, выполненная по карте этого клиента, является по установленным им причинам некорректной, эмитент направляет обслуживающему банку специальное сообщение, называемое chargeback (отказ от платежа), с указанием причины отказа от платежа. На основании этого сообщения платежная сеть переводит денежные средства, связанные с операцией, по которой произошел отказ, с корреспондентского счета обслуживающего банка на счет банка-эмитента. Возвращенные деньги эмитент далее переводит на счет клиента.

Обычно в соответствии с правилами платежной системы, если обслуживающий банк не согласен с мнением эмитента, он может направить ему повторный презентмент. В этом случае эмитент понимает, что его следующий повторный отказ от платежа будет означать начало арбитражного процесса между банками — участниками транзакции. Арбитром по возникшему диспуту, как правило, является администратор платежной системы. Банк может пытаться опротестовать и решение администратора системы, обратившись для этого в суд.

Проблема безопасности карточных операций

Что такое карточное мошенничество

Под карточным мошенничеством понимаются преднамеренные обманные действия некоторой стороны, основанные на применении технологии пластиковых карт и направленные на несанкционированное овладение финансовыми средствами, размещенными на «карточных» счетах клиентов банков-эмитентов пластиковых карт, или средствами, причитающимися торговому предприятию за операции по карточкам. Специалисты карточное мошенничество часто называют фродом (от англ. fraud — мошенничество, обман).

Мошенничества условно принято делить на две группы:

1) мошенничества со стороны эмиссии карт;

2) мошенничества со стороны обслуживания карт.

К первой группе относятся мошенничества, связанные с несанкционированным использованием карт эмитента (украденная карта, поддельная карта, кража идентификаторов держателя карты и т. п.), ко второй — мошенничества, инициатором которых стало торговое предприятие (поддельные (искаженные) слипы, повторный ввод операций и т. п.).

В качестве показателя уровня мошенничества рассматривается отношение объема понесенных финансовых потерь к общему объему продаж, выполненных по платежным картам (F/S или Fraud/Sales). Таким образом, уровень мошенничества оценивается только по операциям в торговых предприятиях. Единицей измерения коэффициента F/S принято считать базисный пункт (basis point, или сокращенно bp). Под одним базисным пунктом понимается уровень мошенничества, составляющий 0,01 % от всего торгового оборота по картам. Другими словами, уровень мошенничеств, равный одному базисному пункту, соответствует потере 1 цент. на каждые 100 долл. торгового оборота по карточкам.

Острота проблемы безопасности операций с использованием платежных карт

В последние 10 лет потери банков от операций по пластиковым картам составляют 7-11 цент. на 100 долл. оборота по картам (7-11 bp). Это существенно меньше потерь банков, связанных с клиентским кредитованием, составляющим 3–4 долл. на каждые 100 долл. выданных кредитов. Однако банки и платежные системы уделяют проблеме безопасности операций по пластиковым картам повышенное внимание. Это связано с тем, что в рассматриваемых случаях различна природа рисков и, как следствие, результат их проявления. В случае карточного мошенничества страдает клиент. Даже если потери, вызванные мошенничеством, берет на себя эмитент (что случается далеко не всегда), моральный ущерб, связанный с возникающими для держателя карты неудобствами, ощутим. Возможность фрода подрывает доверие банковских клиентов к карточной технологии в целом. И в этом главная проблема!

Для иллюстрации того, насколько карточное мошенничество подрывает доверие к картам, как платежному инструменту, выполним простой анализ. Средний человек на Западе использует свою карту для безналичных расчетов в среднем около 40 раз за год при характерном значении коэффициента использования карты, 0,1 в сутки. При сегодняшнем уровне мошенничества, равном примерно 10 bp, вероятность того, что очередная операция по карте выбранного нами господина завершится фродом, равна p = 0,001. В действительности, эта вероятность ниже, поскольку по скомпрометированной тем или иным способом карте проводится несколько операций и, кроме того, средний размер мошеннической операции выше, чем обычной. Однако для целей иллюстрации такая оценка вероятности того, что выполненная операция оказывается мошеннической, вполне подходит.

Тогда за 10 лет пользования картами держатель карты выполнит N = 400 безналичных покупок и вероятность того, что этот человек пострадает от карточного мошенничества при нынешнем уровне фрода, равна PF = 1− (1− р)N, близка к 0,33. Другими словами, примерно каждый третий из тех, кто пользуется картами уже 10 лет, при нынешнем уровне фрода пострадает от карточного мошенничества.

Выбранный нами для изучения держатель карты живет не в безвоздушном пространстве. Его окружают родные, друзья, коллеги. Если посчитать, что близкое окружение держателя карты состоит из 10 человек, то отсюда последует, что вероятность того, что хотя бы один человек из окружения пострадает, больше 0,98 (N = 4000).

Другими словами, большинство из нас знает о карточном мошенничестве не из книг и журналов, а из личного опыта. Конечно, такое близкое знакомство с карточным мошенничеством не станет поощрять нас к более интенсивному использованию своей пластиковой карты. Как следует из проведенных в США опросов 41 % американских держателей карт покупают меньше или вовсе избегают покупок через Интернет с помощью пластиковой карты! Поэтому безопасность операций по пластиковым картам является краеугольным камнем развития карточной индустрии, и этой проблеме уделяется значительное внимание со стороны платежных систем и банков.

Абсолютный размер карточного мошенничества очень грубо можно оценить следующим образом. В 2003 г. оборот по торговым операциям в платежных системах Visa и MasterCard составлял соответственно 2,5 и 1,3 трлн долл. Поскольку на эти две ведущие платежные системы приходится 85 % всего мирового торгового оборота по пластиковым картам, то весь торговый оборот по пластиковым в 2003 г. составлял примерно 4 трлн долл. С учетом уровня мошенничества (7-11 bp) легко получить, что абсолютный размер карточного фрода равнялся примерно 3–4 млд долл. в год.

Однако, это только видимая часть мошенничества. Как показывает опыт, значительная доля мошенничеств не попадает в отчеты платежных систем, поскольку банки, пытаясь защитить свою репутацию, часто не заявляют о случившемся фроде в платежные системы.

По данным консалтинговой компании Frost&Sullivan потери банков от карточного мошенничества в 2005 г. составили 7,9 млрд долл. По прогнозам компании к 2009 г. этот показатель вырастет до 15.5 млрд долл. в год. Некоторые эксперты считают оценки Frost&Sullivan завышенными, но в том, что размер потерь по порядку составляет несколько миллиардов долларов, никто не сомневается.

Помимо прямых финансовых потерь банки несут косвенные потери (уход клиентов, уменьшение оборотов, сокращение привлеченных средств из-за удара по репутации банка — теряется доверие к финансовым продуктам банка). В мире карты эмитируют более 20 тысяч банков. В каждом из них имеется отдел, занимающийся карточной безопасностью. Даже если средний бюджет одного такого отдела составляет 60 тыс. долл. в год, банки ежегодно тратят только на содержание таких отделов более миллиарда долларов.

Мы уж не говорим о затратах банков на покупку специального программного обеспечения, криптографических модулей, затратах на коммуникации (в случае отсутствия фрода все транзакции можно было бы выполнять в оффлайновом режиме) и т. п.

В результате общие годовые потери от последствий карточного мошенничества и затраты на уменьшение этих потерь для банков оказываются значительно выше полученной выше оценки.

Особенности современного карточного мошенничества К характерным особенностям карточного мошенничества следует отнести:

• использование мошенниками самых современных аппаратных и программных средств, благодаря их доступности и закономерному падению стоимости этих средств. В соответствии с законом Мура удваивание производительности вычислительной техники, объема памяти, пропускной способности каналов связи происходит через каждые соответственно 18, 12 и 9 месяцев[156].;

• высокий профессиональный уровень криминальных структур (в них нередко рекрутируются бывшие сотрудники банков и процессинговых центров);

• интернациональный характер криминальных банд в области карточного мошенничества — банды имеют свои представительства во многих странах мира;

• постоянный поиск новых возможностей по реализации мошенничеств, в том числе постоянное «тестирование» на прочность процессинговых систем банков. Такое тестирование включает проверку наличия в банке системы мониторинга транзакций, анализ алгоритма проверки отдельных реквизитов карты, оценку надежности защиты баз данных реквизитов карт и т. п.;

• высокая гибкость и оперативность криминальных структур: быстрая реакция на обнаружение дыры в системе защиты банка. С момента обнаружения уязвимости до момента реализации атаки проходит несколько дней;

• концентрация внимания на небольшом числе эмитентов, состав которых постоянно меняется. На бытовом языке это означает использование атаки на банк, при которой объектом мошенничества становятся большие группы клиентов банка. Атака реализуется с использованием обнаруженной уязвимости в системе обработки транзакций банка. Для мошенников атака является наиболее эффективным средством достижения цели, поскольку за время с момента обнаружения атаки до момента ее устранения при массовом использовании клиентской базы банка мошенники могут получить для себя хороший результат;

• распределение мошенничеств по нескольким основным категориям (на четыре наиболее распространенных вида мошенничества, о которых будет рассказано ниже, приходится около 96 % всего фрода);

• миграция типов мошенничества с одних рынков на другие. После того как на одном рынке удается найти эффективные средства противодействия какому-то виду мошенничества, мошенники начинают использовать отлаженную мошенническую схему на других рынках;

• около 80 % всех мошенничеств приходится на онлайновые транзакции. Это объясняется желанием мошенников поскорее «опустошить» счет держателя карты (для этого используются операции на большие суммы, обрабатываемые в режиме реального времени) и означает, что онлайновый характер выполнения операции не является эффективным средством борьбы с фродом;

• рост числа мошенничеств через банкоматы;

• кредитные карты — главная цель мошенников. Особое внимание уделяется «золотым», «платиновым» и другим еще более привилегированным картам. Приведенные в таблице данные показывают, что уровень мошенничеств по кредитным картам примерно в 4 раза выше, чем по дебетовым (табл. 1)[157];

• платежные системы разбивают область своего присутствия на географические регионы, рынки которых имеют общие черты, хотя бы в силу своей географической близости. Оказывается, что внутристрановой (domestic) уровень мошенничества самый низкий, а межрегиональный — самый высокий (табл. 2–4).

Следует отметить, что переход банков на микропроцессорные карты приводит к миграции мошенничества в страны, где в основном развита «магнитная» инфраструктура приема карт. Это приводит к еще большей дифференциации уровней внутристранового фрода и остального фрода. Например, в Малайзии после перехода на чип уровень внутристранового фрода чуть превышает один базисный пункт, в то время как уровень фрода, приходящего из-за границы, составляет около 55 bp.

Основные виды мошенничества

Как отмечалось выше, мошенничества принято делить на две группы: мошенничества со стороны эмиссии карт и мошенничества со стороны обслуживания карт.

Мошенничества со стороны эмиссии

Основные виды мошенничества со стороны эмиссии:

• украденные (потерянные) карты (lost (stolen) cards);

• неполученные карты (not received items, NRI);

• поддельные карты (counterfeit);

• card not present-фрод;

• кража персональных данных держателя карты (ID theft). Украденные/потерянные карты. Самый старый и естественный вид мошенничества — держатель карты теряет карту сам либо ее у него крадут. До момента обнаружения пропажи и блокировки карты в системе проходит время, которым пользуются мошенники, в руках которых оказалась карта.

Долгое время этот вид мошенничества являлся самым популярным. Сейчас в Европе по данным крупнейших платежных систем на него приходится 25–30 % всего объема фрода.

Неполученные карты. Карты, украденные во время их пересылки из банка клиенту. Вся ответственность за мошенничество в этом случае лежит на эмитенте. По данным крупнейших платежных систем на этот вид мошенничества приходится 3,0–5,5 % всего объема фрода.

Поддельные карты. Этот вид мошенничества состоит в том, что мошеннику удается изготовить карту с реквизитами, совпадающими с реквизитами реальной карты настолько, что по поддельной карте можно выполнять операции, выдавая ее за реальную карту.

Подделка карт начиналась с технологии срезанных цифр карты и перестановки их местами. Потом стало практиковаться переэмбоссирование номера карты. С появлением и распространением электронных терминалов основным способом подделки карт стал скимминг (skimming) — перенос данных магнитной полосы реальной карты на другую карту, которую мошенники изготавливают сами или получают в результате кражи заготовок карт в банке или производящем заготовки карт предприятии.

Данные реальной карты мошенники чаще всего получают с помощью недобросовестного персонала магазина, который незаметно для держателя карты копирует содержимое магнитной дорожки карты с использованием специального устройства, имеющего считыватель магнитной полосы и способного хранить информацию о нескольких десятках карт.

В последнее время активно используются и другие способы кражи данных магнитной дорожки карт. В частности, в банкоматах мошенники используют накладной ридер, записывающий данные магнитной дорожки карт, а также видеокамеру или накладную клавиатуру для кражи значения ПИН-кода.

Еще 3–4 года тому назад в Европе подделка карт являлась самым распространенным видом мошенничества, на который по данным крупнейших платежных систем приходилось 34–37 % всего объема фрода. В связи с активной миграцией на микропроцессорные карты сегодня в Европе и Азиатско-Тихоокеанском регионе уровень мошенничества по поддельным картам существенно снизился.

Card not present-фрод. По определению CNP-транзакция (card not present) представляет собой операцию покупки по пластиковой карте, в момент совершения которой клиент лично не присутствует в точке продажи (торговом предприятии). В этом случае он сообщает торговому предприятию реквизиты своей карты (обычно номер карты, ее срок годности и значение CVV₂/CVC₂), необходимые для проведения авторизации, заочно (письмом, по телефону, сети передачи данных и т. д.).

Существуют три основных вида CNP-транзакций: рекуррентные платежи, MO (ТО) — транзакции и транзакции электронной коммерции (далее — ЭК). Под транзакцией электронной коммерции понимается CNP-транзакция, при совершении которой обмен данными между держателем пластиковой карты и торговым предприятием по реквизитам карты и платежа происходит через Интернет.

К 2010 г. прогнозируется, что среднемировая доля CNP-транзакций достигнет 40 % от всего торгового оборота в секторе B2C. При этом на операции электронной коммерции будет приходиться 60 % всего объема CNP-транзакций, из которых примерно 60 % операций будут оплачиваться с использованием пластиковой карты.

Сегодня на долю ЭК приходится около 18 % всех карточных операций «Покупка». Рост оборотов ЭК составляет около 40 % в год. Каждый десятый житель планеты является онлайновым покупателем.

Возможность совершить покупку заочно (при отсутствии покупателя в точке продажи) всегда являлась привлекательной как для покупателя, так и для продавца. Для покупателя — из-за удобства способа покупки (не выходя из дома, в любое время суток, в спокойном режиме без очереди и т. п.), для продавца — главным образом, благодаря возможности снижения накладных расходов на организацию торговли и возможности круглосуточно рекламировать свой товар широкой аудитории потенциальных покупателей.

На первом этапе развития «заочной» торговли наиболее распространенным способом заказа товара во время проведения покупки были почта, телеграф и телефон. Поэтому подобные транзакции получили название MO/TO [Mail Order (Telephone Order)] транзакций. Единственная проблема в то время состояла в организации расчетов за такие покупки. Продавцу хотелось заранее идентифицировать покупателя и убедиться в его кредитоспособности. С распространением пластиковых карт эта проблема в определенной степени решилась — у торговых предприятий появилась возможность получить относительно надежные гарантии кредитоспособности покупателя.

Относительность гарантии заключалась в том, что при заочных покупках вероятность мошенничества по кредитным картам становится недопустимо высокой. В связи с повышенным риском мошенничества по CNP-транзакциям, с одной стороны, и привлекательностью подобных операций с точки зрения торговых предприятий и, следовательно, обслуживающих их банков, с другой, платежные системы разрешают подобные операции, меняя при этом распределение ответственности за финансовый результат операции в случае возникновения мошенничества. Это изменение формулируется следующим образом: если транзакция электронной коммерции выполнена без использования надежной технологии, ответственность за мошенничество по таким операциям лежит на обслуживающем банке.

Сегодня под надежной технологией в международных платежных системах понимается обязательная онлайновая авторизация с использованием алгоритма 3D Secure[158]. При поддержке этой технологии торговым предприятием распределение ответственности по операции становится классическим: в случае корректного представления данных обслуживающим банком ответственность за результат операции несет эмитент.

Уровень мошенничеств по CNP-транзакциям в мире составляет примерно 70 базисных пунктов (в Европе 25–35 базисных пунктов), т. е. на порядок выше, чем в среднем по карточному бизнесу. По признанию международных платежных систем 80 % всех отказов от платежей (chargeback) в карточной индустрии приходится на операции электронной коммерции.

Для совершения мошенничества в случае CNP-транзакции, для обработки которой не используется протокол 3D Secure, достаточно знать самые простые реквизиты карты — ее номер, срок действия и, возможно, значение CVC₂/CVV₂. Поэтому для повышения безопасности по правилам платежных систем все CNP-транзакции должны выполняться только в режиме реального времени.

В ЭК отмечается высокий уровень латентности: по данным мирового банка до 80 % всех случившихся мошенничеств банками не объявляется. Даже если учитывать только объявленный фрод, то по данным крупнейших платежных систем в настоящее время в Европе на ЭК приходится около 25–30 % всего карточного фрода.

В связи с миграцией банковской эмиссии на микропроцессорные карты CNP-фрод становится объектом повышенного интереса со стороны криминальных структур. Как и прогнозировали эксперты, в странах, мигрировавших на чип, отмечается резкий рост мошенничества по транзакциям ЭК. Так в Великобритании в 2005 г. скорость годового роста CNP-фрода составила 21 %, а в абсолютном выражении на этот вид мошенничества пришлось 183,2 млн фунтов стерлингов, что почти в 2 раза превысило потери банков от поддельных карт и более чем в 2 раза — потери от использования украденных (потерянных) карт. В 2006 г. тенденция продолжилась, и CNP-фрод вырос на 16 % по сравнению с 2005 г. На него в 2006 г. уже приходилась половина всех потерь английских банков по карточным операциям! По данным APACS за первую половину 2007 г. рост CNP-фрода составил 44 % в сравнении с аналогичным периодом 2006 г., достигнув размера 137 млн фунтов стерлингов за шесть месяцев.

Кража персональных данных (ID theft). Кража персональных данных клиентов с целью их использования в карточных мошенничествах бывает следующих видов: мошеннические аппликации, перехват счета, Phishing, утечка информации из процессинговых центров (главным образом торговых предприятий), перехват данных при их передаче по сетям. Другими словами, при использовании этого вида мошенничества кража данных, достаточных для осуществления карточного фрода, производится без непосредственного использования карты (данные крадутся не с карты, как в случае скимминга).

Мошеннические аппликации (fraudulent applications): мошенник использует чужое удостоверение личности (найденное/украденное/подделанное) для подачи заявления на получение кредитной банковской карты с указанием адреса, по которому карта может быть легко и безопасно получена.

Перехват счета (account takeover): мошенник получает данные о реквизитах карты/счета, например, из оказавшихся в его распоряжении банковских стейтментов держателя карты, далее звонит в банк и сообщает об изменении своего адреса, а чуть позже запрашивает новую карту с доставкой ее по «новому» адресу.

Phishing и вирусные атаки (с целью получения персональных данных клиентов): злоумышленники по электронной почте рассылают держателям кредитных карт запросы якобы от банков с просьбой подтвердить или обновить персональную информацию клиентов, связанную с картами.

Кража данных в процессинговых центрах онлайновых магазинов в Интернете. Самый громкий скандал произошел в начале 2007 г., когда стало известно о крупнейшем в мире похищении клиентской базы данных. В результате утечки конфиденциальной информации более 45 млн человек, воспользовавшихся пластиковыми картами при оплате покупок в более чем 2,5 тыс. магазинах компании TJX, расположенных в США и Великобритании, могут стать жертвами мошенников.

Самое интересное в «похищении века» заключается в том, что оно было совершено еще летом 2005 г., но в течение полутора лет хакерская атака оставалась незамеченной экспертами компании. Утечка вскрылась только в конце прошлого 2006 г., и в декабре 2006 г. TJX уведомила американские власти о том, что украдена информация по 45,7 млн кредитных карт, использованных в магазинах компании между 31 декабря 2002 г. и 23 ноября 2003 г. В распоряжении мошенников оказались также анкетные данные 455 тыс. клиентов, возвративших купленные товары.

Не исключено, что хакеры похитили информацию и по транзакциям, совершенным позже. Быть уверенными в своей защите могут только клиенты, совершавшие покупки после 18 декабря 2005 г., когда компьютерная сеть TJX была проверена специалистами General Dynamics и IBM, которые и раскрыли факт похищения. Полиция считает, что хакеры перепродали информацию другим мошенникам. Известны случаи массового мошенничества по картам, информация по которым была украдена в TJX. Известно также, что американские банки к середине 2007 г. перевыпустили более 200 тыс. карт для своих клиентов в связи с инцидентом, связанным с TJX.

Утечка информации через недобросовестных сотрудников процессинговых центров и банков. По статистике источником 20 % всех финансовых потерь банка являются нечестные сотрудники, 10 % — обиженные сотрудники, 55 % — халатность персонала, только 9 % — внешние атаки.

Перехват данных при их передаче (беспроводные соединения, подключение мошенников к выделенным линиям связи). Этот способ кражи персональных данных является сегодня достаточно редким, поскольку его эффективность невысока (высокая стоимость кражи данных одного клиента).

Другой способ «электронной» кражи персональных данных — использование специальных программ-шпионов (spyware). Такие программы умеют читать, записывать и удалять файлы на персональном компьютере клиента, изменять компьютерные настройки, в том числе отвечающие за сетевой доступ к компьютеру, тем самым, открывая хакерам доступ к содержащейся в нем информации. Программы-шпионы могут переформатировать компьютерный диск, сканировать изменения в файлах, следить за набираемыми на клавиатуре данными с целью кражи паролей. Во время сетевых сессий компьютера эти программы передают собранную ими информацию интересующейся ею стороне.

Формы существования программ-шпионов многообразны. Это и небольшие дополнительные программки (adware), используемые поставщиками в своем программном обеспечении в маркетинговых целях (для этого создаются целые сети adware networks), и троянские кони, и интернетовские cookies и т. п.

Мошенничества со стороны обслуживания карт

Приведем основные виды мошенничества второй группы (со стороны обслуживания карт):

• повторный ввод операции (multiple imprints, electronic data capture fraud, включая PAN Key Entry — транзакции);

• изменение содержимого слипов (altered sales drafts);

• перехват счета магазина (account takeover);

• использование отчетности легально существующего торгового предприятия (laundering);

• мошенничества в банкоматах.

Повторение слипов и (или) изменение содержимого слипов. Недобросовестные сотрудники торгового предприятия делают на импринтере более одного отпечатка карты (multiple imprints), используя их в дальнейшем для генерации новых платежных документов, или изменяют значения размера транзакции уже после того, как клиент подписал слип (altered sales drafts).

Electronic Data Capture Fraud. То же, что и повторение слипов, только с использованием электронных POS-терминалов. Особенно распространен способ PAN key entry, при котором в авторизационном запросе к эмитенту информация магнитной дорожки карты не предоставляется (представлены только номер карты, срок ее действия и, возможно, значение CVV2/CVC2).

Перехват счета. «Перехват» счета магазина (Merchant Account Takeover). Мошенники имеют все необходимые данные магазина (название, имена руководства, идентификатор торгового предприятия и т. п.) и, возможно, торговые слипы. Далее следует письмо (звонок) в банк, извещающее об изменении расчетного счета магазина. В результате возмещения по операциям, выполненным в реальном торговом предприятии, попадают на счета мошенников. По данным Visa средние потери банка от подобного мошенничества составляют примерно 100 тыс. долл.

Использование отчетности легально существующего торгового предприятия (laundering). В этом случае магазин A некоторой платежной системы предоставляет возможность магазину B, не имеющему договора с каким-либо банком на прием карт этой платежной системы, обычно за определенную комиссию, принимать карты данной платежной системы. При этом если B — мошенник, то A по прошествии некоторого времени остается один на один с отказами от платежей, пришедшими по операциям, якобы совершенным магазином B. По данным Visa потери магазина A в среднем составляют около 500 тыс. долл.

Мошенничества в банкоматах. До сих пор речь шла о мошенничестве в торговых предприятиях. В последнее время стало появляться все больше сообщений о случаях мошенничества с использованием банкоматов. Операции через банкоматы характеризуются повышенной безопасностью, поскольку авторизация таких операций осуществляется эмитентом в онлайновом режиме с обязательной проверкой персонального идентификатора (PIN-кода) держателя карты. Факт повышенной безопасности операций через банкоматы подтверждается и статистикой — объем мошенничеств через банкоматы на порядок ниже аналогичного показателя для торговли.

И все-таки последние сообщения платежных систем говорят о том, что мошенники постепенно подбираются и к банкоматам. В 2004 г. потери только банков Великобритании от мошенничества, связанного главным образом со скиммингом в банкоматах, составили 75 млн фунтов стерлингов (около 15 % всего карточного мошенничества в стране). Правда, в 2005 г. и 2006 г. уровень банкоматного мошенничества в Великобритании снижался, достигнув в 2006 г. отметки в 61,9 млн фунтов стерлингов. Но и этот уровень примерно в 1.5 раза выше уровня 2003 г., т. е. говорить о том, что проблема с банкоматным фродом стабилизировалась, преждевременно.

В соответствии с данными EAST (European ATM Security Team) потери европейских банков в 2006 г. от скимминга через банкомат, трэппинга и спровоцированных возвратов составили в прошлом году 306 млн евро.

О краже данных пластиковой карты и ПИН-кода через банкомат с помощью накладного ридера и миниатюрной видеокамеры (накладной клавиатуры) с последующим выпуском белого пластика уже говорилось выше. Под трэппингом (trapping) понимается мошенничество, в соответствии с которым на ридер банкомата устанавливается устройство, препятствующее извлечению карты из банкомата после выполнения транзакции. Карту потом извлекает мошенник, которому к тому же к этому моменту известен ПИН-код держателя карты (с помощью видеокамеры или иным более изощренным способом).

Иллюстрацией трэппинга является мошенничество, известное как «ливанская петля». Почти цирковой способ мошенничества, при котором ничего не подозревающий держатель карты засовывал ее в заранее «обработанный» мошенником банкомат. Суть «обработки» банкомата состояла в том, что в прорезь карт-ридера банкомата вставлялся кусок фотопленки, концы которого незаметно укреплялись на внешней стороне банкомата. Фотопленка после совершения операции не давала возможность карте выйти из карт-ридера. Мошенник оказывался неподалеку и предлагал держателю карты свою помощь. Он рекомендовал ему вновь ввести свой PIN-код, а когда из этого ничего не получалось, вводил его сам со слов держателя, утверждая, что уже видел такие случаи раньше и при повторном вводе PIN-кода карта должна выйти из банкомата. Карта, конечно, не возвращалась, а мошенник советовал ее держателю придти на следующий день в банк (махинация проводилась в часы, когда отделение банка уже не работало), и тогда карта ему будет обязательно возвращена. После ухода держателя карты мошенник извлекал пленку вместе с картой из банкомата и опустошал счет держателя карты.

Метод спровоцированного возврата заключается в том, что мошенники извлекают из банкомата не все выданные банкоматом деньги, а только их часть. Оставленные мошенниками средства по тайм-ауту возвращаются банкоматом в диверт-кассету. После этого банкомат инициирует возврат средств. Иногда программное обеспечение банкомата (обслуживающего банка) не способно поддерживать частичный возврат (partial reversal) и в результате на счет клиента возвращается вся заказанная им сумма.

Существуют и другие виды мошенничества с использованием банкоматов. Например, в результате физического взлома банкоматов с целью извлечения из них денежных средств, грабежей инкассаторов и держателей карт, получивших деньги в банкомате, в прошлом году в Европе было потеряно около 28 млн евро. Более подробно о мошенничестве через банкоматы см. далее.

Методы защиты для карт с магнитной полосой в проекции на отдельные виды мошенничеств

Цель настоящего раздела состоит в том, чтобы показать читателю, что, несмотря на многообразие методов, в случае карт с магнитной полосой не существует эффективного универсального решения для защиты банка (держателя карты) от мошенничества.

Сегодняшние эмитенты карт с магнитной полосой используют комплексный подход для борьбы с фродом, состоящий из следующих элементов защиты:

• утвержденной руководством банка и доведенной до заинтересованных подразделений политики эмиссии карт, описывающей эмитируемые банком карточные продукты, их потребителей, процедуры обработки заявлений клиентов, доставки и выдачи карт, средства и системы защиты банка от мошенничеств, распределение ответственности между подразделениями банка, поведение персонала и руководства банка в случае обнаружения атак и т. п.;

• установки необходимых проверок в системах авторизации транзакций банка;

• поддержания стоп-листов скомпрометированных карт;

• системы мониторинга транзакций, позволяющих определить подозрительные транзакции;

• предоставления платежной системе отчетности о случаях мошенничества по картам банка;

• работы с клиентами банка;

• предоставления клиентам банка услуги смс-уведомлений о выполненных по карте клиента операциях.

Большое значение для борьбы с мошенничеством имеет работа эмитентов с держателями карт и обслуживающих банков с торговыми предприятиями.

Рассмотрим, каким образом перечисленные элементы защиты банка помогают справиться с карточным фродом.

Украденные (потерянные) карты

Для борьбы с этим видом мошенничества используются следующие элементы защиты:

• блокировка карты в системе эмитента с выдачей кода ответа о необходимости захвата карты; этот метод является особенно эффективным для дебетовых карт, операции по которым происходят только в режиме реального времени;

• помещение карты в стоп-листы платежной системы, рассылаемые обслуживающим банкам, а также в стоп-листы резервных систем авторизации; этот элемент защиты особенно полезен в случае, когда украденная карта является кредитной и по ней возможна авторизация в оффлайновом режиме без обращения к эмитенту;

• размещение на обратной стороне карты фотографии ее держателя; этот элемент защиты основан на использовании психологического фактора — мошенник испытывает дискомфорт при обращении с подобной картой в торговое предприятие, понимая, что кассир может поинтересоваться, почему на карте помещена чужая фотография;

• использование средств мониторинга транзакций, которые позволяют определить изменение «рисунка» операций по картам пострадавшего клиента (чтобы обойти возможные средства борьбы с кражей карты со стороны эмитента, мошенник пытается поскорее воспользоваться картой и снять находящиеся на ней денежные средства) и обратиться к клиенту для получения разъяснений о причинах такого изменения;

• использование смс-уведомлений по карточным операциям; такие уведомления могут помочь клиенту обнаружить факт пропажи/кражи карты.

Борьбе с этим видом мошенничества способствуют общие тенденции карточного рынка по более интенсивному использованию онлайновых авторизаций, а также увеличению доли дебетовых карточных продуктов.

Очевидно, что все перечисленные методы, взятые в совокупности, не предоставляют 100 %-ной гарантии того, что фрода удастся избежать. Это связано с тем, что с момента обнаружения этого вида мошенничества до момента «включения» элементов защиты уходит несколько дней, которых бывает достаточно для того, чтобы опустошить счет, связанный с украденной (потерянной) картой.

Неполученные карты

Помимо средств, описанных в предыдущем разделе, для борьбы с этим видом мошенничества дополнительно используются следующие элементы защиты:

• выпуск карт в заблокированном состоянии со статусом «новая карта» (new card), и их разблокировка клиентами либо в отделениях и банкоматах с помощью специальной операции разблокировки, требующей от клиента знания ПИН-кода, либо через телефонные звонки по кодовому слову (например, девичьей фамилии матери);

• выдача карт через отделения банка и использование специализированных курьерских служб вместо обычной почты для доставки карт из центра их персонализации в отделения банка.

Выпуск карт в заблокированном виде является наиболее эффективным методом борьбы с рассматриваемым видом мошенничества.

Поддельные карты

Сегодня различают два способа подделки карт. Первый способ (подделка с чистого листа) состоит в подборе мошенниками правильного набора реквизитов карты (реквизитов, совпадающих с реквизитами одной из эмитированных банком карт), состоящих из номера карты, срока действия карты и значения CVC/CVV или CVC₂/CVV₂. В этом случае эффективными являются следующие элементы защиты:

• генерация номеров карт по случайному закону;

• расширенная проверка срока действия карты;

• CVV/CVC, CVV₂/CVC₂.

Поясним смысл этих элементов защиты. Обычная проверка срока действия карты состоит в том, что номер карты, нанесенный на магнитную полосу или эмбоссированный на передней панели карты, сравнивается с текущей датой. При расширенной проверке помимо обычной проверки с текущей датой значение срока действия карты проверяется на равенство со значением срока действия карты в базе данных процессингового центра банка. Таким образом, мошеннику требуется угадать точное значение срока действия карты. Поскольку карта обычно выпускается сроком на 2 года, вероятность подбора точного значения ее срока действия равна ¹/₂₄.

Генерация случайных номеров карт позволяет защитить эмитента от подбора мошенником правильного номера карты. Обычно номер карты состоит из 16 цифр, из которых первые 8 представляют собой префикс карты, используемый для идентификации банка и его филиала. Последняя цифра номера карты является функцией от первых 15 цифр (вычисляется по правилу luhn check parity). Поэтому остается 7 независимых цифр номера карты, использование которых позволяет банку эмитировать до 10 млн карт. Этот диапазон карт можно заполнять с любой заранее заданной максимальной плотностью заполнения X. Под плотностью заполнения понимается отношение количества выпущенных карт ко всему диапазону возможных значений номеров карт (10 млн карт). Если при этом номера карт генерируются по случайному закону, то вероятность того, что мошенник, выбирая наугад какой-то номер карты, угадает его, не превышает максимальную плотность заполнения диапазона номеров карт. Очевидно, это увеличивает накладные расходы мошенника, тем самым снижая его привлекательность подделки. Таким образом, использование эмитентом генерации случайных номеров карт, проверки CVC/CVC₂, расширенной проверки срока действия карты требует от мошенника (не знающего реквизитов карт) перебрать n =^{(24 × 1000)}/_X = ²⁴⁰⁰⁰/_X различных сочетаний реквизитов карты, для того чтобы с вероятностью 1 добиться успеха. При X = 1 требуется перебрать 24 000 различных значений, а при X = 0,1 — 240 000,0 вариантов. Это делает практически неинтересным для мошенника попытки подбора правильных реквизитов карт. Получается, что стоимость подбора выше потенциальной добычи. Вероятность того, что правильные реквизиты карты будут определены за k попыток (k ≤ n), равна в нашем случае k/n. Поэтому чтобы обеспечить высокую вероятность достижения успеха, мошеннику придется перебрать порядка n различных комбинаций реквизитов карты.

Другой сегодня самый распространенный подход к созданию поддельных карт основывается на скимминге — краже мошенниками данных магнитной полосы реальной карты и, возможно, ПИН-кода ее держателя во время выполнения операции с использованием этой карты. В данном случае к элементам защиты эмитента следует отнести:

• проверку соответствия имени банка и префикса карты (например, с использованием директории VISA interchange directory); мошенники пользуются только доступной им информацией о карте и имеющимися под рукой заготовками карт;

• поддержку стоп-листов имен «держателей» поддельных карт; опыт показывает, что мошенники используют весьма ограниченный набор таких имен; поэтому дополнительная проверка держателя карты с именем из стоп-листа может оказаться весьма целесообразной;

• средства мониторинга транзакций;

• SMS-оповещения о выполненных по карте операциях;

• обучение персонала торгового предприятия;

• обучение держателей карт — любая информация о карте является ценной для мошенников, поэтому реквизиты карты нужно охранять; нельзя оставлять карту без персонального контроля; обучение тому, как вести себя с чеками и стейтментами и т. д.;

• на уровне платежных систем — определение точек компрометации Common purchase point реквизитов карт и использования украденных реквизитов (collusive merchants).

Коротко остановимся на обучении персонала торговых предприятий. С точки зрения безопасности банк должен провести обучение персонала торгового предприятия по следующим вопросам:

• как определить, принимает ли торговое предприятие данную карту;

• как визуально проверить подлинность карты;

• как хранить и обрабатывать слипы;

• как использовать «код ответа 10» (специальный код ответа, используемый в случае голосовой авторизации, когда покупатель показался продавцу подозрительным);

• как реагировать на ответ «захватить карту» и что делать с захваченной картой.

Очень важной с точки зрения безопасности операции является визуальная проверка продавцом подлинности карты. Анализ фрода показал, что в большинстве случаев мошенничества, связанного с подделкой карт крупнейших платежных систем VISA и MasterCard, можно было бы избежать, если бы продавец выполнял следующие визуальные проверки карты:

• на наличие 4 напечатанных цифр под (над) эмбоссированным номером карты;

• на наличие микропечати VISA по периметру логотипа карты VISA;

• на наличие голубя на картах VISA и букв M и C на картах MasterCard, появляющихся при облучении карты ультрафиолетом;

• при наклоне голограммы карты VISA должен появиться летящий голубь, а карты MasterCard — надпись «MasterCard».

• сравнение номера карты на чеке терминала и на карте;

• на наличие эмбоссированных секретных символов на карте (летящие буквы V и М).

Однако практика показала, что эти проверки торговыми точками зачастую не производятся. В результате платежные системы отказались от использования эмбоссированных секретных символов, а также некоторых видов микропечати.

К сожалению, скимминг является чрезвычайно эффективным способом подделки карт, и технология карт с магнитной полосой не может предложить эффективных универсальных методов борьбы с ним. Например, под кураторством MasterCard была разработана технология MagnePrint, суть которой состоит в следующем. Магнитная полоса карты состоит из миллиардов крошечных частиц определенного размера и расположения, создающих естественный уникальный шум при считывании магнитной полосы. Этот шум не может быть подделан и используется в технологии MagnePrint для аутентификации карты. Шум кодируется в элемент данных длиной 54 байта и хранится в системе эмитента. Компания MagTek изготовила карт-ридеры, способные считывать шум.

Слабость метода состоит в том, что элемент данных, кодирующий шум, является статическим. Поэтому фрод, по-прежнему, возможен из торговых точек, нацеленных на мошенничество. Кроме того, метод работает только в случае онлайновой авторизации транзакции.

В результате в начале третьего тысячелетия стало ясно, что в основе наиболее эффективных способов борьбы с поддельными картами лежит технология микропроцессорных карт. При этом неважно, где располагается микропроцессор — на пластиковой карте, в сотовом телефоне или ином устройстве, находящемся в руках клиента банка.

Электронная коммерция (CNP)

На сегодняшний день ведущие платежные системы поддерживают единственный протокол безопасной электронной коммерции — 3D Secure (в платежной системе Visa этот протокол продвигается под брэндом Verified by VISA, а в системе MasterCard — под брэндом MasterCard SecureCode). По мнению экспертов, повсеместное использование этого протокола торговыми предприятиями, обслуживающими банками и эмитентами карт уменьшит фрод в области электронной коммерции не менее чем на 80 %, доведя его до уровня ниже 5–7 базисных пунктов.

Требования международных платежных систем к безопасности операций ЭК формулируются следующим образом:

• должна обеспечиваться взаимная аутентификация участников электронной покупки (покупателя, торгового предприятия и его обслуживающего банка);

• реквизиты платежной карты (номер карты, срок ее действия, CVC₂/CVV₂, и т. п.), используемой при проведении транзакции ЭК, должны быть конфиденциальными для торгового предприятия;

• невозможность отказа от операции для всех участников транзакции электронной коммерции.

К сожалению, первый безопасный протокол электронной коммерции Secure electronic transaction (SET), удовлетворяющий всем перечисленным выше требованиям, сегодня платежными системами больше не поддерживается. Это связано с дороговизной и сложностью внедрения протокола SET.

Для стимулирования внедрения протокола 3D Secure платежные системы ввели сдвиг ответственности, называемый merchant only liability shift, в соответствии с которым при поддержке торговой точкой протокола 3D Secure ответственность за мошенничество в ЭК, связанное с отказом держателя карты от совершения операции, возлагается на эмитента. В платежной системе Visa ответственности merchant only liability shift носит глобальный характер. В MasterCard сдвиг ответственности merchant only liability shift касается всех регионов за исключением Северной Америки (США и Канада), в которой ответственность за результат операции возвращается к эмитенту только в случае поддержки 3D Secure всеми участниками транзакции ЭК — онлайновым магазином, обслуживающим банком и банком-эмитентом (так называемая full authentication-авторизация).

Напомним, что для CNP-транзакций без использования защищенного протокола ответственность за мошенничество возлагается на обслуживающий банк. Таким образом, в случае использования торговой точкой 3D Secure восстанавливается нормальное распределение ответственности, характерное для платежных операций других типов.

Протокол 3D Secure с точки зрения обеспечиваемой им защиты значительно слабее протокола SET. Он в общем случае не обеспечивает аутентификации держателем карты торгового предприятия и прозрачности данных о реквизитах карты для торгового предприятия. В то же время он проще при внедрении и аппаратно-программные решения, реализующие 3D Secure, существенно дешевле аналогичных решений для протокола SET.

Наиболее серьезной проблемой безопасности протокола 3D Secure является его беззащитность от атак типа «man-in the-middle». Например, при использовании держателем карты протокола 3D Secure мошеннические онлайновые магазины могут применять следующую процедуру компрометации пароля держателя карты (рис. 2). Merchant plug-in (MPI) мошеннического магазина, получив ответ VERes, содержащий динамический адрес (URL) страницы аутентификации сервера эмитента Access control server (ACS), направляет запрос на аутентификацию держателя карты PAReq не по указанному адресу, а на адрес своего SSL-сервера. Затем SSL-сервер перенаправляет данный запрос на URL ACS эмитента карты, тем самым, «изображая» для ACS компьютер держателя карты. В результате ACS принимает ложный сервер за персональный компьютер держателя карты и передает на ложный сервер свою страничку, предназначенную для аутентификации держателя карты. Эта страничка содержит сообщение Personal Assurance Message, с помощью которого в схеме 3D Secure клиент аутентифицирует свой банк (точнее сервер ACS своего банка). Обладая страничкой для аутентификации, мошеннический сервер теперь может играть роль ACS для настоящего клиента банка, запрашивая у последнего значение статического пароля.

Чтобы защититься от подобных краж статических паролей, были предложены различные схемы генерации и использования динамических паролей или, как их еще называют, разовых паролей (One time password (OTP). Примером распространенного в банковской сфере алгоритма генерации OTP является метод Chip authentication program (CAP) разработанный MasterCard и принятый для использования в рамках Visa под брендом Dynamic passcode authentication (DPA).

Для реализации метода CAP клиент должен обладать микропроцессорной картой с EMV-приложением, а также специальным картридером, способным инициировать генерацию пароля OTP и отображать его значение, состоящее из 8 цифр, на дисплее ридера (иногда ридер и карта совмещаются в одном физическом устройстве). Такой ридер может стоить несколько евро (10–15 евро в зависимости от производителя и объема закупаемой партии устройств). Помимо дополнительных расходов на обеспечение ридерами держателей карт, другим недостатком такого подхода является тот факт, что за картридером клиенту необходимо придти в банк, а, кроме того, для совершения операции ридер нужно иметь под рукой, что не всегда удобно, поскольку размеры устройства значительно превышают размеры банковской карты, и в бумажнике такой ридер не помещается.

На этом фоне сотовый телефон, являясь наиболее массовым мобильным устройством, используемым населением планеты (по результатам 2005 г. во всем мире обращалось более 2 млрд сотовых телефонов, а к 2010 г. это устройство будут иметь примерно 3 млрд потребителей), давно привлекал внимание исследователей в качестве потенциального универсального инструмента аутентификации. Тем более, что возможности мобильных телефонов как с точки зрения их вычислительных способностей, поддерживаемых коммуникаций, так и с точки зрения функциональности, постоянно растут.

Тем не менее, на сегодняшний день существуют сложности в использовании мобильного телефона в качестве инструмента аутентификации. Они заключается в следующем. Известно, что по-настоящему защищенным местом хранения конфиденциальной информации на телефоне является SIM-карта (некоторые модели телефонов обладают отдельным микропроцессором, выполняющим функцию элемента безопасности-security element; но таких моделей на рынке мало). Однако загрузить информацию на SIM-карту можно только с разрешения контролирующего ее оператора сотовой связи. При этом, даже если последний разрешит загрузку и использование конфиденциальной информации клиента на SIM-карте, единственно возможным способом реализовать это на практике является предварительная загрузка данных на SIM-карту в процессе ее персонализации силами оператора или уполномоченного им центра персонализации. Удаленная персонализация SIM-карты по технологии over-the-air (OTA-GSM 03.48), предназначенная для загрузки данных и приложений на SIM-карту и поддерживаемая всеми Java-картами, персонализированными с поддержкой профиля OTA profile, на практике фактически не используется, поскольку в этом случае банк должен делить свою конфиденциальную информацию с сотовым оператором. Дело в том, что процедура загрузки данных по технологии OTA сегодня находится под полным контролем оператора мобильной связи.

То же самое касается и технологии, основанной на использовании протокола Security and trusted services API (SATSA, JSR177), позволяющей мидлету пользоваться процедурами и данными, загруженными на SIM-карту, поддерживающую Java Card (таких SIM-карт сегодня большинство). Помимо того, что спецификация JSR177 является опциональной для профиля MIDP 2.0 платформы J2ME, и потому сотовыми телефонами практически не поддерживается, по-прежнему, со стороны сотового оператора требуется авторизация доступа мидлета к приложениям карты с использованием SATSA.

В то же время MasterCard выпустил спецификацию MasterCard mobile authentication (MMA), в основе которой лежит схема CAP, реализуемая мидлетом, загружаемым на Java-совместимый телефон. Напомним, что на входе алгоритма CAP задаются текущий номер операции (ATC), профиль приложения карты (AIP), на выходе — 8-значный цифровой разовый пароль, являющийся функцией от криптограммы AAC (authentication application cryptogram). Криптограмма формируется с помощью определенного в стандарте EMV алгоритма вычисления прикладной криптограммы. В этом алгоритме используется ключ двойной длины (112 битов) customer master key, который и является единственным секретом, передаваемым на мобильный телефон.

Для обеспечения конфиденциальности секретных данных мидлета (customer master key) при его загрузке на телефон используется алгоритм PBE (password-based encryption), реализованный в рамках стандартного пакета Bouncy Castle APIs for J2ME, который, в свою очередь, реализует стандартный интерфейс к криптографическим функциям, определенный MIDP (mobile information device profile). В общих словах профиль MIDP представляет собой открытый программный интерфейс к библиотекам J2ME на сотовых телефонах и других устройствах. При формировании ключа в алгоритме PBE (для шифрования данных применяется алгоритм 3DES) в качестве пароля используется мобильный ПИН-код клиента, в качестве величины Salt — номер телефона (MSISDN).

Мобильный ПИН-код придумывается клиентом и используется им каждый раз при инициализации мидлета на своем телефоне. Вводимое клиентом значение мобильного ПИН-кода необходимо для расшифрования ключа customer master key, который хранится в телефоне в зашифрованном виде. Поэтому при вводе неправильного значения ПИН-кода в результате расшифрования будет получено неверное значение ключа customer master key, а значит будет вычислено неверное значение криптограммы AAC и разового пароля. Последний факт будет зафиксирован на сервере аутентификации клиента.

Таким образом, надежность описанной схемы главным образом определяется секретностью мобильного ПИН-кода клиента. Если телефон попадает в руки мошенника, не знающего значение ПИН-кода, то после трех безуспешных попыток аутентификации (неверного значения вычисленной криптограммы) клиент будет заблокирован на сервере аутентификации, и дальнейшее использование мидлета станет невозможным.

Анализ схемы аутентификации с помощью мидлета показывает, что поскольку все криптографические вычисления в этом случае производятся процессором телефона, то теоретически, загрузив на телефон программу-шпиона, отслеживающего состояние памяти телефона и передающее информацию из оперативной памяти наружу, можно скомпрометировать значение ключа customer master key, а значит и схему в целом. На сегодняшний день список вирусов для сотовых телефонов состоит из 30–40 программ, в то время, как аналогичный список для персональных компьютеров составляет несколько сотен тысяч программ. При этом мы не очень боимся вводить на клавиатуре своего компьютера пароли для интернет-бэнкинга или для своей аутентификации при выполнении операций ЭК.

Обобщая сказанное выше, можно констатировать, что широкомасштабного внедрения протокола 3D Secure до сих пор не произошло. На середину 2007 г. протокол 3D Secure поддерживался более чем 115 тыс. онлайновых магазинов, примерно 400 обслуживающими банками и 3160 банками-эмитентами. Лидером по внедрению 3D Secure является Великобритания, на долю которой приходится более 31 тысячи онлайновых магазинов. В Европе находится примерно 65 % всех онлайновых магазинов, поддерживающих 3D Secure.

С точки зрения эмиссии для использования протокола только в платежной системе MasterCard зарегистрировалось более 20,5 млн держателей карт MasterCard и Maestro. Конечно, это очень малая доля (несколько процентов) держателей карт с точки зрения общего количества карт этой платежной системы. Можно говорить, что именно медленное внедрение эмиссионной части протокола является главной причиной повышения безопасности операций ЭК.

В то же время по данным MasterCard в июле 2007 г. примерно 22 % всех операций ЭК в Европе производилось в магазинах, поддерживающих 3D Secure. При этом, в примерно 6 % всех операций 3D Secure поддерживался как со стороны торговых предприятий и обслуживающих банков, так и со стороны эмитентов карт.

Многие обслуживающие банки (онлайновые магазины) применяют в своих системах дополнительные проверки при обработке транзакций ЭК. К таким проверкам относятся:

• проверка адреса держателя карты (address verification system); предоставление для проверки эмитенту значений CVV₂/CVC₂;

• проверка количества транзакций, выполненных с некоторого IP-адреса (IP address frequency check);

• контроль количества транзакций, выполненных по карте в течение определенного промежутка времени (card number frequency check);

• проверка на совпадение страны адреса доставки товаров со страной, резидентом которой является банк, выдавший карточку (country match). Страна, резидентом которой является банк, определяется по значению идентификационного номера банка (bank identification number, или BIN);

• проверка IP-адреса (или сетки адресов), с которого была инициирована транзакция, на предмет его нахождения в черном списке (block IP address);

• проверка местоположения держателя карты (по IP-адресу его Интернет-провайдера) с географией доставки товаров (geolocation);

• отсев карт по некоторым ВШам банков (block bank BINs);

• отсев транзакций, поступающих с анонимных прокси-серверов (block proxy);

• отсев транзакций, при совершении которых были указаны адреса электронной почты из определенных доменов, например доменов, которые предлагают услуги бесплатной электронной почты (block proxy);

• проверка номера карты на ее присутствие в черном списке (negative database);

• использование открытых ресурсов, хранящих черные списки реквизитов мошеннических карт (например, CyberSource Negative Database and Scoring System, SharedGlobal Negative Database and Scoring System), а также осуществляющих аутентификацию держателя карты по номеру его телефона (MyVirtualCard).

Первые две проверки из приведенного выше списка рекомендуются платежными системами. Так VISA считает, что использование проверки CVV₂ уменьшает вероятность фрода более чем на 60 %. Сегодня платежные системы предпринимают шаги к тому, чтобы обязать эмитентов проверять значения CVC₂/CVV₂, полученные из авторизационных запросов, в своих процессинговых системах, а высокорискованные торговые предприятия (например, онлайновые казино) вставлять в авторизационные запросы значения этих криптовеличин.

Исследования компании ClearCommerce (США) относительно оценки эффективности использования системы AVS показывают, что только 40 % транзакций успешно проходят эту проверку при том, что доля мошеннических среди них менее процента. С другой стороны, при использовании AVS 35 % мошеннических операций успешно преодолевают эту защиту.

Кроме перечисленных выше проверок онлайновые магазины иногда обращают внимание на следующие факты, повышающие вероятность мошенничества:

• клиент впервые обслуживается в магазине;

• размер операции выше обычного для магазина значения;

• заказ состоит из большого количества одинаковых предметов;

• транзакции выполняются по картам с похожими номерами;

• адрес доставки заказа один и тот же для покупок, совершенных по разным картам;

• несколько транзакций по одной карте в течение короткого интервала времени;

• несколько транзакций, выполненных по различным картам с одним адресом доставки выписок (billing address), но разными адресами доставки товаров;

• транзакция, которую клиент хочет оплатить более чем одной картой.

У магазина (особенно MO (TO) — магазина) могут быть и другие причины для сомнения — нерешительность держателя карты в предоставлении персональных данных, требование к срочности выполнения заказа, странный адрес доставки, незаинтересованность клиента в свойствах товара (например, в цвете) и т. д.

Другой ранее упоминавшийся аспект проблемы мошенничества для CNP-транзакций — кража данных о реквизитах карт с серверов главным образом онлайновых магазинов. Несмотря на запрет платежных систем, обслуживающие банки и торговые предприятия хранят в своих системах значения CVC₂/CVV₂, данные магнитной полосы карты, адреса, используемые в AVS, зашифрованные PIN-блоки. Онлайновые магазины оставляют в своих БД доступные им данные: номер карты, срок ее действия, иногда CVV₂/CVC₂ и адрес, используемый в системе AVS. Исследования, выполненные Visa USA, показали, что в США 37 % торговых предприятий, несмотря на запреты платежных систем, продолжают хранить в своих системах информацию по картам.

В результате при взломе сайтов онлайновых магазинов происходит компрометация данных карт различных эмитентов. Самыми показательными является случаи взлома сервера TJX и БД процессора CardSystems Solutions, в результате которых были потенциально скомпрометированы соответственно 45,7 и 40,0 млн карт.

Для повышения уровня защиты информации ведущие платежные системы в течение нескольких последних лет требовали от своих банков участия в программах VISA account information security и MasterCard site data protection. Эти программы требуют от банков контроля обслуживаемых ими онлайновых магазинов с точки зрения выполнения ряда требований безопасности. К таким требованиям безопасности относятся:

• поддержка на сервере торгового предприятия средств защиты сетевого доступа (firewall);

• шифрование конфиденциальных данных при их хранении и передаче;

• использование актуальных антивирусных программ;

• своевременное применение «заплат безопасности» в используемом программном обеспечении;

• использования процедур разграничения доступа к серверам и данным;

• выполнение постоянных аудитов систем безопасности онлайновых магазинов.

В конце 2004 г. в основу программ защиты данных двух ведущих платежных систем был положен стандарт Plastic card industry data security standard (PCI DSS). Стандарт включает в себя 12 требований верхнего уровня, которые должны удовлетворяться информационными системами любого (в том числе онлайнового) магазина или третьестороннего процессора. Эти требования перечислены ниже:

1. Для защиты сетевого доступа к серверам, хранящим карточную информацию, необходимо использовать специализированные аппаратно-программные средства Firewall. Настройки Firewall, определяющие разрешенный сетевой трафик, должны постоянно контролироваться.

2. Нельзя использовать значения по умолчанию паролей и других параметров безопасности в используемых магазином системах. Как пример для иллюстрации, использование дефолтных значений параметров протокола WEP, применяемого для обеспечения безопасности беспроводной радиосвязи Wi-Fi при использовании стандарта IEEE 802.11b приводит к тому, что большинство устройств этого стандарта на данный момент не поддерживают необходимого уровня безопасности.

3. Хранимые данные карты должны быть защищены (с помощью шифрования, хэширования или усечения хранимой информации). В системах торговых предприятий не должна храниться информация (даже в зашифрованном виде), используемая для аутентификации держателя карты (например, значения PVV, вторая дорожка магнитной полосы карты и т. п.).

4. Передаваемые по сети данные держателя карты должны быть надежно зашифрованы (допускается использование симметричных алгоритмов 3DES с ключом не менее 112 битов, AES с длиной ключа 256 битов и асимметричного алгоритма RSA с длиной ключа 1024 битов).

5. Необходимо использовать и регулярно обновлять антивирусное программное обеспечение.

6. Необходимо уделять внимание обнаружению и устранению уязвимостей в используемом магазином программном обеспечении (вовремя использовать модификации ПО, устраняющие обнаруженные уязвимости, установить процесс тестирования разработанного своими силами ПО на предмет обнаружения уязвимостей, использовать лучшие практики разработки нового ПО и т. п.).

7. Использовать ограничение доступа сотрудников торгового предприятия только к функциям и информации, необходимым им по роду деятельности.

8. Каждый пользователь системы процессинга магазина должен иметь уникальный идентификатор, используемый для его аутентификации внутри системы. Уникальность идентификатора позволяет не только обеспечить разграничение доступа в системе, но и позволяет отслеживать действия всех сотрудников в информационной системе магазина.

9. Физический доступ сотрудников магазина к серверам, хранящим базы данных карт, должен быть ограничен. Это позволяет избежать возможности записи информации на внешние носители, замены и кражи оборудования, хранящего чувствительную информацию. Физический доступ должен быть ограничен и к телекоммуникационным ресурсам, через которые возможен доступ к серверам (в частности, к точкам доступа беспроводной связи).

10. Необходимо выполнять мониторинг доступа к Базам данных карт, используя механизмы логирования активности пользователей системы, связанной с доступом в систему, попытками аутентификации и т. п.

11. Необходимо регулярно проводить аудит и тестирование систем безопасности магазина.

12. Необходимо поддерживать политику безопасности внутри компании, четко определяющую для каждого сотрудника онлайнового магазина требования, предъявляемые к нему с точки зрения поддержания безопасности системы магазина в целом.

В зависимости от потенциальной угрозы доступа к хранящейся в информационных системах магазинов и третьесторонних процессоров информации по картам платежные системы делят магазины и процессоры по нескольким уровням и определяют следующие типы мероприятий, регулярно проводимых для оценки уровня соответствия магазина стандарту PCI DSS:

• аудит безопасности, проводимый непосредственно в торговом предприятии;

• самооценка системы безопасности магазина (процессора) по вопроснику, предлагаемому платежной системой;

• сетевое сканирование доступа к карточным данным.

Как уже отмечалось ранее, к сожалению, далеко не все торговые предприятия удовлетворяют требованиям PCI DSS. Многие торговые предприятия ссылаются на высокую стоимость модернизации используемых ими сегодня аппаратно-программных средств обработки карточных операций. В середине 2007 г. Visa объявила о запуске новой динамической системы авторизации Visa Advanced Authorization, на которую возлагаются большие надежды по борьбе с фродом. Система Visa использует разработанное на основе нейронных сетей решение, позволяющее в режиме реального времени оценить каждую операцию по карточке Visa с точки зрения потенциального мошенничества. В результате каждый эмитент будет получать в рамках авторизации оценку того, что авторизация является мошеннической.

В заключение следует сказать, что проблема карточного фрода является актуальной и угрожает существованию технологии пластиковых карт. Возможности карт с магнитной полосой в противодействии мошенничеству весьма ограничены. Карта с магнитной полосой является лишь носителем небольшого объема информации. Поэтому оказать противодействие мошенничеству могут только эмитент и обслуживающий банк, не имеющие своих полноценных представителей в точке продажи. Даже в предположении онлайнового характера всех карточных операций возможности эмитента и обслуживающего банка весьма ограничены. Эмитент в большинстве случаев может только проверить правильность статических данных карты, полученных при выполнении операции безналичной покупки, да проанализировать, насколько эта операция характерна для данного клиента с помощью программы мониторинга транзакций. Обслуживающий банк представлен кассиром торгового предприятия, далеко не всегда следующим при приеме карт инструкциям банка.

Микропроцессорные карты, речь о которых пойдет далее, коренным образом способны повысить уровень карточной безопасности.

Анализ реальной безопасности операций по микропроцессорным картам

Свойства микропроцессорной карты, позволяющие повысить безопасность операций

Важнейшим свойством микропроцессорной карты (МПК) является поддержка операционной системой карты криптографических функций. Использование этих функций приложением карты позволяет существенным образом повысить безопасность платежных операций.

Ниже перечислены задачи, решаемые приложением МПК для повышения безопасности операций по пластиковым картам.

1. Важнейшая базовая задача, решаемая приложением карты с помощью криптографических методов, состоит в обеспечении надежной аутентификации приложения карты (чаще говорят, и мы будем поддерживать эту терминологию, аутентификации карты, хотя правильнее говорить об аутентификации приложения). Под аутентификацией карты в данном случае понимается процесс доказательства того факта, что данная карта (приложение) была эмитирована банком, авторизованным на это соответствующей платежной системой. Успешность аутентификации карты означает, что был доказан факт эмиссии рассматриваемой карты банком X, являющимся участником платежной системы Y, которая разрешила банку X эмиссию карт платежной системы Y. Надежность доказательства факта эмиссии конкретной карты авторизованным эмитентом зависит от метода аутентификации карты.

Кратко напомним общие сведения о методах аутентификации карты. Методы аутентификации карты делятся на оффлайновые и онлайновые. Последняя версия стандарта EMV (v. 4.1) различает три метода оффлайновой аутентификации карты:

• SDA (Static Data Authentication)

• DDA (Dynamic Data Authentication)

• CDA (Combined Dynamic Data Authentication/AC Generation).

Первый в списке способ аутентификации относится к классу статических методов аутентификации, в то время как два последних, — к динамическим методам аутентификации.

Метод SDA обеспечивает целостность критичных для приложения карты данных, а также невозможность создания карты с «белого листа». По своей сути метод является аналогом CVV/CVC для микропроцессорной карты.

Методы динамической аутентификация карты состоят в проверке терминалом подписанных картой данных, формируемых терминалом (с обязательным использованием случайного числа, сгенерированного терминалом). Аутентификация карты в этом случае гарантирует на уровне криптостойкости алгоритма RSA факт того, что карта содержит чип, персонализированный эмитентом, авторизованным платежной системой на выпуск карт. Для реализации динамических методов аутентификации карты требуется поддержка микросхемой карты алгоритма RSA.

Метод CDA помимо динамической аутентификации карты дополнительно обеспечивает целостность наиболее критичных данных информационного обмена в диалоге «карта-терминал» (CID и реквизитов транзакции). Это достигается совмещением процедуры аутентификации карты с выполнением команды Generate AC, в ходе которой между картой и терминалом осуществляется обмен наиболее важными данными.

Методы динамической аутентификации автоматически включают в себя статическую аутентификацию, которая выполняется в рамках процедуры верификации сертификата открытого ключа карты.

Из сказанного выше следует, что с точки зрения обеспечения безопасности карточной операции самым надежным методом оффлайновой аутентификации является CDA. Далее идут методы DDA и SDA. При этом, метод SDA даже не защищает микропоцессорную карту (далее — МПК) от ее клонирования для использования в оффлайновых операциях.

Выбор метода оффлайновой аутентификации производится терминалом на основе данных AIP и возможностей терминала, определяемых значением третьего байта объекта данных Terminal Capabilities (Tag ‘9F33’).

В соответствии с правилами платежных систем все карты (за исключением так называемых «ATM only»-карт) должны поддерживать метод SDA, терминалы — SDA и DDA (за исключением «Online only»-терминалов). Кроме того, общая тенденция такова, что терминалы и карты начинают движение в сторону поддержки CDA и DDA соответственно. Весьма вероятно, что в следующем десятилетии для всех терминалов и карт с оффлайновым режимом работы (offline capable), поддержка CDA станет обязательной. Пока планы системы MasterCard состоят в том, чтобы уже с января 2011 г. сделать обязательной поддержку метода CDA для всех новых offline capable терминалов и метода DDA — для всех новых offline capable карт.

Поскольку аутентификация карты является важным элементом принятия эмитентом решения по результату авторизации транзакции, эмитент должен иметь возможность проверки факта выполнения терминалом аутентификации карты. Это требуется для того, чтобы избежать обмана со стороны недобросовестного торгового предприятия или обслуживающего банка, утверждающих, что аутентификация карты была выполнена, хотя это действительности не соответствует. Причиной для обмана может быть экономия средств торгового предприятия или обслуживающего банка на поддержку функции аутентификации карты на POS-терминале. Механизм проверки факта выполнения терминалом аутентификации карты в стандарте EMV существует (Data Authentication Code для случая статической аутентификации и ICC Dynamic Number для случая динамической аутентификации карты).

Очевидно, МПК является микрокомпьютером, способным обрабатывать входные данные, полученные от терминала и (или) эмитента карты. Обработка данных сводится к выполнению ряда проверок, по результатам которых карта принимает решение о результате обработки транзакции. Иногда карта просто «озвучивает» решение, полученное от эмитента. В некоторых случаях карта самостоятельно принимает решение, делегированное ей эмитентом с помощью соответствующей конфигурации приложения карты.

Примерами выполняемых картой проверок являются проверка картой PIN-кода держателя карты, проверки, связанные с управлением рисками (card risk management), аутентификация эмитента карты, проверки, подтверждающие целостность полученной от эмитента информации.

В случае оффлайновой транзакции эмитент полностью делегирует карте функцию принятия решения по результату выполнения операции. Очевидно, что только решениям карты, подлинность которой доказана, можно доверять. Поэтому так важна ее надежная аутентификация.

Аутентификация карты осуществляется терминалом и (или) эмитентом карты. В оффлайновых операциях аутентификация карты осуществляется только терминалом. В случае онлайновой транзакции аутентификация карты может осуществляться и терминалом и эмитентом (для терминалов, работающих только в режиме реального времени, так называемого online only terminal, разрешается, чтобы аутентификация карты проводилась только ее эмитентом).

Очевидно, аутентификация карты является эффективным средством борьбы с поддельными картами (counterfeit). Именно поэтому платежные системы ввели сдвиг ответственности chip liability shift, формулируемый следующим образом. Если мошенничество вида «поддельная карта» случилось в терминале, поддерживающем только карты с магнитной полосой, по МПК, то ответственность за мошенничество несет обслуживающий терминал банк. Сдвиг ответственности имеет пока внутрирегиональный характер (он действует в случае, когда обслуживающий банк и эмитент карты — резиденты одного региона платежной системы). Однако движение в сторону глобализации сдвига ответственности в крупнейших платежных системах уже началось.

2. В процессе выполнения онлайновой транзакции МПК взаимодействует со своим эмитентом. Эмитент сообщает карте свое окончательное решение по авторизации операции (отклонить или одобрить операцию). Кроме того, эмитент может направить карте команды, с помощью которых будут модифицированы отдельные данные приложения карты либо будет заблокировано приложение карты или даже вся карта. Команды эмитента, модифицирующие данные карты, очевидно, используются не только во время выполнения транзакции, но и на этапе персонализации карты.

Для того, чтобы повысить доверие к решениям эмитента (избежать подлога решения эмитента третьей стороной), требуется предусмотреть выполнение картой аутентификации ее эмитента. Аутентификация эмитента обеспечивается проверкой картой специального элемента данных (ARPC), получаемого картой из авторизационного ответа эмитента, а также проверкой картой величин message authentication code (MAC), содержащихся в командах, поступающих на карту от эмитента.

3. МПК гарантирует эмитенту невозможность держателю его карты отказаться от результата выполненной операции (non-repudiation). Это обеспечивается тем, что по каждой операции эмитент получает в свое распоряжение специальную прикладную криптограмму, представляющую собой подпись наиболее критичных данных транзакции, сделанную с использованием ключа карты. Соответствие прикладной криптограммы данным транзакции и ключу карты подтверждает факт ее выполнения с использованием карты эмитента.

4. МПК позволяет обеспечить проверку целостности обмена данными между картой и эмитентом, а также картой и терминалом. Обеспечение целостности информационного обмена между эмитентом и картой осуществляется за счет использования величины MAC, содержащейся в командах, направляемых эмитентом карте. Целостность обмена данными между картой и терминалом обеспечивается с помощью процедуры комбинированной генерации прикладной криптограммы и динамической аутентификации карты (combined dynamic data authentication, application cryptogram generation). Благодаря этой процедуре появляется возможность электронным образом подписывать наиболее критичные данные информационного обмена карты с терминалом.

5. МПК позволяет обеспечить конфиденциальность данных в информационном обмене между картой и эмитентом, картой и терминалом. Конфиденциальность данных, циркулирующих между картой и эмитентом, обеспечивается шифрованием секретных данных, содержащихся в командах эмитента, с помощью симметричного алгоритма шифрования (3DES). Конфиденциальность значения PIN-кода при его проверке картой в режиме offline обеспечивается с помощью асимметричного алгоритма шифрования (RSA).

Реальная безопасность микропроцессорных карт

В настоящем разделе мы попытаемся дать оценку реальной безопасности операций, выполненных с использованием МПК. Эта оценка будет получена с учетом того факта, что сегодня в мире значительная часть терминального оборудования для обслуживания карт (73 % POS-терминалов и 84 % банкоматов по данным на II квартал 2007 г.) принимает только карты с магнитной полосой и большая часть эмитированных карт является картами только с магнитной полосой (около 83 % по данным на 2-й квартал 2007 г.). Этот факт оказывает значительное влияние на безопасность карточных операций хотя бы потому, что многие операции, по-прежнему, обрабатываются с использованием уязвимой с точки зрения безопасности технологии магнитной полосы.

Действительно, если обозначить через A долю микропроцессорных карт, а через B — долю терминалов, способных обслуживать МПК, то в качестве грубой оценки количества операций, выполненных с использованием чипа, можно использовать величину AB. Например, если A = B = 70 % (значения A и B демонстрируют достаточно зрелую стадию миграции на чип), то только для примерно половины операций будут ощущаться преимущества технологии микропроцессорных карт с точки зрения повышения их безопасности.

Ниже будет рассказано и о других формах влияния «смешанного» характера сегодняшнего карточного мира, в котором присутствуют карты и терминалы, поддерживающие только магнитную полосу, на безопасность карточных операций.

Анализ будет проводиться в виде оценки безопасности операций в разрезе упомянутых ранее основных видов мошенничества.

Поддельные микропроцессорные карты

Начнем с самого распространенного вида мошенничества — поддельных карт. Уже говорилось о том, что методы динамической аутентификации карты (онлайновые и оффлайновые) наносят сокрушительный удар по этому виду фрода. Не зная соответствующего ключа карты или эмитента или системы, на уровне криптостойкости алгоритма RSA в случае оффлайновой динамической аутентификации карты и алгоритма 3DES для онлайновой аутентификации чиповую карту подделать невозможно.

В то же время, при неправильной персонализации карт или выборе слабого метода ее аутентификации мошенничества вида «поддельная карта» возможны. Ниже мы попытаемся систематизировать возможные способы подделки карты.

Итак, представим, что в левой руке у нас имеется реальная гибридная карта, эмитированная банком — участником некоторой платежной системы, а в правой руке — «чистая» заготовка для гибридной карты или карты с магнитной полосой. Кроме того, как у всякого уважающего себя мошенника, у нас имеются программатор для используемого на заготовке карты чипа, средства персонализации магнитной полосы карты, а также машина для персонализации пластика (печать, эмбоссирование и т. п.).

В зависимости от того, какая карта находится в нашей левой руке, мы предложим различные способы мошенничества вида «Поддельная карта», при которых на основе данных карты левой руки в правой руке у нас появится карта, которую при определенных обстоятельствах можно будет успешно использовать в платежной сети.

В первую очередь все возможные способы мошенничества разобьем на два класса: подделка чипа и подделка магнитной полосы карты.

Подделка магнитной полосы. Возможные схемы подделки магнитной полосы гибридной карты показаны на рис. 3.

Случай 1, вариант 1. Service code 2xx. В правой руке у нас карта только с магнитной полосой, на которую перенесена информация с магнитной полосы карты, расположенной в левой руке. Мы пытаемся использовать карту в гибридном терминале, принимающем микропроцессорные карты и карты с магнитной полосой. Терминал должен проверить значение кода обслуживания (service code) на магнитной полосе, и если оно равно 2XX, он должен требовать выполнения транзакции с использованием чипа.

Терминал не должен допускать операции по магнитной полосе, если значение кода обслуживания равно 2XX и терминал не принимал решения о переходе в режим Fallback после попытки использовать для выполнения операции чип карты. Необходимо иметь ясную инструкцию для кассира и четкое сообщение на дисплее терминала о том, что транзакция должна быть обязательно выполнена с использованием чипа или быть отвергнута.

В некоторых реализациях приложения терминала, несмотря на предупреждения, продавец все-таки имеет возможность обойти сформулированное выше правило и провести операцию с использованием магнитной полосы. В этом случае ответственность за возможное мошенничество с точки зрения платежной системы лежит на обслуживающем банке.

Несмотря на то, что ответственность в рассматриваемом случае лежит на обслуживающем банке, эмитенту все-таки рекомендуется отвергать транзакции, в которых в терминах MasterCard элемент данных POS data (DE 061) указывает на то, что терминал может выполнить операцию по чипу, но проводит ее по магнитной полосе и при этом POS Entry mode (DE022) не равен 80X (случай fallback), а равен, например, 90Х (магнитная полоса) или 05Х (чип).

Рассмотрим теперь «Случай 1. Вариант 1. Магнитный терминал». В правой руке у нас та же карта, что и в предыдущем случае. На карте в этом случае для большей убедительности может дополнительно находиться неперсонализированный чип. Мы пытаемся использовать эту карту в терминале, принимающем только карты с магнитной полосой.

Если транзакция была авторизована эмитентом, то случится мошенничество, и отвечать за него будет:

• обслуживающий банк, если этот банк и эмитент поддельной карты расположены в зоне принятого в платежной системе сдвига ответственности chip liability shift;

• эмитент — во всех остальных случаях.

Для защиты от мошенничества, когда на поддельной карте нет чипа, на дисплее магнитных терминалов в случае появления карты с service code=2XX должно появиться сообщение о необходимости проверки кассиром торгового предприятия наличия на карте чипа. Если чипа нет, кассир должен отклонить прием карты.

Случай 1, вариант 2. Service code 1xx. На карту только с магнитной полосой копируются данные первой и второй дорожек гибридной кредитной карты с изменением значения кода обслуживания на 1XX. Карта используется в оффлайновом режиме для выполнения подлимитных операций (размер операции меньше значения (terminal floor limit). Использование карты в режиме реального времени имеет мало шансов на успех, поскольку при изменении кода обслуживания нарушается целостность записи второй дорожки магнитной карты, и проверка значения CVV/CVC в процессинговом центре эмитента этот факт обнаружит. В этом случае есть все возможности успешно использовать поддельную карту независимо от того, является ли терминал гибридным или принимает только карты с магнитной полосой.

Если поддельная карта используется в гибридном терминале, то вся ответственность за мошенничество лежит на эмитенте карты. Это на сегодняшний день самая серьезная брешь в концепции миграции на чип.

Действительно, и карта и терминал поддерживают новую технологию, и все-таки подделка карты возможна без каких-либо нарушений правил приема карты со стороны торгового предприятия. Чтобы избежать этого вида мошенничества, платежные системы ввели правило, в соответствии с которым все транзакции по картам с магнитной полосой в терминалах, поддерживающих онлайновый режим работы, должны направляться на авторизацию к эмитенту.

Если поддельная карта используется в терминале, принимающем только карты с магнитной полосой, то за мошенничество отвечает:

• обслуживающий банк, если этот банк и эмитент карты, которая был поддельна расположены в зоне принятого в платежной системе сдвига ответственности;

• эмитент — во всех остальных случаях.

Случай 2. Гибридная карта с «кривым» чипом (инициализация Fallback на поддельную магнитную полосу). Используется заготовка гибридной карты с «кривым» (например, сожженным или неправильно персонализированным) чипом. В этом случае заготовка будет стоить дороже (примерно на 50 центов), но на магнитную полосу можно наносить информацию, скопированную с магнитной дорожки реальной гибридной карты, и использовать ее как в магнитном, так и в гибридном терминале.

Если поддельная карта используется в гибридном терминале, то вся ответственность за мошенничество лежит на эмитенте карты.

Если терминал принимает только карты с магнитной полосой, то за мошенничество отвечает:

• обслуживающий банк, если этот банк и эмитент карты которая была поддельна, расположены в зоне принятого в платежной системе сдвига ответственности;

• эмитент — во всех остальных случаях.

Единственная контрмера для борьбы с этим видом мошенничества — организация в процессинговом центре эмитента мониторинга количества fallback-транзакций, выполненных по каждой карте эмитента. Если число fallback-операций для некоторой карты оказалось выше порогового значения, то это является сигналом эмитенту провести расследование для того, чтобы убедиться в том, что операции были выполнены законным держателем карты.

Платежные системы также предпринимают меры по ограничению использования режима Fallback в странах, где уровень соответствия терминалов и карт стандарту EMV, достаточно высокий. В частности, в Европе уже сегодня от этого режима отказались при обработке банкоматных транзакций. В ближайшем будущем сегодня обязательное требование по поддержке fallback в POS-терминалах станет опциональным и на страновом уровне будет определяться, считать ли резервную авторизацию по магнитной полосе обязательной, или нет.

Подделка чипа. Клонированная карта — это карта, выпущенная неавторизованным лицом от имени авторизованного эмитента платежной системы. При этом факт того, что карта является клонированной, терминал в случае обработки транзакции в оффлайновом режиме определить не может.

Для клонирования SDA-карты всего лишь требуется иметь микропроцессорную карту с программатором к ней и общее знание стандарта EMV. В качестве карты может рассматриваться, например, широкодоступная карта с микропроцессором PIC16F84.

Далее на «чистую» микропроцессорную карту «переносятся» данные с реальной SDA-карты, включая данные FCI template, AIP, AFL и записи из файлов, определенные в AFL. Среди данных линейных файлов имеется объект signed static application data, представляющий собой подписанные эмитентом критичные данные карты.

Карта стандартным образом поддерживает команды SELECT, GET PROCESSING OPTIONS, READ RECORD. В ответ на команду VERIFY карта всегда отвечает подтверждением правильности введенного PIN-кода.

В ответ на команду GENERATE AC карта отвечает следующим образом:

• если терминал просит ARQC или AAC, карта отвечает криптограммой AAC, в качестве которой берется произвольное шестнадцатеричное 16-ти разрядное число;

• если терминал просит TC, карта отвечает ТС и в качестве криптограммы использует произвольное шестнадцатеричное 16-ти разрядное число.

Таким образом, если терминал считает, что транзакция может быть одобрена в оффлайновом режиме, транзакция клонированной картой будет одобрена. Во всех остальных случаях клонированная карта будет настаивать на отклонении транзакции в оффлайновом режиме. Отсюда следует, что клонированная карта не может быть заблокирована эмитентом через процедуру script processing.

Стоимость клонирования одной карты составляет несколько долларов (необходимо приобрести заготовки и программатор к выбранной для клонирования микросхеме). Данные реальных карт, необходимые для клонирования, могут собираться на POS-терминалах ровно тем же способом, каким они собираются сегодня для карт с магнитной полосой.

Отметим следующее. Предположим, что карта клонирована с реальной карты, поддерживающей оффлайновую динамическую аутентификацию.

В этом случае на клонированную карту переносятся те же данные, что используются при клонировании SDA-карты. Очевидно, что если такая клонированная карта используется в терминале, поддерживающем только метод SDA, то у нее имеется 100 % шанс на успех при условии одобрения терминалом транзакции в оффлайновом режиме. Именно поэтому платежные системы сделали поддержку метода DDA на POS-терминалах обязательной (исключение составляют «Online Only»-терминалы, для которых поддержка оффлайновой аутентификации карты необязательна).

Аналогичным образом, если DDA/CDA-карта клонирована на SDA-карту и терминал вообще не поддерживает оффлайновую аутентификацию карты, то в случае отсутствия поддержки картой механизма проверки факта ее аутентификации эмитентом терминал может обмануть эмитента, заявив о проведении оффлайновой динамической аутентификации карты, в действительности не выполнив ее. При этом обман со стороны торгового предприятия совершается не с целью мошенничества, а для того, чтобы подтвердить выполнение требования платежной системы. Этим обманом могут воспользоваться мошенники, успешно используя в таких терминалах клонированные карты.

Тогда возникает другой вопрос: «Возможно ли клонирование DDA/CDA-карты на карту со статической аутентификацией при использовании клонированной карты в терминале, поддерживающем методы динамической аутентификации DDA/CDA?» Ответ на этот вопрос в общем случае отрицательный, поскольку для клонирования DDA/CDA-карты при условии ее использования в упомянутых условиях необходимо знать секретный ключ карты.

В то же время в некоторых случаях клонирование DDA/CDA-карты возможно. Если, например, DDA/CDA-карта напрямую (через AIP) поддерживает метод SDA и не поддерживает (не содержит в своей файловой структуре) объекта данных SDA tag list, то такая карта может быть клонирована. Действительно, имея в своем распоряжении открытые данные карты, на клонированной карте легко модифицировать объект AIP, указав в нем, что карта поддерживает только метод SDA. В этом случае клонированная карта будет успешно использоваться при оффлайновой обработке транзакции. Заметим, что модификация объекта AIP пройдет для терминала незамеченной, поскольку объект AIP не попадает в список подписываемых данных, целостность которых проверяется в рамках процедуры аутентификации карты по методу SDA. Напомним читателю, что объект данных AIP (‘82’) может попасть в список подписываемых данных только через объект SDA tag list.

Заметим, что во избежание клонирования DDA-карты, лучше, когда такая карта напрямую не поддерживает метод SDA (косвенно SDA поддерживается в процессе проверки сертификата ключа карты), т. е. в частности не содержит объекта signed static application data! В этом случае даже если карта не содержит элемент SDA tag list, клонировать ее на SDA-карту невозможно, поскольку для этого отсутствуют необходимые данные (signed static application data).

Следует отметить, что отсутствие прямой поддержки картой метода SDA не скажется на ее распространнености, поскольку все терминалы поддерживает DDA.

Несмотря на то, что DDA-карты при правильной персонализации не допускают клонирования, они не обеспечивают целостности информационного обмена между картой и терминалом. Возможны атаки, получившие название «атаки двумя чипами» и состоящие в следующем. Используется печатная плата, содержащая два чипа: один чип — банковский, а другой — чип-эмулятор. Банковский чип является микросхемой, персонализированной банком для DDA-карты. Чип-эмулятор контролирует обмен данными между банковским чипом и терминалом, при необходимости модифицируя диалог карты с терминалом. Именно этот чип вставляется в карт-ридер терминала и обменивается с терминалом информацией. Он анализирует данные команд, полученных от терминала, и при необходимости модифицирует их выгодным для мошенника образом.

Приведем самые простые примеры возможной модификации данных. Если терминал в команде GENERATE AC запросил криптограмму TC, а карта в лице банковского чипа принимает решение транзакцию обработать в онлайновом режиме или отвергнуть в оффлайновом режиме, то чип-эмулятор меняет незащищенные данные cryptogram information data таким образом, что карта отвечает терминалу криптограммой TC. Таким образом, транзакция одобряется притом, что решением эмитента она должна быть либо отвергнута, либо передана эмитенту на авторизацию.

Другой пример. Чип-эмулятор, получив от терминала значение размера транзакции, меняет его на меньшую величину, при которой карта готова одобрить транзакцию в оффлайновом режиме авторизации.

Такой чип-эмулятор в литературе получил название wedge device. Нужно сказать, что устройство wedge device может быть внедрено не только в печатной схеме карты, но и на POS-терминале. Главное, чтобы оно выполняло функцию посредника информационного обмена между картой и терминалом.

Проблема обеспечения целостности информационного обмена карты с терминалом решается с помощью использования CDA-карт. Такие карты поддерживают целостность наиболее важной информации, циркулирующей между картой и терминалом в ходе обработки транзакции. Поэтому модифицировать информационный обмен незаметным для терминала способом нельзя.

Кроме того, CDA-карты демонстрируют более высокую производительность (меньшее время выполнения транзакции) в сравнении с DDA-картами. Это объясняется тем, что для оффлайновой аутентификации карты не используется команда INERNAL AUTHENTICATE, что сокращает обмен данными терминала с картой.

Обеспечение целостности информационного обмена с терминалом и более высокая производительность делает CDA-карты привлекательными для бесконтактных платежей. В частности, в стандарте MasterCard PayPass в качестве способа динамической аутентификации рассматривается только метод CDA.

В то же время у CDA-карт отмечается ряд слабостей. Во-первых, размер модуля ключа CDA-карты может не превышать 205 байтов. На сегодняшний день это ограничение не является обременительным, поскольку в основном используются ключи карты меньшего размера. Однако в будущем отмеченное ограничение может стать чувствительным. Платежные системы уже распространяют свои ключи размером 248 байтов (максимальный размер ключа в соответствии со стандартом EMV), давая возможность эмитентам и картам использовать ключи сравнимых размеров.

Во-вторых, при неаккуратном со стороны обслуживающего банка (платежной системы) управлении загрузкой ключей системы на терминалы может случиться так, что обслуживающий банк не загрузил (точнее, не загрузил вовремя) на своих терминалах какой-то из ключей системы. В этом случае все CDA-карты эмитентов, ключи которых сертифицированы на отсутствующем в терминале ключе системы, просто не смогут на таком терминале обслуживаться.

Действительно, получив от карты ответ на команду GENERATE AC терминал не сможет восстановить данные из signed dynamic application data и вынужден будет отклонить транзакцию. Это произойдет, даже если карта в ответе на команду GENERATE AC направит терминалу криптограмму ARQC для обработки транзакции в режиме реального времени. Без знания ключа системы невозможно восстановить криптограмму ARQC из объекта signed dynamic application data, и транзакцию придется отклонить.

Заметим, что в случае DDA-карты транзакция при отсутствии на терминале соответствующего ключа системы могла бы быть выполнена в онлайновом режиме. Метод CDA в случае провала аутентификации карты в отличие от других методов аутентификации лишает ее возможности обращаться за авторизацией к эмитенту.

Обобщая сказанное выше, перечислим ниже способы клонирования гибридной карты для ее использования в оффлайновом режиме авторизации транзакции:

1) если гибридная карта является SDA-картой, то она легко клонируется в SDA-карту;

2) если мы имеем дело с DDA/CDA-картой, поддерживающей также напрямую метод SDA (на карте присутствует объект данных signed static application data), то такую карту можно клонировать на SDA-карту:

• изменив профиль карты (объект application interchange profile), что останется незаметным для терминала, при условии отсутствия на ней объекта SDA tag list таким образом, что профиль карты будет указывать на поддержку картой только метода SDA;

• при использовании клонированной карты в терминалах, поддерживающих в нарушение правил платежных систем только метод аутентификации карты SDA или не поддерживающих никакого метода оффлайновой аутентификации;

• при использовании карты эмитированной с использованием ложного ключа системы в терминале, на который ложный ключ системы был предварительно загружен;

3) DDA-карту можно «модернизировать», создав на ее основе печатную плату, использующую наряду с чипом реальной карты второй чип-симулятор, действующий по схеме атаки двумя чипами.

Еще раз заметим, что подделка чипа практически возможна только с помощью его клонирования — переноса данных реального чипа на чип, используемый для производства мошеннической карты. Действительно, для того, чтобы изменить данные на уже персонализированном чипе можно воспользоваться двумя способами: попытаться это сделать средствами процедуры script processing или в режиме персонализации карты.

В процедуре script processing для изменения записей и отдельных объектов данных используются команды PUT DATA и UPDATE RECORD. Эти команды применяются с использованием кодов MAC и при необходимости — шифрования данных. Кроме того, эти команды чаще всего выполняются после аутентификации картой эмитента.

Поэтому во время выполнения процедуры script processing мошенничества возможны только при компрометации секретных ключей карты/эмитента, используемых для формирования криптограммы и обеспечения целостности обмена данных (формирования кодов MAC).

Ключи, используемые на этапе персонализации и в процедуре Script Processing, разные.

Подделка данных чипа в режиме персонализации карты также возможна только в результате компрометации ключей карты (эмитента) производителя карты.

Производитель чипов присваивает каждой микросхеме ее серийный номер (chip serial number) и заводит в чип секретный ключ поставщика карт, который выводится из ключа поставщика карт с использованием серийного номера чипа и идентификатора ключа в качестве диверсификационной моды.

Далее поставщик карт после имплементации чипа в пластик карты выполняет процедуру предперсонализации карты. В начале процедуры карта должна аутентифицировать поставщика карты с использованием заведенного ранее производителем чипа секретного ключа карты, известного только карте и ее поставщику. Только после успешной аутентификации поставщика карты он имеет возможность выполнить ее предперсонализацию.

В проекции на безопасность карты процедура предперсонализации состоит в том, что на карту заводятся ключи, которые выводятся из секретного ключа эмитента карты и элемента KEY DATA, включающего в себя серийный номер чипа и идентификатор ключа эмитента. Эти ключи предназначены для вывода сессионных ключей карты, используемых на этапе ее персонализации для взаимной динамической аутентификации карты и машины персонализации карт, а также для обеспечения конфиденциальности и целостности данных, передаваемых с машины персонализации на карту.

Таким образом, на этапе персонализации используется отдельный комплект ключей, отличающийся от аналогичных ключей, применяемых при выполнении транзакции.

Из сказанного выше следует, что на этапе персонализации карты возможны мошенничества только при компрометации секретных ключей карты (эмитента).

Недавно в печати появилась информация о схеме виртуального клонирования карты в режиме реального времени. Схема применима к любым картам (SDA, DDA, CDA), в том числе поддерживающим проверку защищенного PIN-кода. Идея заключается в том, что у мошенников имеется контролируемый ими терминал, расположенный, скажем, в ресторане, а также карта с приложением, работающим по контактному интерфейсу (ISO 7816) и бесконтактному радиоинтерфейсу (vicinity-интерфейс, например, в соответствии с ISO 15 693, ISO 18 000). Назначение приложения мошеннической карты состоит в том, чтобы поддерживать обмен данными с реальным POS-терминалом и оборудованием мошенника в режиме ретрансляции данных.

Схема выглядит следующим образом. Мошенник с рюкзаком за плечами приходит, например, в ювелирный магазин, выбирает украшение за 2000 евро и ждет звонка от сообщника в ресторане. В это время ничего неподозревающий посетитель ресторана решает расплатиться по карточке за обед стоимостью 20 евро. Сообщник мошенника с рюкзаком звонит последнему и тот направляется в кассу ювелирного магазина, чтобы заплатить за украшение с помощью своей мошеннической карты.

Далее мошенническая карта вставляется в ридер реального POS-терминала, и карта начинает транслировать через радиоинтерфейс в оборудование мошенника, расположенное в рюкзаке, команды, получаемые от реального терминала. Оборудование мошенника в свою очередь перетранслирует эти команды на контролируемый мошенниками POS-терминал, который доставляет команды на карту ни о чем неподозревающего клиента ресторана. Ответы карты клиента ресторана передаются на реальный терминал ювелирного магазина в обратной последовательности. Схема мошенничества показана на рис. 4.

Очевидно, что мошенническая транзакция может производиться как в режиме реального времени, так и в оффлайновом режиме. Более того, по завершении транзакции клиент ресторана получит чек с реквизитами своей карты на 20 евро. Единственная проблема будет состоять в том, что в общем случае реальный терминал распечатает чек с реквизитами карты пострадавшего посетителя терминала. Но и здесь не все потеряно. Во-первых, не каждый кассир сверяет данные чека с данными, напечатанными (эмбоссированными) на поверхности карты. Во-вторых, в ресторане имеются и завсегдатаи, реквизиты карт которых можно заранее нанести на мошенническую карту.

Украденные (потерянные, неполученные) микропроцессорные карты (lost, stolen, NRI)

Микропроцессорная карта является также и мощным инструментом в борьбе с таким видом мошенничества, как украденные (потерянные, неполученные) карты. Использование подхода Chip&PIN, принятого сегодня в Великобритании и рассматриваемого международными платежными системами в качестве наиболее предпочтительного метода аутентификации держателя карты, позволяет существенным образом сократить перечисленные виды мошенничества. Метод DDA/CDA + PIN Offline — наиболее надежный из всех известных способов защиты от карточных мошенничеств.

Здесь важно отметить, что внедрение подхода Chip&PIN должно осуществляться с двух сторон — как со стороны эмитента, так и со стороны обслуживающего банка. Для стимулирования обслуживающего банка к установке терминалов, поддерживающих PIN offline, платежные системы вводят сдвиг ответственности Chip&PIN liability shift, а также другие правила, вносящие элемент экономической привлекательности использования таких терминалов.

Чтобы сформулировать сдвиг ответственности Chip&PIN liability shift введем следующие определения. Будем называть микропроцессорную карту Chip&PIN-картой, если метод проверки PIN-кода PIN offline (независимо от способа передачи PIN-кода — в защищенном или незащищенном виде) является самым приоритетным в списке CVM list в условиях выполнения данной операции. Будем также говорить, что терминал поддерживает метод PIN Offline, если он поддерживает защищенную и открытую передачу PIN-кода на карту.

Тогда сдвиг ответственности Chip&PIN Liability Shift формулируется следующим образом: если Chip&PIN-карта используется в терминале, не поддерживающем PIN Offline, то вся ответственность за потерянные (украденные) (lost, stolen) карты и неполученные карты (NRI) переносится на обслуживающий банк.

Мошенничество в области CNP-транзакций

С миграцией на чип (особенно в версии Chip&PIN) будет наблюдаться уменьшение мошенничеств типа «Поддельная карта», «украденные (потерянные, неполученные) карты» и увеличение мошенничеств видов CNP и ID Theft. К сожалению, использование микропроцессорных карт пока мало что дает для борьбы с этими видами мошенничества, если не считать предоставления удобной возможности аутентификации держателя карты в транзакции, выполненной по протоколу 3D Secure, сервером эмитента access control server (технология chip authentication program/dynamic passcode authentication). Технология CAP позволяет генерировать одноразовые пароли, которые являются также средством борьбы с кражей идентификационных данных держателя карты.

Мошенничество со стороны недобросовестного торгового предприятия

Одной из серьезных «дыр» в модели безопасности операций, выполненных с использованием МПК, является практическая возможность заведения мошенником ложного открытого ключа системы. Изготовив под ложным ключом сертификаты ключа эмитента, можно выпустить поддельные карты, которые будут успешно работать в терминалах с загруженным ложным ключом.

Естественным способом борьбы с такого рода мошенничеством является создание подписи вводимых в терминал ключей системы на ключе обслуживающего банка (возможно симметричном ключе). Такая подпись обеспечивает целостность ключевой информации системы на терминале. В этом случае, не обладая ключом обслуживающего банка, невозможно успешно завести (использовать) ложный открытый ключ системы.

К сожалению, чтобы обойти упомянутую защиту открытых ключей системы мошенник может и не идти по пути компрометации секретного ключа обслуживающего банка. Для совершения мошенничества, ему достаточно загрузить на терминал фальшивый исполняемый модуль, который, в отличие от приложения обслуживающего банка, не станет проверять подпись используемого ключа. В этом случае описанная выше защита не работает.

Чтобы лишить мошенника возможности замены приложения терминала, требуется подключить ресурсы операционной системы и криптопроцессора терминала. Мы не будем здесь останавливаться на проблеме обеспечения целостности приложения терминала. Отметим только, что для терминалов, принимающих микропроцессорные карты, эта проблема решается с использованием специальной микропроцессорной карты, выполняющей функцию контроля доступа к операциям, например, удаления/загрузки исполняемых файлов.

В то же время заметим, что проблема обеспечения целостности приложения терминала не является надуманной. По мнению экспертов в области безопасности карточных операций по мере повышения защищенности карт, внимание мошенников во все возрастающей степени будет обращаться на среду их обслуживания. Терминал является близким окружением карты, и потому, несомненно, станет мишенью для атак. Поскольку терминал сегодня фактически представляет собой персональный компьютер, то для атак будут использоваться те же методы. В частности, применение специальных программ (аналог программ spyware, Trojan horse, keyboard (screen) logger, вирусов) позволит мошеннику получать интересующую его информацию о карте (например, запись второй дорожки магнитной полосы карты, значение случайной последовательности терминала и случайного числа карты, используемых для шифрования PIN-блока, значение зашифрованного PIN-блока и т. п.).

Важна также и проблема подмены настоящего POS-терминала банка терминалом, установленным мошенниками. Стоимость терминала невелика — 400–600 долл. Поэтому подобная подмена является весьма правдоподобной при сговоре мошенника с кассиром торгового предприятия (известны случаи установки даже ложных банкоматов!). Возможны также случаи, когда торговое предприятие использует POS-терминал только с целью сбора информации о картах.

В случае применения ложного терминала может записываться не только содержимое магнитной дорожки карты, но и значение PIN-кода держателя карты. С учетом использования на практике гибридных карт, имеющих магнитную полосу, получив информацию о магнитной дорожке карты и значение его PIN-кода, мошенник может изготовить «белые» карты для их употребления в банкомате.

Для решения проблемы ложного терминала при обработке операций в онлайновом режиме необходимо повсеместно внедрять коды MAC для сообщений, циркулирующих между терминалом и хостом обслуживающего банка. Это обеспечит целостность информационного обмена и аутентификацию POS-терминала.

Между тем использование кодов MAC позволяет эффективно решить проблему только для онлайновых операций. Информация об оффлайновых транзакциях, выполненных на терминале, также может подписываться для передачи в обслуживающий банк. Однако мошеннический терминал может и не передавать эту информацию в банк достаточно долго или вообще никогда. В случае, когда терминал действует в оффлайновом режиме, к сожалению, кроме организационных мер для борьбы с подобного рода мошенничествами, предложить пока нечего.

Достаточно эффективным способом борьбы с заменой терминалов стало бы введение в стандарт EMV процедуры взаимной аутентификации карты и терминала. Заведение на терминал пары секретного и открытого асимметричных ключей обслуживающего банка и сертификата этого ключа на ключе системы, а также поддержка картой процедуры аутентификации терминала и хранение на карте хэш-функций открытых ключей системы позволит исключить подмену терминала. Хранение на карте хэш-функций открытых ключей системы необходимо для того, чтобы избежать ситуации, когда мошенник сам придумывает ложный ключ системы и генерирует для заведения в терминал пару ключей обслуживающего банка с сертификатом, вычисленным на ложном ключе системы.

Конечно, хранение хэш-функций ключей системы (очевидно, что придется хранить информацию о ключах, сгенерированных впрок, чтобы не получилось так, что во время жизненного цикла карты на терминалах появятся ключи системы, неизвестные карте) накладывает ограничения на размер памяти EEPROM. Терминал должен хранить до 6 ключей системы. Поэтому с учетом ключей, заводимых впрок, и размера значения хэш-функции SHA-1, равного 20 байтам, потребуется зарезервировать около 200 байтов памяти EEPROM для одной платежной системы.

Остановимся еще на одном виде мошенничества, возможного со стороны недобросовестного торгового предприятия. В упрощенном виде мошенничество выглядит следующим образом.

Когда в торговое предприятие за покупкой обращается держатель микропроцессорной карты, торговое предприятие любое решение терминала (карты) завершает отклонением транзакции. При этом держатель карты либо уходит из торгового предприятия ни с чем, либо расплачивается за товар наличными.

Далее мошенническое торговое предприятие отправляет обслуживающему банку данные по неуспешной транзакции, как об операции, успешно выполненной в оффлайновом режиме. При этом обслуживающему банку предъявляются все доказательства того, что транзакция была выполнена успешно: подделанное значение cryptogram information data, указывающее на завершение операции генерацией картой криптограммы TC, значение криптограммы, которое не зависит от своего типа (TC, ARQC, AAC), значение ICC dynamic number. Все эти данные за исключением cryptogram information data могли быть сформированы только реальной микропроцессорной картой.

Обслуживающий банк на основе полученных данных формирует презентменты, которые отправляет в платежную систему, и возмещает торговому предприятию средства по «выполненным» в нем операциям.

Через некоторое время некоторые держатели карт инициируют чар-джбэки по мошенническим операциям, выполненным с использованием их карт. Однако эмитенту будет сложно их инициировать, поскольку обслуживающий банк предъявил в презентменте или по запросу эмитента (сообщение retrieval request) криптограмму TC.

В данном случае разобраться в ситуации сможет платежная система, которая через некоторое время обнаружит, что возникшая странная ситуация, когда клиенты жалуются, клиринговые сообщения, переданные обслуживающим банком, выглядят убедительно, необыкновенно часто случается в одной торговой точке. Чтобы разобраться в такой ситуации, платежной системе потребуется время. За это время мошенники успеют скрыться.

Другой способ борьбы с описанным выше мошенничеством — использование для оффлайновой аутентификации карты метода CDA и требования к торговому предприятию, которое состоит в том, что предприятие предоставляет в распоряжение обслуживающего банка элемент signed dynamic application data, а не просто криптограмму. В этом случае обслуживающий банк извлекает из элемента signed dynamic application data правильное значение cryptogram information data и описанная ранее схема совершения мошенничества не работает.

Борьба с банкоматным мошенничеством

При использовании микропроцессорной карты в онлайновом режиме знание PIN-кода и любых других данных карты, доступных терминалу, недостаточно для успешного выполнения операции мошенником. Необходимым условием в этом случае является знание недоступного мошеннику секретного ключа карты, который используется для генерации криптограммы. Ключ необходим для взаимной аутентификации карты и эмитента, без успешного выполнения которой транзакция будет отклонена (мы не рассматриваем достаточно редкий на сегодня случай, когда эмитент не поддерживает обработку «чиповых» данных карты).

Таким образом, в мире, в котором все карты являются микропроцессорными, а терминалы поддерживают EMV, скимминг через банкоматы ничего мошенникам не дает.

Заключение

Резюмируя сказанное выше, можно сделать вывод о том, что с увеличением количества микропроцессорных карт и расширением инфраструктуры их приема уровень карточного фрода неукоснительно снижается. Однако эффективность борьбы с карточным мошенничеством с помощью перехода на использование EMV-карт зависит от синхронности миграции банков на чип. Даже если банки какой-то страны полностью мигрируют на чип, но останутся страны, в которых процесс идет медленно, мигрировавшие на чип банки будут страдать от менее продвинутых с точки зрения миграции стран. Поэтому европейские страны, достигшие значительных результатов в миграции на чип, не может не беспокоить ситуация с положением дел в США. Действительно, все усилия европейского банка, выпустившего микропроцессорную карту, аннулируются возможностью выполнения операции по мошеннической карте, изготовленной на основе данных магнитной полосы этой микропроцессорной карты в «магнитном» терминале (терминале, принимающем только карты с магнитной полосой) американского банка.

То же утверждение о важности синхронности миграции банков на чип верно и для отдельно взятой страны. Не смотря на то, что внутри страны может действовать упоминавшийся выше сдвиг ответственности, и банк, заменивший свои карты микропроцессорными (гибридными) картами, всю ответственность за фрод по поддельной гибридной карте в магнитных терминалах перемещает на обслуживающий банк, моральный ущерб, наносимый держателю карты, а также

Обозначения:

I — фрод произойдет и ответственность за него лежит на стороне эмитента;

A — фрод произойдет и ответственность за него будет нести обслуживающий банк;

0 — фрод не произойдет.

Заметим, что мы считаем, что если мошенническая карта EMV применяется в EMV-терминале, то вероятность фрода равна 0. Это утверждение верно с оговорками, поскольку:

• в EMV-терминале можно успешно использовать украденную/потерянную EMV-карту, если на карте не используется оффлайновая проверка PIN-кода (мы предположили, что на картах в нашем банке такая проверка выполняется, но отдаем себе отчет в том, что эта ситуация не является типичной);

• можно получить данные с магнитной полосы EMV-карты и перенести их на заготовку мошеннической карты, изменив при этом код обслуживания на 1 и используя карту в оффлайновом режиме авторизации (подлимитная операция).

Возьмем типовые значения параметров модели для продвинутого с точки зрения эмиссии карт банка (40 % карт EMV-совместимы): a = 0,96, b = 0,03, c = 0,01, f1 = 6 bp, f2 = 40 bp, f₃= 60 bp, A = 0,4, B = 0,1.

Тогда в результате миграции банка на чип уровень фрода упадет с примерно 7,56 bp до 4,5 bp. При A = 0,6 уровень фрода с точки зрения эмиссии упадет до 3 bp.

Конечно, приведенная выше модель не учитывает многих аспектов, в частности, миграцию фрода в регионы со слабо развитой инфраструктурой обслуживания микропроцессорных карт. В то же время с ее помощью можно оценить страновой уровень мошенничества отдельно по эмиссии и обслуживанию карт.

Миграция банков на использование микропроцессорных карт уже доказала свою эффективность с точки зрения борьбы с мошенничеством. Великобритания, осуществившая практически полную миграцию на технологию чиповых карт, поддерживающих офлайновую проверку ПИН-кода, стала ярким тому примером. По данным за 2005 г., совокупный годовой объем потерь от карточного мошенничества в стране снизился на 13 % по сравнению с 2004 г., а если принимать во внимание все категории фрода, кроме CNP-операций, то потери английских банков от действий преступников уменьшились на 28 %! В частности, объем фрода по поддельным картам уменьшился на четверть, а по украденным (потерянным) картам — на 22 %!

В качестве другого примера эффективности борьбы с фродом путем миграции на технологию микропроцессорных карт можно рассматривать азиатско-тихоокеанский регион (АТР). По данным Frost&Sullivan карточный фрод в этом регионе в 2005 г. достиг 600 млн долл. Миграция на микропроцессорные карты уменьшила уровень мошенничества до 3 базисных пунктов, что более чем в 2 раза ниже среднемирового значения.

Уровень фрода по внутристрановым транзакциям во Франции, где уже более 15 лет внутри страны используются микропроцессорные карты, равен 3.3 базисным пунктам, что также является выдающимся результатом, подтверждающим эффективность технологии МПК.

Очевидно, криминальные структуры не смирятся с потерей своих доходов и будут адаптироваться к новым условиям жизни в мире чиповых карт. К сожалению, для этого у них остается не мало возможностей.

В первую очередь, следует отметить, что ближайшие 10–15 лет на карточном рынке будут присутствовать магнитные (гибридные) карты и магнитные терминалы (терминалы, не работающие с чипом). В результате чего у мошенников будет возможность использовать плохо защищенную магнитную полосу для совершения таких преступлений, как:

• использование данных магнитной полосы карты (в том числе и гибридной карты) для создания поддельной карты с последующим ее применением в магнитном терминале в оффлайновом режиме;

• использование гибридных карт в магнитных терминалах;

• подделывание гибридных карты (неправильная персонализация чипа и использовование fallback на магнитную полосу или менять кода обслуживания карты при переносе данных на заготовку с магнитной полосой и использование карты в режиме floor limit).

Значительную брешь в операциях с микропроцессорными картами создает использование банками режима Fallback. Платежные системы уже обязали банки отказаться от этого режима в банкоматных транзакциях (Fallback разрешается под ответственность обслуживающего банка). Более того, в ближайшее время сегодня обязательное использование режима Fallback в POS-терминалах будет заменено на опциональное решение для страновых рынков. В этом случае в странах, где уровень соответствия стандартам международных платежных систем высокий, банки откажутся от использования резервной авторизации по магнитной полосе.

Аутентификации лиц, совершающих операции как основа безопасности карточных операций

Что такое аутентификация

Удаленный доступ клиента к своему банковскому счету (счетам) для выполнения расчетов с предприятием торговли (сервиса) при совершении безналичной покупки или с целью получения наличных в банкомате (отделении) банка, или с какой-либо иной целью невозможен без надежной аутентификации клиента его банком. Любое лицо, запрашивающее доступ к банковскому счету с целью выполнения финансовой операции и (или) для получения информации о статусе счета, на момент запроса доступа к счету является для банка, в котором открыт счет, только лицом, совершающим операцию (далее — ЛСО). Первоочередная задача банка состоит в том, чтобы в момент обращения ЛСО к банковскому счету X проверить права ЛСО на доступ к счету X с целью его использования для совершения различных операций. Другими словами, банк должен проверить справедливость равенства «ЛСО = клиент банка А, имеющий право на доступ к счету X». Проверка этого равенства состоит из двух частей:

1) проверка того, что «ЛСО = клиент банка А»;

2) проверка того, что клиент А имеет право на доступ к счету X. Выполнение первой части и есть ничто иное, как решение задачи аутентификации банком ЛСО.

Существуют различные средства и связанные с ними технологии аутентификации ЛСО. Пластиковая карта является апробированным и широко используемым средством идентификации (аутентификации) лица, совершающего операцию. Например, в Европе примерно 30 % всех безналичных персональных покупок производится с помощью пластиковой карты. Пластиковая карта позволяет банку идентифицировать счет X, к которому обращается ЛСО, а также с хорошей достоверностью (как показывает практика с вероятностью не ниже 99,92 %) решить задачу проверки равенства «ЛСО = клиент банка, имеющий доступ к счету X». Значение 99,92 % выводится из того факта, что на сегодняшний день средний уровень карточного мошенничества составляет примерно 8 базисных пунктов.

Достоверность аутентификации лица, совершающего операцию с использованием пластиковой карты, является краеугольным камнем технологии пластиковых карт. От того, насколько технология позволяет банку-эмитенту карты быть уверенным в том, что операция выполнена с использованием его (банка-эмитента) карты, и операция совершается законным держателем карты — клиентом банка-эмитента, которому карта была выдана банком на основе договора банка с клиентом, зависит жизнеспособность карточной технологии в целом. Именно поэтому платежные системы и банки уделяют так много внимания вопросам карточной безопасности. Именно в результате осознания того факта, что технология аутентификации ЛСО при использовании карт с магнитной полосой уже не обеспечивает необходимый уровень достоверности, сегодня происходит массовая миграция банков на существенно более безопасную технологию, в основе которой лежит использование микропроцессорных карт.

При использовании карт аутентификация ЛСО является в общем случае распределенной процедурой, в которой заняты все участники операции — торговое предприятие, обслуживающий торговое предприятие банк, платежная сеть и, наконец, банк, к счету которого обращаются с целью проведения оплаты. Роли каждого участника процедуры аутентификации ЛСО важны (например, сеть аутентифицирует обслуживающий банк, обслуживающий банк в свою очередь аутентифицирует торговое предприятие, последнее выполняет важные функции для аутентификации ЛСО). Однако окончательное решающее слово — заключение по поводу справедливости равенства «ЛСО = клиент банка, имеющий доступ к счету»- произносится банком-эмитентом карты, а потому и ответственность за принятое решение в большинстве случаев (исключение составляют CNP-транзакции[152], не использующие протокол 3D Secure) несет эмитент карты.

Многофакторная модель аутентификации ЛСО

Когда речь идет о картах, для аутентификации ЛСО банком в общем случае используется трехфакторная модель аутентификации:

Фактор 1. Проверка чего-то, что имеется у ЛСО и что указывает на его связь с банком. В нашем случае — это проверка наличия у ЛСО пластиковой карты и подтверждение того факта, что карта была эмитирована банком.

Фактор 2. Проверка чего-то, что должно знать только ЛСО и может быть проверено банком (возможно опосредованно с использованием других участников операции, в рамках которой производится аутентификация ЛСО). В нашем случае — это ПИН-код, известный только ЛСО (может быть проверен банком-эмитентом, возможно с использованием карты эмитента, если карта является микропроцессорной и эмитент делегировал ей эту функцию) и (или) подпись ЛСО (подпись клиента изначально удостоверяется банком при выдаче карты клиенту и проверятся эмитентом опосредованно через торговую точку). Для соответствия законодательству некоторых стран при использовании микропроцессорных карт иногда одновременно применяется проверка ПИН-кода и подписи клиента.

Фактор 3. Проверка чего-то, что присуще только клиенту банка (физически не может быть передано иному лицу) и связано с выданной ему картой. В случае безналичных расчетов — это биометрическая информация клиента банка, записанная для хранения в чипе карты. Проверяется соответствие биометрической информации клиента банка, записанной в чипе карты, биометрической информации, относящейся к ЛСО.

Сегодня, как правило, используется двухфакторная модель (факторы 1 и 2). Биометрические методы верификации только начинают внедряться для держателей микропроцессорных карт.

Отметим, что логика многофакторной модели аутентификации очевидна. В первую очередь банк должен понять, что карта, по которой собираются выполнить операцию, действительно его карта, т. е. карта была эмитирована банком (фактор 1). Поскольку реквизиты карты определяют ее держателя, то, очевидно, следующий вопрос, на который должен ответить эмитент — моя карта находится в руках моего клиента, которому я выдал карту для обеспечения удаленного доступа клиента к своему счету? Для ответа на этот вопрос используется фактор 2.

Проверка наличия у ЛСО карты, выданной банком (фактор 1), выполняется в несколько этапов с помощью:

• осмотра продавцом торгового предприятия внешнего вида карты (проверка логотипов банка и платежной системы, голограммы, специальной микропечати, нанесенной на карту, тисненных секретных символов и т. п.), а также в случае микропроцессорной карты — с помощью оффлайновой динамической аутентификации карты;

• проверки обслуживающим банком того факта, что торговое предприятие, в котором совершается операция, действительно, обслуживается этим банком;

• проверки эмитентом номера карты, ее срока действия, секретных величин CVC/CVV (CVC_2/CVV₂), а в случае микропроцессорной карты — выполнение онлайновой динамической аутентификации карты.

Безусловно, динамическая аутентификация микропроцессорной карты подняла достоверность аутентификации ЛСО по фактору 1 (и, как следствие, аутентификации ЛСО в целом) на качественно новый гораздо более высокий уровень. Подделка микропроцессорной карты, поддерживающей процедуры динамической аутентификации, является весьма дорогостоящим мероприятием.

На сегодняшний день наиболее надежным и универсальным способом аутентификации ЛСО в соответствии с фактором 2 является проверка ПИН-кода. Это связано с тем, что ПИН-код является самым труднодоступным для мошенников секретом среди всех реквизитов карты с магнитной полосой, поскольку он на карте не хранится. Потому применение ПИН-кода — наиболее надежное средство безопасности операций, выполняемых с использованием карт с магнитной полосой. В общем случае ПИН-код представляет собой последовательность десятичных цифр, вводимых ЛСО во время совершения операции по карте. Размер ПИН-кода варьируется от 4 до 12 цифр (на практике в большинстве случаев — 4 цифры). ПИН-код вводится с помощью специального криптографического модуля, входящего в состав терминального устройства (банкомата, POS-терминала и т. п.) — ПИН-ПАДа, или PIN entry device (PED) — и должен быть передан на хост эмитента, где он проверяется. Знание ЛСО секрета, известного держателю карты, по которой производится транзакция, является веским основанием считать, что ЛСО и держатель карты являются одним лицом.

Пластиковая карта как средство идентификации (аутентификации) ЛСО

Пластиковая карта является носителем информации, которая:

• идентифицирует платежную систему (ассоциацию банков, к которой принадлежит эмитент карты), эмитента карты, карточный продукт, держателя карты — клиента банка;

• определяет условия применения карты (онлайновый (оффлайновый) режим обработки транзакции, необходимость выполнения транзакции только с использованием электронного терминала, необходимость ввода PIN-кода, географию приема, период времени, в течение которого карта может использоваться и т. п.);

• содержит элементы защиты карты от подделки и информацию, используемую для аутентификации карты и клиента (голограмму, микропечать, специальные эмбоссируемые (рельефные) символы, видимые в ультрафиолете символы, фотографию держателя карты, специальные проверочные значения CVV/CVC, CVV2/CVC2, обеспечивающие целостность данных карты, подпись держателя карты и т. п., в микропроцессорных картах — секретные ключи и, возможно, PIN-код держателя карты).

Карта содержит логотипы платежной системы и банка-эмитента, а также информацию, называемую реквизитами карты: номер карты, срок действия карты, код обслуживания, имя держателя, специальную информацию, генерируемую эмитентом и используемую им для удаленной проверки подлинности карты. Часть этой информации наносится на пластик карты с помощью специальной печати или тиснения и считывается в процессе совершения транзакции визуально и осязательно. Эта информация используется продавцом торгового предприятия для проведения так называемой голосовой авторизации, при которой торговое предприятие связывается по телефону со службой голосовой авторизации банка и сообщает ей информацию о реквизитах торгового предприятия, карты, держателя карты и совершаемой операции. Служба голосовой авторизации вводит полученную информацию о карте в компьютер процессингового центра, который инициирует авторизацию операции и возвращает решение эмитента, сообщаемое торговому предприятию.

Часть информации наносится на магнитную полосу и (или) в микропроцессор (чип), расположенные на карте. Информация с магнитной полосы или чипа считывается с помощью специальных устройств, называемых считывателями карты или карт-ридерами. Электронные терминалы (так называемые POS-терминалы[153]) в торговом предприятии, а также автоматические устройства выдачи наличных (банкоматы) оснащены подобными карт-ридерами, или просто ридерами.

Обслуживающий банк обеспечивает поддержку инфраструктуры приема пластиковых карт, к которой в общем случае относятся банкоматы, пункты выдачи наличных и предприятия торговли и сервиса. Обслуживающий банк заключает договоры с торговыми предприятиями на обслуживание в них пластиковых карт, гарантируя торговому предприятию возврат средств за операции, совершенные в нем по картам любого банка — участника платежной системы.

Некоторые платежные системы (например, VISA и MasterCard) дополнительно гарантируют торговому предприятию возмещение средств по транзакциям, выполненным с использованием карт этой платежной системы. Дополнительная гарантия выдается на случай финансового краха обслуживающего банка и его неспособности возместить торговому предприятию средства по покупкам, совершенным с использованием пластиковых карт. В этом случае платежная система рассчитывается с торговым предприятием по выполненным в нем карточным операциям вместо потерпевшего крах банка. Гарантия платежной системы повышает уверенность торгового предприятия в возмещении ему средств по безналичной покупке. Эта уверенность лежит в основе технологии расчетов с использованием пластиковых карт.

Одна из важнейших задач любой платежной системы состоит в создании широкой географически распределенной инфраструктуры приема карт. Подобная инфраструктура приема карт делает применение карты привлекательным для ее держателя и эмитента. Именно для создания развитой инфраструктуры приема карт и требуются усилия многих банков — участников платежной системы[154].

Аутентификация ЛСО на примере операции покупки с помощью платежной карты

Уже отмечалось, что в карточной технологии аутентификация ЛСО в общем случае имеет распределенный характер. В аутентификации ЛСО принимают участие все участники обработки транзакции, включая торговое предприятие, обслуживающий банк, эмитента карты и, наконец, самого держателя карты. Проиллюстрируем это на примере операции безналичной покупки по карте в торговом предприятии.

Когда клиент банка А для оплаты покупки предъявляет пластиковую карту в торговом предприятии обслуживающего банка В, то торговое предприятие в первую очередь должно убедиться в том, что в соответствии с договором с обслуживающим банком В операция по предъявляемой для оплаты карте будет возмещена. Другими словами, торговое предприятие должно убедиться в том, что эмитент А и обслуживающий банк В являются участниками одной платежной системы. Визуально это устанавливается по логотипу платежной системы, нанесенному на пластиковой карте клиента.

Процесс оплаты услуги в общем случае состоит из двух частей. Первая часть — авторизация транзакции (рис. 1).

Кассир торгового предприятия в первую очередь визуально осматривает предъявляемую для оплаты карту, проверяя наличие на ней чипа и обязательных атрибутов карты (логотипа и голограммы системы, секретных символов, микропечати и т. п.). Далее с пластиковой карты считывается необходимая для авторизации операции информация (с помощью ридера POS-терминала или визуально, если речь идет о голосовой авторизации), а также, возможно, у клиента запрашивается дополнительная аутентифицирующая его информация (персональный идентификационный номер клиента в банке (подпись) клиента, имя клиента, другая верифицирующая его информация). К полученной информации кассир добавляет информацию о покупке — размер и валюта операции, иногда ее тип.

На основе собранной информации торговое предприятие принимает решение о технологии выполнения операции (по магнитной полосе или чипу), а также о режиме авторизации транзакции — онлайновом или оффлайновом. При оффлайновом режиме решение о разрешении или отклонении операции принимается только терминалом в случае карты с магнитной полосой или терминалом и картой (эмитент определяет в приложении карты свои правила принятия решения) в случае микропроцессорной карты. В онлайновом режиме такое решение принимается эмитентом карты.

Торговое предприятие также проверяет наличие карты в стоп-листе, загружаемом на терминал, способный работать в оффлайновом режиме, обслуживающим банком. Иногда для повышения скорости проверки эта функция выполняется торговым предприятием вместе с обслуживающим банком в распределенном режиме.

В случае онлайновой авторизации полученная от клиента и считанная с карты информация, а также информация о покупке и торговом предприятии (идентификаторы торгового предприятия и устройства приема карты, способ ввода информации карты в платежную сеть, описание возможностей терминала по обработке транзакции) передаются торговым предприятием своему обслуживающему банку в форме авторизационного запроса. С помощью авторизационного запроса торговое предприятие спрашивает у обслуживающего банка, может ли оно предоставить данному клиенту запрашиваемую им услугу. Обслуживающий банк должен проверить полученные в запросе данные:

• существование торгового предприятия с указанными в запросе реквизитами и его авторизацию на выполнение запрашиваемой операции;

• целостность полученных от терминала данных;

• наличие карты в стоп-листах платежной системы;

• ограничения на обработку операции (например, карта предназначена только для выполнения внутристрановых покупок, карта должна использоваться с обязательной проверкой ПИН-кода ее держателя, операция должна быть обслужена в режиме реального времени и т. п.), установленные эмитентом карты; ограничения записываются эмитентом во время персонализации карты на магнитной полосе в элементе данных «Код обслуживания» и в приложении чипа карты (элементы данных Application usage control, CVM List и т. п.), если карта микропроцессорная.

В случае оффлайновой авторизации два последних пункта должны проверяться средствами электронного терминала.

В случае онлайновой авторизации обслуживающий банк обращается за разрешением на оказание услуги по пластиковой карте к банку-эмитенту А. При этом банки А и В обмениваются сообщениями в соответствии с правилами, установленными платежной системой. Поэтому синтаксис и семантика сообщений понятны обоим банкам.

Эмитент А, получив запрос от обслуживающего банка В, проверяет достоверность информации о карте и ее держателе: правильность реквизитов карты и идентификатора держателя карты, статус карты в системе эмитента (активная или заблокированная), ограничения на использование карты, ПИН-код, если он представлен, величины CVC/CVV, криптограмму ARQC для аутентификации микропроцессорной карты и т. п… После этого банк А определяет достаточность средств на счете клиента для оплаты запрашиваемой им услуги. Если все проверки завершились успешно, банк А отвечает на запрос банка В разрешением на совершение покупки, предварительно списав со счета клиента (или только «заморозив» на счете) размер покупки возможно вместе с некоторыми, установленными им комиссиями (в случае операции покупки снятие комиссии со счета держателя карты, обычно, запрещено правилами платежных систем).

Поскольку разрешение банка А по правилам любой платежной системы является гарантией возмещения средств банку B от банка A, обслуживающий банк в свою очередь разрешает операцию покупки своему торговому предприятию, тем самым гарантируя последнему возмещение средств за выполненную с использованием карточки операцию. В большинстве случаев, если обслуживающий банк представил эмитенту достоверную и достаточную (по правилам системы) для авторизации информацию, ответственность за транзакцию в случае возникновения спора (диспута) ложится на эмитента. В частности, если транзакция оказалась выполненной по поддельной карте или украденной (потерянной) карте, ответственность за мошенничество возлагается на эмитента карты[155].

Вторая часть безналичной оплаты товаров/услуг заключается в расчетах между всеми участниками транзакции. Как уже отмечалось, торговое предприятие получает возмещение за операцию покупки от своего обслуживающего банка. Обслуживающий банк, в свою очередь получает возмещение с банка-эмитента. Гарантом расчетов между банками выступает платежная система, и в этом состоит ее важнейшая функция. Расчеты, как правило, производятся безакцептно (т. е. без получения специального разрешения их участников) через специальные счета, открываемые банками в расчетных банках платежной системы.

Наконец, банк-эмитент списывает средства по операции со счета своего клиента. Таким образом, при участии и гарантии платежной системы реализуется передача средств со счета клиента на счет торгового предприятия.

Основанием для расчетов между участниками транзакции могут быть авторизационные сообщения, которыми обменялись в процессе совершения транзакции обслуживающий банк и банк-эмитент. В этом случае по окончании бизнес-дня платежная система на основании имеющейся у нее информации осуществляет расчеты за прошедший бизнес-день между всеми своими банками-участниками. Системы, в которых расчеты производятся на основании авторизационного трафика, называются Single message system (SMS).

Иногда правила платежной системы таковы, что для инициализации расчетов между участниками транзакции обслуживающий банк должен отправить в платежную систему специальное финансовое сообщение, которое далее передается банку эмитенту. Только на основании этого сообщения платежная система осуществит расчеты между своими банками-участниками по выполненной операции. Специальное сообщение называется презентментом (presentment), а системы, производящие расчеты на основе презентментов — Dual message system (DMS).

Сегодня международные платежные системы поддерживают оба типа систем расчетов — SMS и DMS, отдавая предпочтение в расчетах по безналичным покупкам системам DMS.

В платежной системе время от времени по различным причинам, связанным с техническими проблемами при выполнении отдельных транзакций (например, дублирование обслуживающим банком авторизационного запроса) или совершением мошенничеств, могут возникать споры (диспуты) между банком-эмитентом и обслуживающим банком. Например, держатель карты может утверждать, что никогда не совершал транзакции, за которую с его счета были списаны деньги, или совершал транзакцию, но на другую сумму. Жизнь многогранна, и подобных «или» может быть много. Для разрешения возникающих споров платежные системы разрабатывают правила, предусматривающие использование специальных сообщений, которыми в случае возникновения диспутов обмениваются банки — участники системы.

В частности, если банк-эмитент в результате проведенного расследования, инициированного держателем карты, приходит к выводу о том, что некоторая транзакция, выполненная по карте этого клиента, является по установленным им причинам некорректной, эмитент направляет обслуживающему банку специальное сообщение, называемое chargeback (отказ от платежа), с указанием причины отказа от платежа. На основании этого сообщения платежная сеть переводит денежные средства, связанные с операцией, по которой произошел отказ, с корреспондентского счета обслуживающего банка на счет банка-эмитента. Возвращенные деньги эмитент далее переводит на счет клиента.

Обычно в соответствии с правилами платежной системы, если обслуживающий банк не согласен с мнением эмитента, он может направить ему повторный презентмент. В этом случае эмитент понимает, что его следующий повторный отказ от платежа будет означать начало арбитражного процесса между банками — участниками транзакции. Арбитром по возникшему диспуту, как правило, является администратор платежной системы. Банк может пытаться опротестовать и решение администратора системы, обратившись для этого в суд.

Проблема безопасности карточных операций

Что такое карточное мошенничество

Под карточным мошенничеством понимаются преднамеренные обманные действия некоторой стороны, основанные на применении технологии пластиковых карт и направленные на несанкционированное овладение финансовыми средствами, размещенными на «карточных» счетах клиентов банков-эмитентов пластиковых карт, или средствами, причитающимися торговому предприятию за операции по карточкам. Специалисты карточное мошенничество часто называют фродом (от англ. fraud — мошенничество, обман).

Мошенничества условно принято делить на две группы:

1) мошенничества со стороны эмиссии карт;

2) мошенничества со стороны обслуживания карт.

К первой группе относятся мошенничества, связанные с несанкционированным использованием карт эмитента (украденная карта, поддельная карта, кража идентификаторов держателя карты и т. п.), ко второй — мошенничества, инициатором которых стало торговое предприятие (поддельные (искаженные) слипы, повторный ввод операций и т. п.).

В качестве показателя уровня мошенничества рассматривается отношение объема понесенных финансовых потерь к общему объему продаж, выполненных по платежным картам (F/S или Fraud/Sales). Таким образом, уровень мошенничества оценивается только по операциям в торговых предприятиях. Единицей измерения коэффициента F/S принято считать базисный пункт (basis point, или сокращенно bp). Под одним базисным пунктом понимается уровень мошенничества, составляющий 0,01 % от всего торгового оборота по картам. Другими словами, уровень мошенничеств, равный одному базисному пункту, соответствует потере 1 цент. на каждые 100 долл. торгового оборота по карточкам.

Острота проблемы безопасности операций с использованием платежных карт

В последние 10 лет потери банков от операций по пластиковым картам составляют 7-11 цент. на 100 долл. оборота по картам (7-11 bp). Это существенно меньше потерь банков, связанных с клиентским кредитованием, составляющим 3–4 долл. на каждые 100 долл. выданных кредитов. Однако банки и платежные системы уделяют проблеме безопасности операций по пластиковым картам повышенное внимание. Это связано с тем, что в рассматриваемых случаях различна природа рисков и, как следствие, результат их проявления. В случае карточного мошенничества страдает клиент. Даже если потери, вызванные мошенничеством, берет на себя эмитент (что случается далеко не всегда), моральный ущерб, связанный с возникающими для держателя карты неудобствами, ощутим. Возможность фрода подрывает доверие банковских клиентов к карточной технологии в целом. И в этом главная проблема!

Для иллюстрации того, насколько карточное мошенничество подрывает доверие к картам, как платежному инструменту, выполним простой анализ. Средний человек на Западе использует свою карту для безналичных расчетов в среднем около 40 раз за год при характерном значении коэффициента использования карты, 0,1 в сутки. При сегодняшнем уровне мошенничества, равном примерно 10 bp, вероятность того, что очередная операция по карте выбранного нами господина завершится фродом, равна p = 0,001. В действительности, эта вероятность ниже, поскольку по скомпрометированной тем или иным способом карте проводится несколько операций и, кроме того, средний размер мошеннической операции выше, чем обычной. Однако для целей иллюстрации такая оценка вероятности того, что выполненная операция оказывается мошеннической, вполне подходит.

Тогда за 10 лет пользования картами держатель карты выполнит N = 400 безналичных покупок и вероятность того, что этот человек пострадает от карточного мошенничества при нынешнем уровне фрода, равна PF = 1− (1− р)N, близка к 0,33. Другими словами, примерно каждый третий из тех, кто пользуется картами уже 10 лет, при нынешнем уровне фрода пострадает от карточного мошенничества.

Выбранный нами для изучения держатель карты живет не в безвоздушном пространстве. Его окружают родные, друзья, коллеги. Если посчитать, что близкое окружение держателя карты состоит из 10 человек, то отсюда последует, что вероятность того, что хотя бы один человек из окружения пострадает, больше 0,98 (N = 4000).

Другими словами, большинство из нас знает о карточном мошенничестве не из книг и журналов, а из личного опыта. Конечно, такое близкое знакомство с карточным мошенничеством не станет поощрять нас к более интенсивному использованию своей пластиковой карты. Как следует из проведенных в США опросов 41 % американских держателей карт покупают меньше или вовсе избегают покупок через Интернет с помощью пластиковой карты! Поэтому безопасность операций по пластиковым картам является краеугольным камнем развития карточной индустрии, и этой проблеме уделяется значительное внимание со стороны платежных систем и банков.

Абсолютный размер карточного мошенничества очень грубо можно оценить следующим образом. В 2003 г. оборот по торговым операциям в платежных системах Visa и MasterCard составлял соответственно 2,5 и 1,3 трлн долл. Поскольку на эти две ведущие платежные системы приходится 85 % всего мирового торгового оборота по пластиковым картам, то весь торговый оборот по пластиковым в 2003 г. составлял примерно 4 трлн долл. С учетом уровня мошенничества (7-11 bp) легко получить, что абсолютный размер карточного фрода равнялся примерно 3–4 млд долл. в год.

Однако, это только видимая часть мошенничества. Как показывает опыт, значительная доля мошенничеств не попадает в отчеты платежных систем, поскольку банки, пытаясь защитить свою репутацию, часто не заявляют о случившемся фроде в платежные системы.

По данным консалтинговой компании Frost&Sullivan потери банков от карточного мошенничества в 2005 г. составили 7,9 млрд долл. По прогнозам компании к 2009 г. этот показатель вырастет до 15.5 млрд долл. в год. Некоторые эксперты считают оценки Frost&Sullivan завышенными, но в том, что размер потерь по порядку составляет несколько миллиардов долларов, никто не сомневается.

Помимо прямых финансовых потерь банки несут косвенные потери (уход клиентов, уменьшение оборотов, сокращение привлеченных средств из-за удара по репутации банка — теряется доверие к финансовым продуктам банка). В мире карты эмитируют более 20 тысяч банков. В каждом из них имеется отдел, занимающийся карточной безопасностью. Даже если средний бюджет одного такого отдела составляет 60 тыс. долл. в год, банки ежегодно тратят только на содержание таких отделов более миллиарда долларов.

Мы уж не говорим о затратах банков на покупку специального программного обеспечения, криптографических модулей, затратах на коммуникации (в случае отсутствия фрода все транзакции можно было бы выполнять в оффлайновом режиме) и т. п.

В результате общие годовые потери от последствий карточного мошенничества и затраты на уменьшение этих потерь для банков оказываются значительно выше полученной выше оценки.

Особенности современного карточного мошенничества К характерным особенностям карточного мошенничества следует отнести:

• использование мошенниками самых современных аппаратных и программных средств, благодаря их доступности и закономерному падению стоимости этих средств. В соответствии с законом Мура удваивание производительности вычислительной техники, объема памяти, пропускной способности каналов связи происходит через каждые соответственно 18, 12 и 9 месяцев[156].;

• высокий профессиональный уровень криминальных структур (в них нередко рекрутируются бывшие сотрудники банков и процессинговых центров);

• интернациональный характер криминальных банд в области карточного мошенничества — банды имеют свои представительства во многих странах мира;

• постоянный поиск новых возможностей по реализации мошенничеств, в том числе постоянное «тестирование» на прочность процессинговых систем банков. Такое тестирование включает проверку наличия в банке системы мониторинга транзакций, анализ алгоритма проверки отдельных реквизитов карты, оценку надежности защиты баз данных реквизитов карт и т. п.;

• высокая гибкость и оперативность криминальных структур: быстрая реакция на обнаружение дыры в системе защиты банка. С момента обнаружения уязвимости до момента реализации атаки проходит несколько дней;

• концентрация внимания на небольшом числе эмитентов, состав которых постоянно меняется. На бытовом языке это означает использование атаки на банк, при которой объектом мошенничества становятся большие группы клиентов банка. Атака реализуется с использованием обнаруженной уязвимости в системе обработки транзакций банка. Для мошенников атака является наиболее эффективным средством достижения цели, поскольку за время с момента обнаружения атаки до момента ее устранения при массовом использовании клиентской базы банка мошенники могут получить для себя хороший результат;

• распределение мошенничеств по нескольким основным категориям (на четыре наиболее распространенных вида мошенничества, о которых будет рассказано ниже, приходится около 96 % всего фрода);

• миграция типов мошенничества с одних рынков на другие. После того как на одном рынке удается найти эффективные средства противодействия какому-то виду мошенничества, мошенники начинают использовать отлаженную мошенническую схему на других рынках;

• около 80 % всех мошенничеств приходится на онлайновые транзакции. Это объясняется желанием мошенников поскорее «опустошить» счет держателя карты (для этого используются операции на большие суммы, обрабатываемые в режиме реального времени) и означает, что онлайновый характер выполнения операции не является эффективным средством борьбы с фродом;

• рост числа мошенничеств через банкоматы;

• кредитные карты — главная цель мошенников. Особое внимание уделяется «золотым», «платиновым» и другим еще более привилегированным картам. Приведенные в таблице данные показывают, что уровень мошенничеств по кредитным картам примерно в 4 раза выше, чем по дебетовым (табл. 1)[157];

• платежные системы разбивают область своего присутствия на географические регионы, рынки которых имеют общие черты, хотя бы в силу своей географической близости. Оказывается, что внутристрановой (domestic) уровень мошенничества самый низкий, а межрегиональный — самый высокий (табл. 2–4).

Следует отметить, что переход банков на микропроцессорные карты приводит к миграции мошенничества в страны, где в основном развита «магнитная» инфраструктура приема карт. Это приводит к еще большей дифференциации уровней внутристранового фрода и остального фрода. Например, в Малайзии после перехода на чип уровень внутристранового фрода чуть превышает один базисный пункт, в то время как уровень фрода, приходящего из-за границы, составляет около 55 bp.

Основные виды мошенничества

Как отмечалось выше, мошенничества принято делить на две группы: мошенничества со стороны эмиссии карт и мошенничества со стороны обслуживания карт.

Мошенничества со стороны эмиссии

Основные виды мошенничества со стороны эмиссии:

• украденные (потерянные) карты (lost (stolen) cards);

• неполученные карты (not received items, NRI);

• поддельные карты (counterfeit);

• card not present-фрод;

• кража персональных данных держателя карты (ID theft). Украденные/потерянные карты. Самый старый и естественный вид мошенничества — держатель карты теряет карту сам либо ее у него крадут. До момента обнаружения пропажи и блокировки карты в системе проходит время, которым пользуются мошенники, в руках которых оказалась карта.

Долгое время этот вид мошенничества являлся самым популярным. Сейчас в Европе по данным крупнейших платежных систем на него приходится 25–30 % всего объема фрода.

Неполученные карты. Карты, украденные во время их пересылки из банка клиенту. Вся ответственность за мошенничество в этом случае лежит на эмитенте. По данным крупнейших платежных систем на этот вид мошенничества приходится 3,0–5,5 % всего объема фрода.

Поддельные карты. Этот вид мошенничества состоит в том, что мошеннику удается изготовить карту с реквизитами, совпадающими с реквизитами реальной карты настолько, что по поддельной карте можно выполнять операции, выдавая ее за реальную карту.

Подделка карт начиналась с технологии срезанных цифр карты и перестановки их местами. Потом стало практиковаться переэмбоссирование номера карты. С появлением и распространением электронных терминалов основным способом подделки карт стал скимминг (skimming) — перенос данных магнитной полосы реальной карты на другую карту, которую мошенники изготавливают сами или получают в результате кражи заготовок карт в банке или производящем заготовки карт предприятии.

Данные реальной карты мошенники чаще всего получают с помощью недобросовестного персонала магазина, который незаметно для держателя карты копирует содержимое магнитной дорожки карты с использованием специального устройства, имеющего считыватель магнитной полосы и способного хранить информацию о нескольких десятках карт.

В последнее время активно используются и другие способы кражи данных магнитной дорожки карт. В частности, в банкоматах мошенники используют накладной ридер, записывающий данные магнитной дорожки карт, а также видеокамеру или накладную клавиатуру для кражи значения ПИН-кода.

Еще 3–4 года тому назад в Европе подделка карт являлась самым распространенным видом мошенничества, на который по данным крупнейших платежных систем приходилось 34–37 % всего объема фрода. В связи с активной миграцией на микропроцессорные карты сегодня в Европе и Азиатско-Тихоокеанском регионе уровень мошенничества по поддельным картам существенно снизился.

Card not present-фрод. По определению CNP-транзакция (card not present) представляет собой операцию покупки по пластиковой карте, в момент совершения которой клиент лично не присутствует в точке продажи (торговом предприятии). В этом случае он сообщает торговому предприятию реквизиты своей карты (обычно номер карты, ее срок годности и значение CVV₂/CVC₂), необходимые для проведения авторизации, заочно (письмом, по телефону, сети передачи данных и т. д.).

Существуют три основных вида CNP-транзакций: рекуррентные платежи, MO (ТО) — транзакции и транзакции электронной коммерции (далее — ЭК). Под транзакцией электронной коммерции понимается CNP-транзакция, при совершении которой обмен данными между держателем пластиковой карты и торговым предприятием по реквизитам карты и платежа происходит через Интернет.

К 2010 г. прогнозируется, что среднемировая доля CNP-транзакций достигнет 40 % от всего торгового оборота в секторе B2C. При этом на операции электронной коммерции будет приходиться 60 % всего объема CNP-транзакций, из которых примерно 60 % операций будут оплачиваться с использованием пластиковой карты.

Сегодня на долю ЭК приходится около 18 % всех карточных операций «Покупка». Рост оборотов ЭК составляет около 40 % в год. Каждый десятый житель планеты является онлайновым покупателем.

Возможность совершить покупку заочно (при отсутствии покупателя в точке продажи) всегда являлась привлекательной как для покупателя, так и для продавца. Для покупателя — из-за удобства способа покупки (не выходя из дома, в любое время суток, в спокойном режиме без очереди и т. п.), для продавца — главным образом, благодаря возможности снижения накладных расходов на организацию торговли и возможности круглосуточно рекламировать свой товар широкой аудитории потенциальных покупателей.

На первом этапе развития «заочной» торговли наиболее распространенным способом заказа товара во время проведения покупки были почта, телеграф и телефон. Поэтому подобные транзакции получили название MO/TO [Mail Order (Telephone Order)] транзакций. Единственная проблема в то время состояла в организации расчетов за такие покупки. Продавцу хотелось заранее идентифицировать покупателя и убедиться в его кредитоспособности. С распространением пластиковых карт эта проблема в определенной степени решилась — у торговых предприятий появилась возможность получить относительно надежные гарантии кредитоспособности покупателя.

Относительность гарантии заключалась в том, что при заочных покупках вероятность мошенничества по кредитным картам становится недопустимо высокой. В связи с повышенным риском мошенничества по CNP-транзакциям, с одной стороны, и привлекательностью подобных операций с точки зрения торговых предприятий и, следовательно, обслуживающих их банков, с другой, платежные системы разрешают подобные операции, меняя при этом распределение ответственности за финансовый результат операции в случае возникновения мошенничества. Это изменение формулируется следующим образом: если транзакция электронной коммерции выполнена без использования надежной технологии, ответственность за мошенничество по таким операциям лежит на обслуживающем банке.

Сегодня под надежной технологией в международных платежных системах понимается обязательная онлайновая авторизация с использованием алгоритма 3D Secure[158]. При поддержке этой технологии торговым предприятием распределение ответственности по операции становится классическим: в случае корректного представления данных обслуживающим банком ответственность за результат операции несет эмитент.

Уровень мошенничеств по CNP-транзакциям в мире составляет примерно 70 базисных пунктов (в Европе 25–35 базисных пунктов), т. е. на порядок выше, чем в среднем по карточному бизнесу. По признанию международных платежных систем 80 % всех отказов от платежей (chargeback) в карточной индустрии приходится на операции электронной коммерции.

Для совершения мошенничества в случае CNP-транзакции, для обработки которой не используется протокол 3D Secure, достаточно знать самые простые реквизиты карты — ее номер, срок действия и, возможно, значение CVC₂/CVV₂. Поэтому для повышения безопасности по правилам платежных систем все CNP-транзакции должны выполняться только в режиме реального времени.

В ЭК отмечается высокий уровень латентности: по данным мирового банка до 80 % всех случившихся мошенничеств банками не объявляется. Даже если учитывать только объявленный фрод, то по данным крупнейших платежных систем в настоящее время в Европе на ЭК приходится около 25–30 % всего карточного фрода.

В связи с миграцией банковской эмиссии на микропроцессорные карты CNP-фрод становится объектом повышенного интереса со стороны криминальных структур. Как и прогнозировали эксперты, в странах, мигрировавших на чип, отмечается резкий рост мошенничества по транзакциям ЭК. Так в Великобритании в 2005 г. скорость годового роста CNP-фрода составила 21 %, а в абсолютном выражении на этот вид мошенничества пришлось 183,2 млн фунтов стерлингов, что почти в 2 раза превысило потери банков от поддельных карт и более чем в 2 раза — потери от использования украденных (потерянных) карт. В 2006 г. тенденция продолжилась, и CNP-фрод вырос на 16 % по сравнению с 2005 г. На него в 2006 г. уже приходилась половина всех потерь английских банков по карточным операциям! По данным APACS за первую половину 2007 г. рост CNP-фрода составил 44 % в сравнении с аналогичным периодом 2006 г., достигнув размера 137 млн фунтов стерлингов за шесть месяцев.

Кража персональных данных (ID theft). Кража персональных данных клиентов с целью их использования в карточных мошенничествах бывает следующих видов: мошеннические аппликации, перехват счета, Phishing, утечка информации из процессинговых центров (главным образом торговых предприятий), перехват данных при их передаче по сетям. Другими словами, при использовании этого вида мошенничества кража данных, достаточных для осуществления карточного фрода, производится без непосредственного использования карты (данные крадутся не с карты, как в случае скимминга).

Мошеннические аппликации (fraudulent applications): мошенник использует чужое удостоверение личности (найденное/украденное/подделанное) для подачи заявления на получение кредитной банковской карты с указанием адреса, по которому карта может быть легко и безопасно получена.

Перехват счета (account takeover): мошенник получает данные о реквизитах карты/счета, например, из оказавшихся в его распоряжении банковских стейтментов держателя карты, далее звонит в банк и сообщает об изменении своего адреса, а чуть позже запрашивает новую карту с доставкой ее по «новому» адресу.

Phishing и вирусные атаки (с целью получения персональных данных клиентов): злоумышленники по электронной почте рассылают держателям кредитных карт запросы якобы от банков с просьбой подтвердить или обновить персональную информацию клиентов, связанную с картами.

Кража данных в процессинговых центрах онлайновых магазинов в Интернете. Самый громкий скандал произошел в начале 2007 г., когда стало известно о крупнейшем в мире похищении клиентской базы данных. В результате утечки конфиденциальной информации более 45 млн человек, воспользовавшихся пластиковыми картами при оплате покупок в более чем 2,5 тыс. магазинах компании TJX, расположенных в США и Великобритании, могут стать жертвами мошенников.

Самое интересное в «похищении века» заключается в том, что оно было совершено еще летом 2005 г., но в течение полутора лет хакерская атака оставалась незамеченной экспертами компании. Утечка вскрылась только в конце прошлого 2006 г., и в декабре 2006 г. TJX уведомила американские власти о том, что украдена информация по 45,7 млн кредитных карт, использованных в магазинах компании между 31 декабря 2002 г. и 23 ноября 2003 г. В распоряжении мошенников оказались также анкетные данные 455 тыс. клиентов, возвративших купленные товары.

Не исключено, что хакеры похитили информацию и по транзакциям, совершенным позже. Быть уверенными в своей защите могут только клиенты, совершавшие покупки после 18 декабря 2005 г., когда компьютерная сеть TJX была проверена специалистами General Dynamics и IBM, которые и раскрыли факт похищения. Полиция считает, что хакеры перепродали информацию другим мошенникам. Известны случаи массового мошенничества по картам, информация по которым была украдена в TJX. Известно также, что американские банки к середине 2007 г. перевыпустили более 200 тыс. карт для своих клиентов в связи с инцидентом, связанным с TJX.

Утечка информации через недобросовестных сотрудников процессинговых центров и банков. По статистике источником 20 % всех финансовых потерь банка являются нечестные сотрудники, 10 % — обиженные сотрудники, 55 % — халатность персонала, только 9 % — внешние атаки.

Перехват данных при их передаче (беспроводные соединения, подключение мошенников к выделенным линиям связи). Этот способ кражи персональных данных является сегодня достаточно редким, поскольку его эффективность невысока (высокая стоимость кражи данных одного клиента).

Другой способ «электронной» кражи персональных данных — использование специальных программ-шпионов (spyware). Такие программы умеют читать, записывать и удалять файлы на персональном компьютере клиента, изменять компьютерные настройки, в том числе отвечающие за сетевой доступ к компьютеру, тем самым, открывая хакерам доступ к содержащейся в нем информации. Программы-шпионы могут переформатировать компьютерный диск, сканировать изменения в файлах, следить за набираемыми на клавиатуре данными с целью кражи паролей. Во время сетевых сессий компьютера эти программы передают собранную ими информацию интересующейся ею стороне.

Формы существования программ-шпионов многообразны. Это и небольшие дополнительные программки (adware), используемые поставщиками в своем программном обеспечении в маркетинговых целях (для этого создаются целые сети adware networks), и троянские кони, и интернетовские cookies и т. п.

Мошенничества со стороны обслуживания карт

Приведем основные виды мошенничества второй группы (со стороны обслуживания карт):

• повторный ввод операции (multiple imprints, electronic data capture fraud, включая PAN Key Entry — транзакции);

• изменение содержимого слипов (altered sales drafts);

• перехват счета магазина (account takeover);

• использование отчетности легально существующего торгового предприятия (laundering);

• мошенничества в банкоматах.

Повторение слипов и (или) изменение содержимого слипов. Недобросовестные сотрудники торгового предприятия делают на импринтере более одного отпечатка карты (multiple imprints), используя их в дальнейшем для генерации новых платежных документов, или изменяют значения размера транзакции уже после того, как клиент подписал слип (altered sales drafts).

Electronic Data Capture Fraud. То же, что и повторение слипов, только с использованием электронных POS-терминалов. Особенно распространен способ PAN key entry, при котором в авторизационном запросе к эмитенту информация магнитной дорожки карты не предоставляется (представлены только номер карты, срок ее действия и, возможно, значение CVV2/CVC2).

Перехват счета. «Перехват» счета магазина (Merchant Account Takeover). Мошенники имеют все необходимые данные магазина (название, имена руководства, идентификатор торгового предприятия и т. п.) и, возможно, торговые слипы. Далее следует письмо (звонок) в банк, извещающее об изменении расчетного счета магазина. В результате возмещения по операциям, выполненным в реальном торговом предприятии, попадают на счета мошенников. По данным Visa средние потери банка от подобного мошенничества составляют примерно 100 тыс. долл.

Использование отчетности легально существующего торгового предприятия (laundering). В этом случае магазин A некоторой платежной системы предоставляет возможность магазину B, не имеющему договора с каким-либо банком на прием карт этой платежной системы, обычно за определенную комиссию, принимать карты данной платежной системы. При этом если B — мошенник, то A по прошествии некоторого времени остается один на один с отказами от платежей, пришедшими по операциям, якобы совершенным магазином B. По данным Visa потери магазина A в среднем составляют около 500 тыс. долл.

Мошенничества в банкоматах. До сих пор речь шла о мошенничестве в торговых предприятиях. В последнее время стало появляться все больше сообщений о случаях мошенничества с использованием банкоматов. Операции через банкоматы характеризуются повышенной безопасностью, поскольку авторизация таких операций осуществляется эмитентом в онлайновом режиме с обязательной проверкой персонального идентификатора (PIN-кода) держателя карты. Факт повышенной безопасности операций через банкоматы подтверждается и статистикой — объем мошенничеств через банкоматы на порядок ниже аналогичного показателя для торговли.

И все-таки последние сообщения платежных систем говорят о том, что мошенники постепенно подбираются и к банкоматам. В 2004 г. потери только банков Великобритании от мошенничества, связанного главным образом со скиммингом в банкоматах, составили 75 млн фунтов стерлингов (около 15 % всего карточного мошенничества в стране). Правда, в 2005 г. и 2006 г. уровень банкоматного мошенничества в Великобритании снижался, достигнув в 2006 г. отметки в 61,9 млн фунтов стерлингов. Но и этот уровень примерно в 1.5 раза выше уровня 2003 г., т. е. говорить о том, что проблема с банкоматным фродом стабилизировалась, преждевременно.

В соответствии с данными EAST (European ATM Security Team) потери европейских банков в 2006 г. от скимминга через банкомат, трэппинга и спровоцированных возвратов составили в прошлом году 306 млн евро.

О краже данных пластиковой карты и ПИН-кода через банкомат с помощью накладного ридера и миниатюрной видеокамеры (накладной клавиатуры) с последующим выпуском белого пластика уже говорилось выше. Под трэппингом (trapping) понимается мошенничество, в соответствии с которым на ридер банкомата устанавливается устройство, препятствующее извлечению карты из банкомата после выполнения транзакции. Карту потом извлекает мошенник, которому к тому же к этому моменту известен ПИН-код держателя карты (с помощью видеокамеры или иным более изощренным способом).

Иллюстрацией трэппинга является мошенничество, известное как «ливанская петля». Почти цирковой способ мошенничества, при котором ничего не подозревающий держатель карты засовывал ее в заранее «обработанный» мошенником банкомат. Суть «обработки» банкомата состояла в том, что в прорезь карт-ридера банкомата вставлялся кусок фотопленки, концы которого незаметно укреплялись на внешней стороне банкомата. Фотопленка после совершения операции не давала возможность карте выйти из карт-ридера. Мошенник оказывался неподалеку и предлагал держателю карты свою помощь. Он рекомендовал ему вновь ввести свой PIN-код, а когда из этого ничего не получалось, вводил его сам со слов держателя, утверждая, что уже видел такие случаи раньше и при повторном вводе PIN-кода карта должна выйти из банкомата. Карта, конечно, не возвращалась, а мошенник советовал ее держателю придти на следующий день в банк (махинация проводилась в часы, когда отделение банка уже не работало), и тогда карта ему будет обязательно возвращена. После ухода держателя карты мошенник извлекал пленку вместе с картой из банкомата и опустошал счет держателя карты.

Метод спровоцированного возврата заключается в том, что мошенники извлекают из банкомата не все выданные банкоматом деньги, а только их часть. Оставленные мошенниками средства по тайм-ауту возвращаются банкоматом в диверт-кассету. После этого банкомат инициирует возврат средств. Иногда программное обеспечение банкомата (обслуживающего банка) не способно поддерживать частичный возврат (partial reversal) и в результате на счет клиента возвращается вся заказанная им сумма.

Существуют и другие виды мошенничества с использованием банкоматов. Например, в результате физического взлома банкоматов с целью извлечения из них денежных средств, грабежей инкассаторов и держателей карт, получивших деньги в банкомате, в прошлом году в Европе было потеряно около 28 млн евро. Более подробно о мошенничестве через банкоматы см. далее.

Методы защиты для карт с магнитной полосой в проекции на отдельные виды мошенничеств

Цель настоящего раздела состоит в том, чтобы показать читателю, что, несмотря на многообразие методов, в случае карт с магнитной полосой не существует эффективного универсального решения для защиты банка (держателя карты) от мошенничества.

Сегодняшние эмитенты карт с магнитной полосой используют комплексный подход для борьбы с фродом, состоящий из следующих элементов защиты:

• утвержденной руководством банка и доведенной до заинтересованных подразделений политики эмиссии карт, описывающей эмитируемые банком карточные продукты, их потребителей, процедуры обработки заявлений клиентов, доставки и выдачи карт, средства и системы защиты банка от мошенничеств, распределение ответственности между подразделениями банка, поведение персонала и руководства банка в случае обнаружения атак и т. п.;

• установки необходимых проверок в системах авторизации транзакций банка;

• поддержания стоп-листов скомпрометированных карт;

• системы мониторинга транзакций, позволяющих определить подозрительные транзакции;

• предоставления платежной системе отчетности о случаях мошенничества по картам банка;

• работы с клиентами банка;

• предоставления клиентам банка услуги смс-уведомлений о выполненных по карте клиента операциях.

Большое значение для борьбы с мошенничеством имеет работа эмитентов с держателями карт и обслуживающих банков с торговыми предприятиями.

Рассмотрим, каким образом перечисленные элементы защиты банка помогают справиться с карточным фродом.

Украденные (потерянные) карты

Для борьбы с этим видом мошенничества используются следующие элементы защиты:

• блокировка карты в системе эмитента с выдачей кода ответа о необходимости захвата карты; этот метод является особенно эффективным для дебетовых карт, операции по которым происходят только в режиме реального времени;

• помещение карты в стоп-листы платежной системы, рассылаемые обслуживающим банкам, а также в стоп-листы резервных систем авторизации; этот элемент защиты особенно полезен в случае, когда украденная карта является кредитной и по ней возможна авторизация в оффлайновом режиме без обращения к эмитенту;

• размещение на обратной стороне карты фотографии ее держателя; этот элемент защиты основан на использовании психологического фактора — мошенник испытывает дискомфорт при обращении с подобной картой в торговое предприятие, понимая, что кассир может поинтересоваться, почему на карте помещена чужая фотография;

• использование средств мониторинга транзакций, которые позволяют определить изменение «рисунка» операций по картам пострадавшего клиента (чтобы обойти возможные средства борьбы с кражей карты со стороны эмитента, мошенник пытается поскорее воспользоваться картой и снять находящиеся на ней денежные средства) и обратиться к клиенту для получения разъяснений о причинах такого изменения;

• использование смс-уведомлений по карточным операциям; такие уведомления могут помочь клиенту обнаружить факт пропажи/кражи карты.

Борьбе с этим видом мошенничества способствуют общие тенденции карточного рынка по более интенсивному использованию онлайновых авторизаций, а также увеличению доли дебетовых карточных продуктов.

Очевидно, что все перечисленные методы, взятые в совокупности, не предоставляют 100 %-ной гарантии того, что фрода удастся избежать. Это связано с тем, что с момента обнаружения этого вида мошенничества до момента «включения» элементов защиты уходит несколько дней, которых бывает достаточно для того, чтобы опустошить счет, связанный с украденной (потерянной) картой.

Неполученные карты

Помимо средств, описанных в предыдущем разделе, для борьбы с этим видом мошенничества дополнительно используются следующие элементы защиты:

• выпуск карт в заблокированном состоянии со статусом «новая карта» (new card), и их разблокировка клиентами либо в отделениях и банкоматах с помощью специальной операции разблокировки, требующей от клиента знания ПИН-кода, либо через телефонные звонки по кодовому слову (например, девичьей фамилии матери);

• выдача карт через отделения банка и использование специализированных курьерских служб вместо обычной почты для доставки карт из центра их персонализации в отделения банка.

Выпуск карт в заблокированном виде является наиболее эффективным методом борьбы с рассматриваемым видом мошенничества.

Поддельные карты

Сегодня различают два способа подделки карт. Первый способ (подделка с чистого листа) состоит в подборе мошенниками правильного набора реквизитов карты (реквизитов, совпадающих с реквизитами одной из эмитированных банком карт), состоящих из номера карты, срока действия карты и значения CVC/CVV или CVC₂/CVV₂. В этом случае эффективными являются следующие элементы защиты:

• генерация номеров карт по случайному закону;

• расширенная проверка срока действия карты;

• CVV/CVC, CVV₂/CVC₂.

Поясним смысл этих элементов защиты. Обычная проверка срока действия карты состоит в том, что номер карты, нанесенный на магнитную полосу или эмбоссированный на передней панели карты, сравнивается с текущей датой. При расширенной проверке помимо обычной проверки с текущей датой значение срока действия карты проверяется на равенство со значением срока действия карты в базе данных процессингового центра банка. Таким образом, мошеннику требуется угадать точное значение срока действия карты. Поскольку карта обычно выпускается сроком на 2 года, вероятность подбора точного значения ее срока действия равна ¹/₂₄.

Генерация случайных номеров карт позволяет защитить эмитента от подбора мошенником правильного номера карты. Обычно номер карты состоит из 16 цифр, из которых первые 8 представляют собой префикс карты, используемый для идентификации банка и его филиала. Последняя цифра номера карты является функцией от первых 15 цифр (вычисляется по правилу luhn check parity). Поэтому остается 7 независимых цифр номера карты, использование которых позволяет банку эмитировать до 10 млн карт. Этот диапазон карт можно заполнять с любой заранее заданной максимальной плотностью заполнения X. Под плотностью заполнения понимается отношение количества выпущенных карт ко всему диапазону возможных значений номеров карт (10 млн карт). Если при этом номера карт генерируются по случайному закону, то вероятность того, что мошенник, выбирая наугад какой-то номер карты, угадает его, не превышает максимальную плотность заполнения диапазона номеров карт. Очевидно, это увеличивает накладные расходы мошенника, тем самым снижая его привлекательность подделки. Таким образом, использование эмитентом генерации случайных номеров карт, проверки CVC/CVC₂, расширенной проверки срока действия карты требует от мошенника (не знающего реквизитов карт) перебрать n =^{(24 × 1000)}/_X = ²⁴⁰⁰⁰/_X различных сочетаний реквизитов карты, для того чтобы с вероятностью 1 добиться успеха. При X = 1 требуется перебрать 24 000 различных значений, а при X = 0,1 — 240 000,0 вариантов. Это делает практически неинтересным для мошенника попытки подбора правильных реквизитов карт. Получается, что стоимость подбора выше потенциальной добычи. Вероятность того, что правильные реквизиты карты будут определены за k попыток (k ≤ n), равна в нашем случае k/n. Поэтому чтобы обеспечить высокую вероятность достижения успеха, мошеннику придется перебрать порядка n различных комбинаций реквизитов карты.

Другой сегодня самый распространенный подход к созданию поддельных карт основывается на скимминге — краже мошенниками данных магнитной полосы реальной карты и, возможно, ПИН-кода ее держателя во время выполнения операции с использованием этой карты. В данном случае к элементам защиты эмитента следует отнести:

• проверку соответствия имени банка и префикса карты (например, с использованием директории VISA interchange directory); мошенники пользуются только доступной им информацией о карте и имеющимися под рукой заготовками карт;

• поддержку стоп-листов имен «держателей» поддельных карт; опыт показывает, что мошенники используют весьма ограниченный набор таких имен; поэтому дополнительная проверка держателя карты с именем из стоп-листа может оказаться весьма целесообразной;

• средства мониторинга транзакций;

• SMS-оповещения о выполненных по карте операциях;

• обучение персонала торгового предприятия;

• обучение держателей карт — любая информация о карте является ценной для мошенников, поэтому реквизиты карты нужно охранять; нельзя оставлять карту без персонального контроля; обучение тому, как вести себя с чеками и стейтментами и т. д.;

• на уровне платежных систем — определение точек компрометации Common purchase point реквизитов карт и использования украденных реквизитов (collusive merchants).

Коротко остановимся на обучении персонала торговых предприятий. С точки зрения безопасности банк должен провести обучение персонала торгового предприятия по следующим вопросам:

• как определить, принимает ли торговое предприятие данную карту;

• как визуально проверить подлинность карты;

• как хранить и обрабатывать слипы;

• как использовать «код ответа 10» (специальный код ответа, используемый в случае голосовой авторизации, когда покупатель показался продавцу подозрительным);

• как реагировать на ответ «захватить карту» и что делать с захваченной картой.

Очень важной с точки зрения безопасности операции является визуальная проверка продавцом подлинности карты. Анализ фрода показал, что в большинстве случаев мошенничества, связанного с подделкой карт крупнейших платежных систем VISA и MasterCard, можно было бы избежать, если бы продавец выполнял следующие визуальные проверки карты:

• на наличие 4 напечатанных цифр под (над) эмбоссированным номером карты;

• на наличие микропечати VISA по периметру логотипа карты VISA;

• на наличие голубя на картах VISA и букв M и C на картах MasterCard, появляющихся при облучении карты ультрафиолетом;

• при наклоне голограммы карты VISA должен появиться летящий голубь, а карты MasterCard — надпись «MasterCard».

• сравнение номера карты на чеке терминала и на карте;

• на наличие эмбоссированных секретных символов на карте (летящие буквы V и М).

Однако практика показала, что эти проверки торговыми точками зачастую не производятся. В результате платежные системы отказались от использования эмбоссированных секретных символов, а также некоторых видов микропечати.

К сожалению, скимминг является чрезвычайно эффективным способом подделки карт, и технология карт с магнитной полосой не может предложить эффективных универсальных методов борьбы с ним. Например, под кураторством MasterCard была разработана технология MagnePrint, суть которой состоит в следующем. Магнитная полоса карты состоит из миллиардов крошечных частиц определенного размера и расположения, создающих естественный уникальный шум при считывании магнитной полосы. Этот шум не может быть подделан и используется в технологии MagnePrint для аутентификации карты. Шум кодируется в элемент данных длиной 54 байта и хранится в системе эмитента. Компания MagTek изготовила карт-ридеры, способные считывать шум.

Слабость метода состоит в том, что элемент данных, кодирующий шум, является статическим. Поэтому фрод, по-прежнему, возможен из торговых точек, нацеленных на мошенничество. Кроме того, метод работает только в случае онлайновой авторизации транзакции.

В результате в начале третьего тысячелетия стало ясно, что в основе наиболее эффективных способов борьбы с поддельными картами лежит технология микропроцессорных карт. При этом неважно, где располагается микропроцессор — на пластиковой карте, в сотовом телефоне или ином устройстве, находящемся в руках клиента банка.

Электронная коммерция (CNP)

На сегодняшний день ведущие платежные системы поддерживают единственный протокол безопасной электронной коммерции — 3D Secure (в платежной системе Visa этот протокол продвигается под брэндом Verified by VISA, а в системе MasterCard — под брэндом MasterCard SecureCode). По мнению экспертов, повсеместное использование этого протокола торговыми предприятиями, обслуживающими банками и эмитентами карт уменьшит фрод в области электронной коммерции не менее чем на 80 %, доведя его до уровня ниже 5–7 базисных пунктов.

Требования международных платежных систем к безопасности операций ЭК формулируются следующим образом:

• должна обеспечиваться взаимная аутентификация участников электронной покупки (покупателя, торгового предприятия и его обслуживающего банка);

• реквизиты платежной карты (номер карты, срок ее действия, CVC₂/CVV₂, и т. п.), используемой при проведении транзакции ЭК, должны быть конфиденциальными для торгового предприятия;

• невозможность отказа от операции для всех участников транзакции электронной коммерции.

К сожалению, первый безопасный протокол электронной коммерции Secure electronic transaction (SET), удовлетворяющий всем перечисленным выше требованиям, сегодня платежными системами больше не поддерживается. Это связано с дороговизной и сложностью внедрения протокола SET.

Для стимулирования внедрения протокола 3D Secure платежные системы ввели сдвиг ответственности, называемый merchant only liability shift, в соответствии с которым при поддержке торговой точкой протокола 3D Secure ответственность за мошенничество в ЭК, связанное с отказом держателя карты от совершения операции, возлагается на эмитента. В платежной системе Visa ответственности merchant only liability shift носит глобальный характер. В MasterCard сдвиг ответственности merchant only liability shift касается всех регионов за исключением Северной Америки (США и Канада), в которой ответственность за результат операции возвращается к эмитенту только в случае поддержки 3D Secure всеми участниками транзакции ЭК — онлайновым магазином, обслуживающим банком и банком-эмитентом (так называемая full authentication-авторизация).

Напомним, что для CNP-транзакций без использования защищенного протокола ответственность за мошенничество возлагается на обслуживающий банк. Таким образом, в случае использования торговой точкой 3D Secure восстанавливается нормальное распределение ответственности, характерное для платежных операций других типов.

Протокол 3D Secure с точки зрения обеспечиваемой им защиты значительно слабее протокола SET. Он в общем случае не обеспечивает аутентификации держателем карты торгового предприятия и прозрачности данных о реквизитах карты для торгового предприятия. В то же время он проще при внедрении и аппаратно-программные решения, реализующие 3D Secure, существенно дешевле аналогичных решений для протокола SET.

Наиболее серьезной проблемой безопасности протокола 3D Secure является его беззащитность от атак типа «man-in the-middle». Например, при использовании держателем карты протокола 3D Secure мошеннические онлайновые магазины могут применять следующую процедуру компрометации пароля держателя карты (рис. 2). Merchant plug-in (MPI) мошеннического магазина, получив ответ VERes, содержащий динамический адрес (URL) страницы аутентификации сервера эмитента Access control server (ACS), направляет запрос на аутентификацию держателя карты PAReq не по указанному адресу, а на адрес своего SSL-сервера. Затем SSL-сервер перенаправляет данный запрос на URL ACS эмитента карты, тем самым, «изображая» для ACS компьютер держателя карты. В результате ACS принимает ложный сервер за персональный компьютер держателя карты и передает на ложный сервер свою страничку, предназначенную для аутентификации держателя карты. Эта страничка содержит сообщение Personal Assurance Message, с помощью которого в схеме 3D Secure клиент аутентифицирует свой банк (точнее сервер ACS своего банка). Обладая страничкой для аутентификации, мошеннический сервер теперь может играть роль ACS для настоящего клиента банка, запрашивая у последнего значение статического пароля.

Чтобы защититься от подобных краж статических паролей, были предложены различные схемы генерации и использования динамических паролей или, как их еще называют, разовых паролей (One time password (OTP). Примером распространенного в банковской сфере алгоритма генерации OTP является метод Chip authentication program (CAP) разработанный MasterCard и принятый для использования в рамках Visa под брендом Dynamic passcode authentication (DPA).

Для реализации метода CAP клиент должен обладать микропроцессорной картой с EMV-приложением, а также специальным картридером, способным инициировать генерацию пароля OTP и отображать его значение, состоящее из 8 цифр, на дисплее ридера (иногда ридер и карта совмещаются в одном физическом устройстве). Такой ридер может стоить несколько евро (10–15 евро в зависимости от производителя и объема закупаемой партии устройств). Помимо дополнительных расходов на обеспечение ридерами держателей карт, другим недостатком такого подхода является тот факт, что за картридером клиенту необходимо придти в банк, а, кроме того, для совершения операции ридер нужно иметь под рукой, что не всегда удобно, поскольку размеры устройства значительно превышают размеры банковской карты, и в бумажнике такой ридер не помещается.

На этом фоне сотовый телефон, являясь наиболее массовым мобильным устройством, используемым населением планеты (по результатам 2005 г. во всем мире обращалось более 2 млрд сотовых телефонов, а к 2010 г. это устройство будут иметь примерно 3 млрд потребителей), давно привлекал внимание исследователей в качестве потенциального универсального инструмента аутентификации. Тем более, что возможности мобильных телефонов как с точки зрения их вычислительных способностей, поддерживаемых коммуникаций, так и с точки зрения функциональности, постоянно растут.

Тем не менее, на сегодняшний день существуют сложности в использовании мобильного телефона в качестве инструмента аутентификации. Они заключается в следующем. Известно, что по-настоящему защищенным местом хранения конфиденциальной информации на телефоне является SIM-карта (некоторые модели телефонов обладают отдельным микропроцессором, выполняющим функцию элемента безопасности-security element; но таких моделей на рынке мало). Однако загрузить информацию на SIM-карту можно только с разрешения контролирующего ее оператора сотовой связи. При этом, даже если последний разрешит загрузку и использование конфиденциальной информации клиента на SIM-карте, единственно возможным способом реализовать это на практике является предварительная загрузка данных на SIM-карту в процессе ее персонализации силами оператора или уполномоченного им центра персонализации. Удаленная персонализация SIM-карты по технологии over-the-air (OTA-GSM 03.48), предназначенная для загрузки данных и приложений на SIM-карту и поддерживаемая всеми Java-картами, персонализированными с поддержкой профиля OTA profile, на практике фактически не используется, поскольку в этом случае банк должен делить свою конфиденциальную информацию с сотовым оператором. Дело в том, что процедура загрузки данных по технологии OTA сегодня находится под полным контролем оператора мобильной связи.

То же самое касается и технологии, основанной на использовании протокола Security and trusted services API (SATSA, JSR177), позволяющей мидлету пользоваться процедурами и данными, загруженными на SIM-карту, поддерживающую Java Card (таких SIM-карт сегодня большинство). Помимо того, что спецификация JSR177 является опциональной для профиля MIDP 2.0 платформы J2ME, и потому сотовыми телефонами практически не поддерживается, по-прежнему, со стороны сотового оператора требуется авторизация доступа мидлета к приложениям карты с использованием SATSA.

В то же время MasterCard выпустил спецификацию MasterCard mobile authentication (MMA), в основе которой лежит схема CAP, реализуемая мидлетом, загружаемым на Java-совместимый телефон. Напомним, что на входе алгоритма CAP задаются текущий номер операции (ATC), профиль приложения карты (AIP), на выходе — 8-значный цифровой разовый пароль, являющийся функцией от криптограммы AAC (authentication application cryptogram). Криптограмма формируется с помощью определенного в стандарте EMV алгоритма вычисления прикладной криптограммы. В этом алгоритме используется ключ двойной длины (112 битов) customer master key, который и является единственным секретом, передаваемым на мобильный телефон.

Для обеспечения конфиденциальности секретных данных мидлета (customer master key) при его загрузке на телефон используется алгоритм PBE (password-based encryption), реализованный в рамках стандартного пакета Bouncy Castle APIs for J2ME, который, в свою очередь, реализует стандартный интерфейс к криптографическим функциям, определенный MIDP (mobile information device profile). В общих словах профиль MIDP представляет собой открытый программный интерфейс к библиотекам J2ME на сотовых телефонах и других устройствах. При формировании ключа в алгоритме PBE (для шифрования данных применяется алгоритм 3DES) в качестве пароля используется мобильный ПИН-код клиента, в качестве величины Salt — номер телефона (MSISDN).

Мобильный ПИН-код придумывается клиентом и используется им каждый раз при инициализации мидлета на своем телефоне. Вводимое клиентом значение мобильного ПИН-кода необходимо для расшифрования ключа customer master key, который хранится в телефоне в зашифрованном виде. Поэтому при вводе неправильного значения ПИН-кода в результате расшифрования будет получено неверное значение ключа customer master key, а значит будет вычислено неверное значение криптограммы AAC и разового пароля. Последний факт будет зафиксирован на сервере аутентификации клиента.

Таким образом, надежность описанной схемы главным образом определяется секретностью мобильного ПИН-кода клиента. Если телефон попадает в руки мошенника, не знающего значение ПИН-кода, то после трех безуспешных попыток аутентификации (неверного значения вычисленной криптограммы) клиент будет заблокирован на сервере аутентификации, и дальнейшее использование мидлета станет невозможным.

Анализ схемы аутентификации с помощью мидлета показывает, что поскольку все криптографические вычисления в этом случае производятся процессором телефона, то теоретически, загрузив на телефон программу-шпиона, отслеживающего состояние памяти телефона и передающее информацию из оперативной памяти наружу, можно скомпрометировать значение ключа customer master key, а значит и схему в целом. На сегодняшний день список вирусов для сотовых телефонов состоит из 30–40 программ, в то время, как аналогичный список для персональных компьютеров составляет несколько сотен тысяч программ. При этом мы не очень боимся вводить на клавиатуре своего компьютера пароли для интернет-бэнкинга или для своей аутентификации при выполнении операций ЭК.

Обобщая сказанное выше, можно констатировать, что широкомасштабного внедрения протокола 3D Secure до сих пор не произошло. На середину 2007 г. протокол 3D Secure поддерживался более чем 115 тыс. онлайновых магазинов, примерно 400 обслуживающими банками и 3160 банками-эмитентами. Лидером по внедрению 3D Secure является Великобритания, на долю которой приходится более 31 тысячи онлайновых магазинов. В Европе находится примерно 65 % всех онлайновых магазинов, поддерживающих 3D Secure.

С точки зрения эмиссии для использования протокола только в платежной системе MasterCard зарегистрировалось более 20,5 млн держателей карт MasterCard и Maestro. Конечно, это очень малая доля (несколько процентов) держателей карт с точки зрения общего количества карт этой платежной системы. Можно говорить, что именно медленное внедрение эмиссионной части протокола является главной причиной повышения безопасности операций ЭК.

В то же время по данным MasterCard в июле 2007 г. примерно 22 % всех операций ЭК в Европе производилось в магазинах, поддерживающих 3D Secure. При этом, в примерно 6 % всех операций 3D Secure поддерживался как со стороны торговых предприятий и обслуживающих банков, так и со стороны эмитентов карт.

Многие обслуживающие банки (онлайновые магазины) применяют в своих системах дополнительные проверки при обработке транзакций ЭК. К таким проверкам относятся:

• проверка адреса держателя карты (address verification system); предоставление для проверки эмитенту значений CVV₂/CVC₂;

• проверка количества транзакций, выполненных с некоторого IP-адреса (IP address frequency check);

• контроль количества транзакций, выполненных по карте в течение определенного промежутка времени (card number frequency check);

• проверка на совпадение страны адреса доставки товаров со страной, резидентом которой является банк, выдавший карточку (country match). Страна, резидентом которой является банк, определяется по значению идентификационного номера банка (bank identification number, или BIN);

• проверка IP-адреса (или сетки адресов), с которого была инициирована транзакция, на предмет его нахождения в черном списке (block IP address);

• проверка местоположения держателя карты (по IP-адресу его Интернет-провайдера) с географией доставки товаров (geolocation);

• отсев карт по некоторым ВШам банков (block bank BINs);

• отсев транзакций, поступающих с анонимных прокси-серверов (block proxy);

• отсев транзакций, при совершении которых были указаны адреса электронной почты из определенных доменов, например доменов, которые предлагают услуги бесплатной электронной почты (block proxy);

• проверка номера карты на ее присутствие в черном списке (negative database);

• использование открытых ресурсов, хранящих черные списки реквизитов мошеннических карт (например, CyberSource Negative Database and Scoring System, SharedGlobal Negative Database and Scoring System), а также осуществляющих аутентификацию держателя карты по номеру его телефона (MyVirtualCard).

Первые две проверки из приведенного выше списка рекомендуются платежными системами. Так VISA считает, что использование проверки CVV₂ уменьшает вероятность фрода более чем на 60 %. Сегодня платежные системы предпринимают шаги к тому, чтобы обязать эмитентов проверять значения CVC₂/CVV₂, полученные из авторизационных запросов, в своих процессинговых системах, а высокорискованные торговые предприятия (например, онлайновые казино) вставлять в авторизационные запросы значения этих криптовеличин.

Исследования компании ClearCommerce (США) относительно оценки эффективности использования системы AVS показывают, что только 40 % транзакций успешно проходят эту проверку при том, что доля мошеннических среди них менее процента. С другой стороны, при использовании AVS 35 % мошеннических операций успешно преодолевают эту защиту.

Кроме перечисленных выше проверок онлайновые магазины иногда обращают внимание на следующие факты, повышающие вероятность мошенничества:

• клиент впервые обслуживается в магазине;

• размер операции выше обычного для магазина значения;

• заказ состоит из большого количества одинаковых предметов;

• транзакции выполняются по картам с похожими номерами;

• адрес доставки заказа один и тот же для покупок, совершенных по разным картам;

• несколько транзакций по одной карте в течение короткого интервала времени;

• несколько транзакций, выполненных по различным картам с одним адресом доставки выписок (billing address), но разными адресами доставки товаров;

• транзакция, которую клиент хочет оплатить более чем одной картой.

У магазина (особенно MO (TO) — магазина) могут быть и другие причины для сомнения — нерешительность держателя карты в предоставлении персональных данных, требование к срочности выполнения заказа, странный адрес доставки, незаинтересованность клиента в свойствах товара (например, в цвете) и т. д.

Другой ранее упоминавшийся аспект проблемы мошенничества для CNP-транзакций — кража данных о реквизитах карт с серверов главным образом онлайновых магазинов. Несмотря на запрет платежных систем, обслуживающие банки и торговые предприятия хранят в своих системах значения CVC₂/CVV₂, данные магнитной полосы карты, адреса, используемые в AVS, зашифрованные PIN-блоки. Онлайновые магазины оставляют в своих БД доступные им данные: номер карты, срок ее действия, иногда CVV₂/CVC₂ и адрес, используемый в системе AVS. Исследования, выполненные Visa USA, показали, что в США 37 % торговых предприятий, несмотря на запреты платежных систем, продолжают хранить в своих системах информацию по картам.

В результате при взломе сайтов онлайновых магазинов происходит компрометация данных карт различных эмитентов. Самыми показательными является случаи взлома сервера TJX и БД процессора CardSystems Solutions, в результате которых были потенциально скомпрометированы соответственно 45,7 и 40,0 млн карт.

Для повышения уровня защиты информации ведущие платежные системы в течение нескольких последних лет требовали от своих банков участия в программах VISA account information security и MasterCard site data protection. Эти программы требуют от банков контроля обслуживаемых ими онлайновых магазинов с точки зрения выполнения ряда требований безопасности. К таким требованиям безопасности относятся:

• поддержка на сервере торгового предприятия средств защиты сетевого доступа (firewall);

• шифрование конфиденциальных данных при их хранении и передаче;

• использование актуальных антивирусных программ;

• своевременное применение «заплат безопасности» в используемом программном обеспечении;

• использования процедур разграничения доступа к серверам и данным;

• выполнение постоянных аудитов систем безопасности онлайновых магазинов.

В конце 2004 г. в основу программ защиты данных двух ведущих платежных систем был положен стандарт Plastic card industry data security standard (PCI DSS). Стандарт включает в себя 12 требований верхнего уровня, которые должны удовлетворяться информационными системами любого (в том числе онлайнового) магазина или третьестороннего процессора. Эти требования перечислены ниже:

1. Для защиты сетевого доступа к серверам, хранящим карточную информацию, необходимо использовать специализированные аппаратно-программные средства Firewall. Настройки Firewall, определяющие разрешенный сетевой трафик, должны постоянно контролироваться.

2. Нельзя использовать значения по умолчанию паролей и других параметров безопасности в используемых магазином системах. Как пример для иллюстрации, использование дефолтных значений параметров протокола WEP, применяемого для обеспечения безопасности беспроводной радиосвязи Wi-Fi при использовании стандарта IEEE 802.11b приводит к тому, что большинство устройств этого стандарта на данный момент не поддерживают необходимого уровня безопасности.

3. Хранимые данные карты должны быть защищены (с помощью шифрования, хэширования или усечения хранимой информации). В системах торговых предприятий не должна храниться информация (даже в зашифрованном виде), используемая для аутентификации держателя карты (например, значения PVV, вторая дорожка магнитной полосы карты и т. п.).

4. Передаваемые по сети данные держателя карты должны быть надежно зашифрованы (допускается использование симметричных алгоритмов 3DES с ключом не менее 112 битов, AES с длиной ключа 256 битов и асимметричного алгоритма RSA с длиной ключа 1024 битов).

5. Необходимо использовать и регулярно обновлять антивирусное программное обеспечение.

6. Необходимо уделять внимание обнаружению и устранению уязвимостей в используемом магазином программном обеспечении (вовремя использовать модификации ПО, устраняющие обнаруженные уязвимости, установить процесс тестирования разработанного своими силами ПО на предмет обнаружения уязвимостей, использовать лучшие практики разработки нового ПО и т. п.).

7. Использовать ограничение доступа сотрудников торгового предприятия только к функциям и информации, необходимым им по роду деятельности.

8. Каждый пользователь системы процессинга магазина должен иметь уникальный идентификатор, используемый для его аутентификации внутри системы. Уникальность идентификатора позволяет не только обеспечить разграничение доступа в системе, но и позволяет отслеживать действия всех сотрудников в информационной системе магазина.

9. Физический доступ сотрудников магазина к серверам, хранящим базы данных карт, должен быть ограничен. Это позволяет избежать возможности записи информации на внешние носители, замены и кражи оборудования, хранящего чувствительную информацию. Физический доступ должен быть ограничен и к телекоммуникационным ресурсам, через которые возможен доступ к серверам (в частности, к точкам доступа беспроводной связи).

10. Необходимо выполнять мониторинг доступа к Базам данных карт, используя механизмы логирования активности пользователей системы, связанной с доступом в систему, попытками аутентификации и т. п.

11. Необходимо регулярно проводить аудит и тестирование систем безопасности магазина.

12. Необходимо поддерживать политику безопасности внутри компании, четко определяющую для каждого сотрудника онлайнового магазина требования, предъявляемые к нему с точки зрения поддержания безопасности системы магазина в целом.

В зависимости от потенциальной угрозы доступа к хранящейся в информационных системах магазинов и третьесторонних процессоров информации по картам платежные системы делят магазины и процессоры по нескольким уровням и определяют следующие типы мероприятий, регулярно проводимых для оценки уровня соответствия магазина стандарту PCI DSS:

• аудит безопасности, проводимый непосредственно в торговом предприятии;

• самооценка системы безопасности магазина (процессора) по вопроснику, предлагаемому платежной системой;

• сетевое сканирование доступа к карточным данным.

Как уже отмечалось ранее, к сожалению, далеко не все торговые предприятия удовлетворяют требованиям PCI DSS. Многие торговые предприятия ссылаются на высокую стоимость модернизации используемых ими сегодня аппаратно-программных средств обработки карточных операций. В середине 2007 г. Visa объявила о запуске новой динамической системы авторизации Visa Advanced Authorization, на которую возлагаются большие надежды по борьбе с фродом. Система Visa использует разработанное на основе нейронных сетей решение, позволяющее в режиме реального времени оценить каждую операцию по карточке Visa с точки зрения потенциального мошенничества. В результате каждый эмитент будет получать в рамках авторизации оценку того, что авторизация является мошеннической.

В заключение следует сказать, что проблема карточного фрода является актуальной и угрожает существованию технологии пластиковых карт. Возможности карт с магнитной полосой в противодействии мошенничеству весьма ограничены. Карта с магнитной полосой является лишь носителем небольшого объема информации. Поэтому оказать противодействие мошенничеству могут только эмитент и обслуживающий банк, не имеющие своих полноценных представителей в точке продажи. Даже в предположении онлайнового характера всех карточных операций возможности эмитента и обслуживающего банка весьма ограничены. Эмитент в большинстве случаев может только проверить правильность статических данных карты, полученных при выполнении операции безналичной покупки, да проанализировать, насколько эта операция характерна для данного клиента с помощью программы мониторинга транзакций. Обслуживающий банк представлен кассиром торгового предприятия, далеко не всегда следующим при приеме карт инструкциям банка.

Микропроцессорные карты, речь о которых пойдет далее, коренным образом способны повысить уровень карточной безопасности.

Анализ реальной безопасности операций по микропроцессорным картам

Свойства микропроцессорной карты, позволяющие повысить безопасность операций

Важнейшим свойством микропроцессорной карты (МПК) является поддержка операционной системой карты криптографических функций. Использование этих функций приложением карты позволяет существенным образом повысить безопасность платежных операций.

Ниже перечислены задачи, решаемые приложением МПК для повышения безопасности операций по пластиковым картам.

1. Важнейшая базовая задача, решаемая приложением карты с помощью криптографических методов, состоит в обеспечении надежной аутентификации приложения карты (чаще говорят, и мы будем поддерживать эту терминологию, аутентификации карты, хотя правильнее говорить об аутентификации приложения). Под аутентификацией карты в данном случае понимается процесс доказательства того факта, что данная карта (приложение) была эмитирована банком, авторизованным на это соответствующей платежной системой. Успешность аутентификации карты означает, что был доказан факт эмиссии рассматриваемой карты банком X, являющимся участником платежной системы Y, которая разрешила банку X эмиссию карт платежной системы Y. Надежность доказательства факта эмиссии конкретной карты авторизованным эмитентом зависит от метода аутентификации карты.

Кратко напомним общие сведения о методах аутентификации карты. Методы аутентификации карты делятся на оффлайновые и онлайновые. Последняя версия стандарта EMV (v. 4.1) различает три метода оффлайновой аутентификации карты:

• SDA (Static Data Authentication)

• DDA (Dynamic Data Authentication)

• CDA (Combined Dynamic Data Authentication/AC Generation).

Первый в списке способ аутентификации относится к классу статических методов аутентификации, в то время как два последних, — к динамическим методам аутентификации.

Метод SDA обеспечивает целостность критичных для приложения карты данных, а также невозможность создания карты с «белого листа». По своей сути метод является аналогом CVV/CVC для микропроцессорной карты.

Методы динамической аутентификация карты состоят в проверке терминалом подписанных картой данных, формируемых терминалом (с обязательным использованием случайного числа, сгенерированного терминалом). Аутентификация карты в этом случае гарантирует на уровне криптостойкости алгоритма RSA факт того, что карта содержит чип, персонализированный эмитентом, авторизованным платежной системой на выпуск карт. Для реализации динамических методов аутентификации карты требуется поддержка микросхемой карты алгоритма RSA.

Метод CDA помимо динамической аутентификации карты дополнительно обеспечивает целостность наиболее критичных данных информационного обмена в диалоге «карта-терминал» (CID и реквизитов транзакции). Это достигается совмещением процедуры аутентификации карты с выполнением команды Generate AC, в ходе которой между картой и терминалом осуществляется обмен наиболее важными данными.

Методы динамической аутентификации автоматически включают в себя статическую аутентификацию, которая выполняется в рамках процедуры верификации сертификата открытого ключа карты.

Из сказанного выше следует, что с точки зрения обеспечения безопасности карточной операции самым надежным методом оффлайновой аутентификации является CDA. Далее идут методы DDA и SDA. При этом, метод SDA даже не защищает микропоцессорную карту (далее — МПК) от ее клонирования для использования в оффлайновых операциях.

Выбор метода оффлайновой аутентификации производится терминалом на основе данных AIP и возможностей терминала, определяемых значением третьего байта объекта данных Terminal Capabilities (Tag ‘9F33’).

В соответствии с правилами платежных систем все карты (за исключением так называемых «ATM only»-карт) должны поддерживать метод SDA, терминалы — SDA и DDA (за исключением «Online only»-терминалов). Кроме того, общая тенденция такова, что терминалы и карты начинают движение в сторону поддержки CDA и DDA соответственно. Весьма вероятно, что в следующем десятилетии для всех терминалов и карт с оффлайновым режимом работы (offline capable), поддержка CDA станет обязательной. Пока планы системы MasterCard состоят в том, чтобы уже с января 2011 г. сделать обязательной поддержку метода CDA для всех новых offline capable терминалов и метода DDA — для всех новых offline capable карт.

Поскольку аутентификация карты является важным элементом принятия эмитентом решения по результату авторизации транзакции, эмитент должен иметь возможность проверки факта выполнения терминалом аутентификации карты. Это требуется для того, чтобы избежать обмана со стороны недобросовестного торгового предприятия или обслуживающего банка, утверждающих, что аутентификация карты была выполнена, хотя это действительности не соответствует. Причиной для обмана может быть экономия средств торгового предприятия или обслуживающего банка на поддержку функции аутентификации карты на POS-терминале. Механизм проверки факта выполнения терминалом аутентификации карты в стандарте EMV существует (Data Authentication Code для случая статической аутентификации и ICC Dynamic Number для случая динамической аутентификации карты).

Очевидно, МПК является микрокомпьютером, способным обрабатывать входные данные, полученные от терминала и (или) эмитента карты. Обработка данных сводится к выполнению ряда проверок, по результатам которых карта принимает решение о результате обработки транзакции. Иногда карта просто «озвучивает» решение, полученное от эмитента. В некоторых случаях карта самостоятельно принимает решение, делегированное ей эмитентом с помощью соответствующей конфигурации приложения карты.

Примерами выполняемых картой проверок являются проверка картой PIN-кода держателя карты, проверки, связанные с управлением рисками (card risk management), аутентификация эмитента карты, проверки, подтверждающие целостность полученной от эмитента информации.

В случае оффлайновой транзакции эмитент полностью делегирует карте функцию принятия решения по результату выполнения операции. Очевидно, что только решениям карты, подлинность которой доказана, можно доверять. Поэтому так важна ее надежная аутентификация.

Аутентификация карты осуществляется терминалом и (или) эмитентом карты. В оффлайновых операциях аутентификация карты осуществляется только терминалом. В случае онлайновой транзакции аутентификация карты может осуществляться и терминалом и эмитентом (для терминалов, работающих только в режиме реального времени, так называемого online only terminal, разрешается, чтобы аутентификация карты проводилась только ее эмитентом).

Очевидно, аутентификация карты является эффективным средством борьбы с поддельными картами (counterfeit). Именно поэтому платежные системы ввели сдвиг ответственности chip liability shift, формулируемый следующим образом. Если мошенничество вида «поддельная карта» случилось в терминале, поддерживающем только карты с магнитной полосой, по МПК, то ответственность за мошенничество несет обслуживающий терминал банк. Сдвиг ответственности имеет пока внутрирегиональный характер (он действует в случае, когда обслуживающий банк и эмитент карты — резиденты одного региона платежной системы). Однако движение в сторону глобализации сдвига ответственности в крупнейших платежных системах уже началось.

2. В процессе выполнения онлайновой транзакции МПК взаимодействует со своим эмитентом. Эмитент сообщает карте свое окончательное решение по авторизации операции (отклонить или одобрить операцию). Кроме того, эмитент может направить карте команды, с помощью которых будут модифицированы отдельные данные приложения карты либо будет заблокировано приложение карты или даже вся карта. Команды эмитента, модифицирующие данные карты, очевидно, используются не только во время выполнения транзакции, но и на этапе персонализации карты.

Для того, чтобы повысить доверие к решениям эмитента (избежать подлога решения эмитента третьей стороной), требуется предусмотреть выполнение картой аутентификации ее эмитента. Аутентификация эмитента обеспечивается проверкой картой специального элемента данных (ARPC), получаемого картой из авторизационного ответа эмитента, а также проверкой картой величин message authentication code (MAC), содержащихся в командах, поступающих на карту от эмитента.

3. МПК гарантирует эмитенту невозможность держателю его карты отказаться от результата выполненной операции (non-repudiation). Это обеспечивается тем, что по каждой операции эмитент получает в свое распоряжение специальную прикладную криптограмму, представляющую собой подпись наиболее критичных данных транзакции, сделанную с использованием ключа карты. Соответствие прикладной криптограммы данным транзакции и ключу карты подтверждает факт ее выполнения с использованием карты эмитента.

4. МПК позволяет обеспечить проверку целостности обмена данными между картой и эмитентом, а также картой и терминалом. Обеспечение целостности информационного обмена между эмитентом и картой осуществляется за счет использования величины MAC, содержащейся в командах, направляемых эмитентом карте. Целостность обмена данными между картой и терминалом обеспечивается с помощью процедуры комбинированной генерации прикладной криптограммы и динамической аутентификации карты (combined dynamic data authentication, application cryptogram generation). Благодаря этой процедуре появляется возможность электронным образом подписывать наиболее критичные данные информационного обмена карты с терминалом.

5. МПК позволяет обеспечить конфиденциальность данных в информационном обмене между картой и эмитентом, картой и терминалом. Конфиденциальность данных, циркулирующих между картой и эмитентом, обеспечивается шифрованием секретных данных, содержащихся в командах эмитента, с помощью симметричного алгоритма шифрования (3DES). Конфиденциальность значения PIN-кода при его проверке картой в режиме offline обеспечивается с помощью асимметричного алгоритма шифрования (RSA).

Реальная безопасность микропроцессорных карт

В настоящем разделе мы попытаемся дать оценку реальной безопасности операций, выполненных с использованием МПК. Эта оценка будет получена с учетом того факта, что сегодня в мире значительная часть терминального оборудования для обслуживания карт (73 % POS-терминалов и 84 % банкоматов по данным на II квартал 2007 г.) принимает только карты с магнитной полосой и большая часть эмитированных карт является картами только с магнитной полосой (около 83 % по данным на 2-й квартал 2007 г.). Этот факт оказывает значительное влияние на безопасность карточных операций хотя бы потому, что многие операции, по-прежнему, обрабатываются с использованием уязвимой с точки зрения безопасности технологии магнитной полосы.

Действительно, если обозначить через A долю микропроцессорных карт, а через B — долю терминалов, способных обслуживать МПК, то в качестве грубой оценки количества операций, выполненных с использованием чипа, можно использовать величину AB. Например, если A = B = 70 % (значения A и B демонстрируют достаточно зрелую стадию миграции на чип), то только для примерно половины операций будут ощущаться преимущества технологии микропроцессорных карт с точки зрения повышения их безопасности.

Ниже будет рассказано и о других формах влияния «смешанного» характера сегодняшнего карточного мира, в котором присутствуют карты и терминалы, поддерживающие только магнитную полосу, на безопасность карточных операций.

Анализ будет проводиться в виде оценки безопасности операций в разрезе упомянутых ранее основных видов мошенничества.

Поддельные микропроцессорные карты

Начнем с самого распространенного вида мошенничества — поддельных карт. Уже говорилось о том, что методы динамической аутентификации карты (онлайновые и оффлайновые) наносят сокрушительный удар по этому виду фрода. Не зная соответствующего ключа карты или эмитента или системы, на уровне криптостойкости алгоритма RSA в случае оффлайновой динамической аутентификации карты и алгоритма 3DES для онлайновой аутентификации чиповую карту подделать невозможно.

В то же время, при неправильной персонализации карт или выборе слабого метода ее аутентификации мошенничества вида «поддельная карта» возможны. Ниже мы попытаемся систематизировать возможные способы подделки карты.

Итак, представим, что в левой руке у нас имеется реальная гибридная карта, эмитированная банком — участником некоторой платежной системы, а в правой руке — «чистая» заготовка для гибридной карты или карты с магнитной полосой. Кроме того, как у всякого уважающего себя мошенника, у нас имеются программатор для используемого на заготовке карты чипа, средства персонализации магнитной полосы карты, а также машина для персонализации пластика (печать, эмбоссирование и т. п.).

В зависимости от того, какая карта находится в нашей левой руке, мы предложим различные способы мошенничества вида «Поддельная карта», при которых на основе данных карты левой руки в правой руке у нас появится карта, которую при определенных обстоятельствах можно будет успешно использовать в платежной сети.

В первую очередь все возможные способы мошенничества разобьем на два класса: подделка чипа и подделка магнитной полосы карты.

Подделка магнитной полосы. Возможные схемы подделки магнитной полосы гибридной карты показаны на рис. 3.

Случай 1, вариант 1. Service code 2xx. В правой руке у нас карта только с магнитной полосой, на которую перенесена информация с магнитной полосы карты, расположенной в левой руке. Мы пытаемся использовать карту в гибридном терминале, принимающем микропроцессорные карты и карты с магнитной полосой. Терминал должен проверить значение кода обслуживания (service code) на магнитной полосе, и если оно равно 2XX, он должен требовать выполнения транзакции с использованием чипа.

Терминал не должен допускать операции по магнитной полосе, если значение кода обслуживания равно 2XX и терминал не принимал решения о переходе в режим Fallback после попытки использовать для выполнения операции чип карты. Необходимо иметь ясную инструкцию для кассира и четкое сообщение на дисплее терминала о том, что транзакция должна быть обязательно выполнена с использованием чипа или быть отвергнута.

В некоторых реализациях приложения терминала, несмотря на предупреждения, продавец все-таки имеет возможность обойти сформулированное выше правило и провести операцию с использованием магнитной полосы. В этом случае ответственность за возможное мошенничество с точки зрения платежной системы лежит на обслуживающем банке.

Несмотря на то, что ответственность в рассматриваемом случае лежит на обслуживающем банке, эмитенту все-таки рекомендуется отвергать транзакции, в которых в терминах MasterCard элемент данных POS data (DE 061) указывает на то, что терминал может выполнить операцию по чипу, но проводит ее по магнитной полосе и при этом POS Entry mode (DE022) не равен 80X (случай fallback), а равен, например, 90Х (магнитная полоса) или 05Х (чип).

Рассмотрим теперь «Случай 1. Вариант 1. Магнитный терминал». В правой руке у нас та же карта, что и в предыдущем случае. На карте в этом случае для большей убедительности может дополнительно находиться неперсонализированный чип. Мы пытаемся использовать эту карту в терминале, принимающем только карты с магнитной полосой.

Если транзакция была авторизована эмитентом, то случится мошенничество, и отвечать за него будет:

• обслуживающий банк, если этот банк и эмитент поддельной карты расположены в зоне принятого в платежной системе сдвига ответственности chip liability shift;

• эмитент — во всех остальных случаях.

Для защиты от мошенничества, когда на поддельной карте нет чипа, на дисплее магнитных терминалов в случае появления карты с service code=2XX должно появиться сообщение о необходимости проверки кассиром торгового предприятия наличия на карте чипа. Если чипа нет, кассир должен отклонить прием карты.

Случай 1, вариант 2. Service code 1xx. На карту только с магнитной полосой копируются данные первой и второй дорожек гибридной кредитной карты с изменением значения кода обслуживания на 1XX. Карта используется в оффлайновом режиме для выполнения подлимитных операций (размер операции меньше значения (terminal floor limit). Использование карты в режиме реального времени имеет мало шансов на успех, поскольку при изменении кода обслуживания нарушается целостность записи второй дорожки магнитной карты, и проверка значения CVV/CVC в процессинговом центре эмитента этот факт обнаружит. В этом случае есть все возможности успешно использовать поддельную карту независимо от того, является ли терминал гибридным или принимает только карты с магнитной полосой.

Если поддельная карта используется в гибридном терминале, то вся ответственность за мошенничество лежит на эмитенте карты. Это на сегодняшний день самая серьезная брешь в концепции миграции на чип.

Действительно, и карта и терминал поддерживают новую технологию, и все-таки подделка карты возможна без каких-либо нарушений правил приема карты со стороны торгового предприятия. Чтобы избежать этого вида мошенничества, платежные системы ввели правило, в соответствии с которым все транзакции по картам с магнитной полосой в терминалах, поддерживающих онлайновый режим работы, должны направляться на авторизацию к эмитенту.

Если поддельная карта используется в терминале, принимающем только карты с магнитной полосой, то за мошенничество отвечает:

• обслуживающий банк, если этот банк и эмитент карты, которая был поддельна расположены в зоне принятого в платежной системе сдвига ответственности;

• эмитент — во всех остальных случаях.

Случай 2. Гибридная карта с «кривым» чипом (инициализация Fallback на поддельную магнитную полосу). Используется заготовка гибридной карты с «кривым» (например, сожженным или неправильно персонализированным) чипом. В этом случае заготовка будет стоить дороже (примерно на 50 центов), но на магнитную полосу можно наносить информацию, скопированную с магнитной дорожки реальной гибридной карты, и использовать ее как в магнитном, так и в гибридном терминале.

Если поддельная карта используется в гибридном терминале, то вся ответственность за мошенничество лежит на эмитенте карты.

Если терминал принимает только карты с магнитной полосой, то за мошенничество отвечает:

• обслуживающий банк, если этот банк и эмитент карты которая была поддельна, расположены в зоне принятого в платежной системе сдвига ответственности;

• эмитент — во всех остальных случаях.

Единственная контрмера для борьбы с этим видом мошенничества — организация в процессинговом центре эмитента мониторинга количества fallback-транзакций, выполненных по каждой карте эмитента. Если число fallback-операций для некоторой карты оказалось выше порогового значения, то это является сигналом эмитенту провести расследование для того, чтобы убедиться в том, что операции были выполнены законным держателем карты.

Платежные системы также предпринимают меры по ограничению использования режима Fallback в странах, где уровень соответствия терминалов и карт стандарту EMV, достаточно высокий. В частности, в Европе уже сегодня от этого режима отказались при обработке банкоматных транзакций. В ближайшем будущем сегодня обязательное требование по поддержке fallback в POS-терминалах станет опциональным и на страновом уровне будет определяться, считать ли резервную авторизацию по магнитной полосе обязательной, или нет.

Подделка чипа. Клонированная карта — это карта, выпущенная неавторизованным лицом от имени авторизованного эмитента платежной системы. При этом факт того, что карта является клонированной, терминал в случае обработки транзакции в оффлайновом режиме определить не может.

Для клонирования SDA-карты всего лишь требуется иметь микропроцессорную карту с программатором к ней и общее знание стандарта EMV. В качестве карты может рассматриваться, например, широкодоступная карта с микропроцессором PIC16F84.

Далее на «чистую» микропроцессорную карту «переносятся» данные с реальной SDA-карты, включая данные FCI template, AIP, AFL и записи из файлов, определенные в AFL. Среди данных линейных файлов имеется объект signed static application data, представляющий собой подписанные эмитентом критичные данные карты.

Карта стандартным образом поддерживает команды SELECT, GET PROCESSING OPTIONS, READ RECORD. В ответ на команду VERIFY карта всегда отвечает подтверждением правильности введенного PIN-кода.

В ответ на команду GENERATE AC карта отвечает следующим образом:

• если терминал просит ARQC или AAC, карта отвечает криптограммой AAC, в качестве которой берется произвольное шестнадцатеричное 16-ти разрядное число;

• если терминал просит TC, карта отвечает ТС и в качестве криптограммы использует произвольное шестнадцатеричное 16-ти разрядное число.

Таким образом, если терминал считает, что транзакция может быть одобрена в оффлайновом режиме, транзакция клонированной картой будет одобрена. Во всех остальных случаях клонированная карта будет настаивать на отклонении транзакции в оффлайновом режиме. Отсюда следует, что клонированная карта не может быть заблокирована эмитентом через процедуру script processing.

Стоимость клонирования одной карты составляет несколько долларов (необходимо приобрести заготовки и программатор к выбранной для клонирования микросхеме). Данные реальных карт, необходимые для клонирования, могут собираться на POS-терминалах ровно тем же способом, каким они собираются сегодня для карт с магнитной полосой.

Отметим следующее. Предположим, что карта клонирована с реальной карты, поддерживающей оффлайновую динамическую аутентификацию.

В этом случае на клонированную карту переносятся те же данные, что используются при клонировании SDA-карты. Очевидно, что если такая клонированная карта используется в терминале, поддерживающем только метод SDA, то у нее имеется 100 % шанс на успех при условии одобрения терминалом транзакции в оффлайновом режиме. Именно поэтому платежные системы сделали поддержку метода DDA на POS-терминалах обязательной (исключение составляют «Online Only»-терминалы, для которых поддержка оффлайновой аутентификации карты необязательна).

Аналогичным образом, если DDA/CDA-карта клонирована на SDA-карту и терминал вообще не поддерживает оффлайновую аутентификацию карты, то в случае отсутствия поддержки картой механизма проверки факта ее аутентификации эмитентом терминал может обмануть эмитента, заявив о проведении оффлайновой динамической аутентификации карты, в действительности не выполнив ее. При этом обман со стороны торгового предприятия совершается не с целью мошенничества, а для того, чтобы подтвердить выполнение требования платежной системы. Этим обманом могут воспользоваться мошенники, успешно используя в таких терминалах клонированные карты.

Тогда возникает другой вопрос: «Возможно ли клонирование DDA/CDA-карты на карту со статической аутентификацией при использовании клонированной карты в терминале, поддерживающем методы динамической аутентификации DDA/CDA?» Ответ на этот вопрос в общем случае отрицательный, поскольку для клонирования DDA/CDA-карты при условии ее использования в упомянутых условиях необходимо знать секретный ключ карты.

В то же время в некоторых случаях клонирование DDA/CDA-карты возможно. Если, например, DDA/CDA-карта напрямую (через AIP) поддерживает метод SDA и не поддерживает (не содержит в своей файловой структуре) объекта данных SDA tag list, то такая карта может быть клонирована. Действительно, имея в своем распоряжении открытые данные карты, на клонированной карте легко модифицировать объект AIP, указав в нем, что карта поддерживает только метод SDA. В этом случае клонированная карта будет успешно использоваться при оффлайновой обработке транзакции. Заметим, что модификация объекта AIP пройдет для терминала незамеченной, поскольку объект AIP не попадает в список подписываемых данных, целостность которых проверяется в рамках процедуры аутентификации карты по методу SDA. Напомним читателю, что объект данных AIP (‘82’) может попасть в список подписываемых данных только через объект SDA tag list.

Заметим, что во избежание клонирования DDA-карты, лучше, когда такая карта напрямую не поддерживает метод SDA (косвенно SDA поддерживается в процессе проверки сертификата ключа карты), т. е. в частности не содержит объекта signed static application data! В этом случае даже если карта не содержит элемент SDA tag list, клонировать ее на SDA-карту невозможно, поскольку для этого отсутствуют необходимые данные (signed static application data).

Следует отметить, что отсутствие прямой поддержки картой метода SDA не скажется на ее распространнености, поскольку все терминалы поддерживает DDA.

Несмотря на то, что DDA-карты при правильной персонализации не допускают клонирования, они не обеспечивают целостности информационного обмена между картой и терминалом. Возможны атаки, получившие название «атаки двумя чипами» и состоящие в следующем. Используется печатная плата, содержащая два чипа: один чип — банковский, а другой — чип-эмулятор. Банковский чип является микросхемой, персонализированной банком для DDA-карты. Чип-эмулятор контролирует обмен данными между банковским чипом и терминалом, при необходимости модифицируя диалог карты с терминалом. Именно этот чип вставляется в карт-ридер терминала и обменивается с терминалом информацией. Он анализирует данные команд, полученных от терминала, и при необходимости модифицирует их выгодным для мошенника образом.

Приведем самые простые примеры возможной модификации данных. Если терминал в команде GENERATE AC запросил криптограмму TC, а карта в лице банковского чипа принимает решение транзакцию обработать в онлайновом режиме или отвергнуть в оффлайновом режиме, то чип-эмулятор меняет незащищенные данные cryptogram information data таким образом, что карта отвечает терминалу криптограммой TC. Таким образом, транзакция одобряется притом, что решением эмитента она должна быть либо отвергнута, либо передана эмитенту на авторизацию.

Другой пример. Чип-эмулятор, получив от терминала значение размера транзакции, меняет его на меньшую величину, при которой карта готова одобрить транзакцию в оффлайновом режиме авторизации.

Такой чип-эмулятор в литературе получил название wedge device. Нужно сказать, что устройство wedge device может быть внедрено не только в печатной схеме карты, но и на POS-терминале. Главное, чтобы оно выполняло функцию посредника информационного обмена между картой и терминалом.

Проблема обеспечения целостности информационного обмена карты с терминалом решается с помощью использования CDA-карт. Такие карты поддерживают целостность наиболее важной информации, циркулирующей между картой и терминалом в ходе обработки транзакции. Поэтому модифицировать информационный обмен незаметным для терминала способом нельзя.

Кроме того, CDA-карты демонстрируют более высокую производительность (меньшее время выполнения транзакции) в сравнении с DDA-картами. Это объясняется тем, что для оффлайновой аутентификации карты не используется команда INERNAL AUTHENTICATE, что сокращает обмен данными терминала с картой.

Обеспечение целостности информационного обмена с терминалом и более высокая производительность делает CDA-карты привлекательными для бесконтактных платежей. В частности, в стандарте MasterCard PayPass в качестве способа динамической аутентификации рассматривается только метод CDA.

В то же время у CDA-карт отмечается ряд слабостей. Во-первых, размер модуля ключа CDA-карты может не превышать 205 байтов. На сегодняшний день это ограничение не является обременительным, поскольку в основном используются ключи карты меньшего размера. Однако в будущем отмеченное ограничение может стать чувствительным. Платежные системы уже распространяют свои ключи размером 248 байтов (максимальный размер ключа в соответствии со стандартом EMV), давая возможность эмитентам и картам использовать ключи сравнимых размеров.

Во-вторых, при неаккуратном со стороны обслуживающего банка (платежной системы) управлении загрузкой ключей системы на терминалы может случиться так, что обслуживающий банк не загрузил (точнее, не загрузил вовремя) на своих терминалах какой-то из ключей системы. В этом случае все CDA-карты эмитентов, ключи которых сертифицированы на отсутствующем в терминале ключе системы, просто не смогут на таком терминале обслуживаться.

Действительно, получив от карты ответ на команду GENERATE AC терминал не сможет восстановить данные из signed dynamic application data и вынужден будет отклонить транзакцию. Это произойдет, даже если карта в ответе на команду GENERATE AC направит терминалу криптограмму ARQC для обработки транзакции в режиме реального времени. Без знания ключа системы невозможно восстановить криптограмму ARQC из объекта signed dynamic application data, и транзакцию придется отклонить.

Заметим, что в случае DDA-карты транзакция при отсутствии на терминале соответствующего ключа системы могла бы быть выполнена в онлайновом режиме. Метод CDA в случае провала аутентификации карты в отличие от других методов аутентификации лишает ее возможности обращаться за авторизацией к эмитенту.

Обобщая сказанное выше, перечислим ниже способы клонирования гибридной карты для ее использования в оффлайновом режиме авторизации транзакции:

1) если гибридная карта является SDA-картой, то она легко клонируется в SDA-карту;

2) если мы имеем дело с DDA/CDA-картой, поддерживающей также напрямую метод SDA (на карте присутствует объект данных signed static application data), то такую карту можно клонировать на SDA-карту:

• изменив профиль карты (объект application interchange profile), что останется незаметным для терминала, при условии отсутствия на ней объекта SDA tag list таким образом, что профиль карты будет указывать на поддержку картой только метода SDA;

• при использовании клонированной карты в терминалах, поддерживающих в нарушение правил платежных систем только метод аутентификации карты SDA или не поддерживающих никакого метода оффлайновой аутентификации;

• при использовании карты эмитированной с использованием ложного ключа системы в терминале, на который ложный ключ системы был предварительно загружен;

3) DDA-карту можно «модернизировать», создав на ее основе печатную плату, использующую наряду с чипом реальной карты второй чип-симулятор, действующий по схеме атаки двумя чипами.

Еще раз заметим, что подделка чипа практически возможна только с помощью его клонирования — переноса данных реального чипа на чип, используемый для производства мошеннической карты. Действительно, для того, чтобы изменить данные на уже персонализированном чипе можно воспользоваться двумя способами: попытаться это сделать средствами процедуры script processing или в режиме персонализации карты.

В процедуре script processing для изменения записей и отдельных объектов данных используются команды PUT DATA и UPDATE RECORD. Эти команды применяются с использованием кодов MAC и при необходимости — шифрования данных. Кроме того, эти команды чаще всего выполняются после аутентификации картой эмитента.

Поэтому во время выполнения процедуры script processing мошенничества возможны только при компрометации секретных ключей карты/эмитента, используемых для формирования криптограммы и обеспечения целостности обмена данных (формирования кодов MAC).

Ключи, используемые на этапе персонализации и в процедуре Script Processing, разные.

Подделка данных чипа в режиме персонализации карты также возможна только в результате компрометации ключей карты (эмитента) производителя карты.

Производитель чипов присваивает каждой микросхеме ее серийный номер (chip serial number) и заводит в чип секретный ключ поставщика карт, который выводится из ключа поставщика карт с использованием серийного номера чипа и идентификатора ключа в качестве диверсификационной моды.

Далее поставщик карт после имплементации чипа в пластик карты выполняет процедуру предперсонализации карты. В начале процедуры карта должна аутентифицировать поставщика карты с использованием заведенного ранее производителем чипа секретного ключа карты, известного только карте и ее поставщику. Только после успешной аутентификации поставщика карты он имеет возможность выполнить ее предперсонализацию.

В проекции на безопасность карты процедура предперсонализации состоит в том, что на карту заводятся ключи, которые выводятся из секретного ключа эмитента карты и элемента KEY DATA, включающего в себя серийный номер чипа и идентификатор ключа эмитента. Эти ключи предназначены для вывода сессионных ключей карты, используемых на этапе ее персонализации для взаимной динамической аутентификации карты и машины персонализации карт, а также для обеспечения конфиденциальности и целостности данных, передаваемых с машины персонализации на карту.

Таким образом, на этапе персонализации используется отдельный комплект ключей, отличающийся от аналогичных ключей, применяемых при выполнении транзакции.

Из сказанного выше следует, что на этапе персонализации карты возможны мошенничества только при компрометации секретных ключей карты (эмитента).

Недавно в печати появилась информация о схеме виртуального клонирования карты в режиме реального времени. Схема применима к любым картам (SDA, DDA, CDA), в том числе поддерживающим проверку защищенного PIN-кода. Идея заключается в том, что у мошенников имеется контролируемый ими терминал, расположенный, скажем, в ресторане, а также карта с приложением, работающим по контактному интерфейсу (ISO 7816) и бесконтактному радиоинтерфейсу (vicinity-интерфейс, например, в соответствии с ISO 15 693, ISO 18 000). Назначение приложения мошеннической карты состоит в том, чтобы поддерживать обмен данными с реальным POS-терминалом и оборудованием мошенника в режиме ретрансляции данных.

Схема выглядит следующим образом. Мошенник с рюкзаком за плечами приходит, например, в ювелирный магазин, выбирает украшение за 2000 евро и ждет звонка от сообщника в ресторане. В это время ничего неподозревающий посетитель ресторана решает расплатиться по карточке за обед стоимостью 20 евро. Сообщник мошенника с рюкзаком звонит последнему и тот направляется в кассу ювелирного магазина, чтобы заплатить за украшение с помощью своей мошеннической карты.

Далее мошенническая карта вставляется в ридер реального POS-терминала, и карта начинает транслировать через радиоинтерфейс в оборудование мошенника, расположенное в рюкзаке, команды, получаемые от реального терминала. Оборудование мошенника в свою очередь перетранслирует эти команды на контролируемый мошенниками POS-терминал, который доставляет команды на карту ни о чем неподозревающего клиента ресторана. Ответы карты клиента ресторана передаются на реальный терминал ювелирного магазина в обратной последовательности. Схема мошенничества показана на рис. 4.

Очевидно, что мошенническая транзакция может производиться как в режиме реального времени, так и в оффлайновом режиме. Более того, по завершении транзакции клиент ресторана получит чек с реквизитами своей карты на 20 евро. Единственная проблема будет состоять в том, что в общем случае реальный терминал распечатает чек с реквизитами карты пострадавшего посетителя терминала. Но и здесь не все потеряно. Во-первых, не каждый кассир сверяет данные чека с данными, напечатанными (эмбоссированными) на поверхности карты. Во-вторых, в ресторане имеются и завсегдатаи, реквизиты карт которых можно заранее нанести на мошенническую карту.

Украденные (потерянные, неполученные) микропроцессорные карты (lost, stolen, NRI)

Микропроцессорная карта является также и мощным инструментом в борьбе с таким видом мошенничества, как украденные (потерянные, неполученные) карты. Использование подхода Chip&PIN, принятого сегодня в Великобритании и рассматриваемого международными платежными системами в качестве наиболее предпочтительного метода аутентификации держателя карты, позволяет существенным образом сократить перечисленные виды мошенничества. Метод DDA/CDA + PIN Offline — наиболее надежный из всех известных способов защиты от карточных мошенничеств.

Здесь важно отметить, что внедрение подхода Chip&PIN должно осуществляться с двух сторон — как со стороны эмитента, так и со стороны обслуживающего банка. Для стимулирования обслуживающего банка к установке терминалов, поддерживающих PIN offline, платежные системы вводят сдвиг ответственности Chip&PIN liability shift, а также другие правила, вносящие элемент экономической привлекательности использования таких терминалов.

Чтобы сформулировать сдвиг ответственности Chip&PIN liability shift введем следующие определения. Будем называть микропроцессорную карту Chip&PIN-картой, если метод проверки PIN-кода PIN offline (независимо от способа передачи PIN-кода — в защищенном или незащищенном виде) является самым приоритетным в списке CVM list в условиях выполнения данной операции. Будем также говорить, что терминал поддерживает метод PIN Offline, если он поддерживает защищенную и открытую передачу PIN-кода на карту.

Тогда сдвиг ответственности Chip&PIN Liability Shift формулируется следующим образом: если Chip&PIN-карта используется в терминале, не поддерживающем PIN Offline, то вся ответственность за потерянные (украденные) (lost, stolen) карты и неполученные карты (NRI) переносится на обслуживающий банк.

Мошенничество в области CNP-транзакций

С миграцией на чип (особенно в версии Chip&PIN) будет наблюдаться уменьшение мошенничеств типа «Поддельная карта», «украденные (потерянные, неполученные) карты» и увеличение мошенничеств видов CNP и ID Theft. К сожалению, использование микропроцессорных карт пока мало что дает для борьбы с этими видами мошенничества, если не считать предоставления удобной возможности аутентификации держателя карты в транзакции, выполненной по протоколу 3D Secure, сервером эмитента access control server (технология chip authentication program/dynamic passcode authentication). Технология CAP позволяет генерировать одноразовые пароли, которые являются также средством борьбы с кражей идентификационных данных держателя карты.

Мошенничество со стороны недобросовестного торгового предприятия

Одной из серьезных «дыр» в модели безопасности операций, выполненных с использованием МПК, является практическая возможность заведения мошенником ложного открытого ключа системы. Изготовив под ложным ключом сертификаты ключа эмитента, можно выпустить поддельные карты, которые будут успешно работать в терминалах с загруженным ложным ключом.

Естественным способом борьбы с такого рода мошенничеством является создание подписи вводимых в терминал ключей системы на ключе обслуживающего банка (возможно симметричном ключе). Такая подпись обеспечивает целостность ключевой информации системы на терминале. В этом случае, не обладая ключом обслуживающего банка, невозможно успешно завести (использовать) ложный открытый ключ системы.

К сожалению, чтобы обойти упомянутую защиту открытых ключей системы мошенник может и не идти по пути компрометации секретного ключа обслуживающего банка. Для совершения мошенничества, ему достаточно загрузить на терминал фальшивый исполняемый модуль, который, в отличие от приложения обслуживающего банка, не станет проверять подпись используемого ключа. В этом случае описанная выше защита не работает.

Чтобы лишить мошенника возможности замены приложения терминала, требуется подключить ресурсы операционной системы и криптопроцессора терминала. Мы не будем здесь останавливаться на проблеме обеспечения целостности приложения терминала. Отметим только, что для терминалов, принимающих микропроцессорные карты, эта проблема решается с использованием специальной микропроцессорной карты, выполняющей функцию контроля доступа к операциям, например, удаления/загрузки исполняемых файлов.

В то же время заметим, что проблема обеспечения целостности приложения терминала не является надуманной. По мнению экспертов в области безопасности карточных операций по мере повышения защищенности карт, внимание мошенников во все возрастающей степени будет обращаться на среду их обслуживания. Терминал является близким окружением карты, и потому, несомненно, станет мишенью для атак. Поскольку терминал сегодня фактически представляет собой персональный компьютер, то для атак будут использоваться те же методы. В частности, применение специальных программ (аналог программ spyware, Trojan horse, keyboard (screen) logger, вирусов) позволит мошеннику получать интересующую его информацию о карте (например, запись второй дорожки магнитной полосы карты, значение случайной последовательности терминала и случайного числа карты, используемых для шифрования PIN-блока, значение зашифрованного PIN-блока и т. п.).

Важна также и проблема подмены настоящего POS-терминала банка терминалом, установленным мошенниками. Стоимость терминала невелика — 400–600 долл. Поэтому подобная подмена является весьма правдоподобной при сговоре мошенника с кассиром торгового предприятия (известны случаи установки даже ложных банкоматов!). Возможны также случаи, когда торговое предприятие использует POS-терминал только с целью сбора информации о картах.

В случае применения ложного терминала может записываться не только содержимое магнитной дорожки карты, но и значение PIN-кода держателя карты. С учетом использования на практике гибридных карт, имеющих магнитную полосу, получив информацию о магнитной дорожке карты и значение его PIN-кода, мошенник может изготовить «белые» карты для их употребления в банкомате.

Для решения проблемы ложного терминала при обработке операций в онлайновом режиме необходимо повсеместно внедрять коды MAC для сообщений, циркулирующих между терминалом и хостом обслуживающего банка. Это обеспечит целостность информационного обмена и аутентификацию POS-терминала.

Между тем использование кодов MAC позволяет эффективно решить проблему только для онлайновых операций. Информация об оффлайновых транзакциях, выполненных на терминале, также может подписываться для передачи в обслуживающий банк. Однако мошеннический терминал может и не передавать эту информацию в банк достаточно долго или вообще никогда. В случае, когда терминал действует в оффлайновом режиме, к сожалению, кроме организационных мер для борьбы с подобного рода мошенничествами, предложить пока нечего.

Достаточно эффективным способом борьбы с заменой терминалов стало бы введение в стандарт EMV процедуры взаимной аутентификации карты и терминала. Заведение на терминал пары секретного и открытого асимметричных ключей обслуживающего банка и сертификата этого ключа на ключе системы, а также поддержка картой процедуры аутентификации терминала и хранение на карте хэш-функций открытых ключей системы позволит исключить подмену терминала. Хранение на карте хэш-функций открытых ключей системы необходимо для того, чтобы избежать ситуации, когда мошенник сам придумывает ложный ключ системы и генерирует для заведения в терминал пару ключей обслуживающего банка с сертификатом, вычисленным на ложном ключе системы.

Конечно, хранение хэш-функций ключей системы (очевидно, что придется хранить информацию о ключах, сгенерированных впрок, чтобы не получилось так, что во время жизненного цикла карты на терминалах появятся ключи системы, неизвестные карте) накладывает ограничения на размер памяти EEPROM. Терминал должен хранить до 6 ключей системы. Поэтому с учетом ключей, заводимых впрок, и размера значения хэш-функции SHA-1, равного 20 байтам, потребуется зарезервировать около 200 байтов памяти EEPROM для одной платежной системы.

Остановимся еще на одном виде мошенничества, возможного со стороны недобросовестного торгового предприятия. В упрощенном виде мошенничество выглядит следующим образом.

Когда в торговое предприятие за покупкой обращается держатель микропроцессорной карты, торговое предприятие любое решение терминала (карты) завершает отклонением транзакции. При этом держатель карты либо уходит из торгового предприятия ни с чем, либо расплачивается за товар наличными.

Далее мошенническое торговое предприятие отправляет обслуживающему банку данные по неуспешной транзакции, как об операции, успешно выполненной в оффлайновом режиме. При этом обслуживающему банку предъявляются все доказательства того, что транзакция была выполнена успешно: подделанное значение cryptogram information data, указывающее на завершение операции генерацией картой криптограммы TC, значение криптограммы, которое не зависит от своего типа (TC, ARQC, AAC), значение ICC dynamic number. Все эти данные за исключением cryptogram information data могли быть сформированы только реальной микропроцессорной картой.

Обслуживающий банк на основе полученных данных формирует презентменты, которые отправляет в платежную систему, и возмещает торговому предприятию средства по «выполненным» в нем операциям.

Через некоторое время некоторые держатели карт инициируют чар-джбэки по мошенническим операциям, выполненным с использованием их карт. Однако эмитенту будет сложно их инициировать, поскольку обслуживающий банк предъявил в презентменте или по запросу эмитента (сообщение retrieval request) криптограмму TC.

В данном случае разобраться в ситуации сможет платежная система, которая через некоторое время обнаружит, что возникшая странная ситуация, когда клиенты жалуются, клиринговые сообщения, переданные обслуживающим банком, выглядят убедительно, необыкновенно часто случается в одной торговой точке. Чтобы разобраться в такой ситуации, платежной системе потребуется время. За это время мошенники успеют скрыться.

Другой способ борьбы с описанным выше мошенничеством — использование для оффлайновой аутентификации карты метода CDA и требования к торговому предприятию, которое состоит в том, что предприятие предоставляет в распоряжение обслуживающего банка элемент signed dynamic application data, а не просто криптограмму. В этом случае обслуживающий банк извлекает из элемента signed dynamic application data правильное значение cryptogram information data и описанная ранее схема совершения мошенничества не работает.

Борьба с банкоматным мошенничеством

При использовании микропроцессорной карты в онлайновом режиме знание PIN-кода и любых других данных карты, доступных терминалу, недостаточно для успешного выполнения операции мошенником. Необходимым условием в этом случае является знание недоступного мошеннику секретного ключа карты, который используется для генерации криптограммы. Ключ необходим для взаимной аутентификации карты и эмитента, без успешного выполнения которой транзакция будет отклонена (мы не рассматриваем достаточно редкий на сегодня случай, когда эмитент не поддерживает обработку «чиповых» данных карты).

Таким образом, в мире, в котором все карты являются микропроцессорными, а терминалы поддерживают EMV, скимминг через банкоматы ничего мошенникам не дает.

Заключение

Резюмируя сказанное выше, можно сделать вывод о том, что с увеличением количества микропроцессорных карт и расширением инфраструктуры их приема уровень карточного фрода неукоснительно снижается. Однако эффективность борьбы с карточным мошенничеством с помощью перехода на использование EMV-карт зависит от синхронности миграции банков на чип. Даже если банки какой-то страны полностью мигрируют на чип, но останутся страны, в которых процесс идет медленно, мигрировавшие на чип банки будут страдать от менее продвинутых с точки зрения миграции стран. Поэтому европейские страны, достигшие значительных результатов в миграции на чип, не может не беспокоить ситуация с положением дел в США. Действительно, все усилия европейского банка, выпустившего микропроцессорную карту, аннулируются возможностью выполнения операции по мошеннической карте, изготовленной на основе данных магнитной полосы этой микропроцессорной карты в «магнитном» терминале (терминале, принимающем только карты с магнитной полосой) американского банка.

То же утверждение о важности синхронности миграции банков на чип верно и для отдельно взятой страны. Не смотря на то, что внутри страны может действовать упоминавшийся выше сдвиг ответственности, и банк, заменивший свои карты микропроцессорными (гибридными) картами, всю ответственность за фрод по поддельной гибридной карте в магнитных терминалах перемещает на обслуживающий банк, моральный ущерб, наносимый держателю карты, а также

Обозначения:

I — фрод произойдет и ответственность за него лежит на стороне эмитента;

A — фрод произойдет и ответственность за него будет нести обслуживающий банк;

0 — фрод не произойдет.

Заметим, что мы считаем, что если мошенническая карта EMV применяется в EMV-терминале, то вероятность фрода равна 0. Это утверждение верно с оговорками, поскольку:

• в EMV-терминале можно успешно использовать украденную/потерянную EMV-карту, если на карте не используется оффлайновая проверка PIN-кода (мы предположили, что на картах в нашем банке такая проверка выполняется, но отдаем себе отчет в том, что эта ситуация не является типичной);

• можно получить данные с магнитной полосы EMV-карты и перенести их на заготовку мошеннической карты, изменив при этом код обслуживания на 1 и используя карту в оффлайновом режиме авторизации (подлимитная операция).

Возьмем типовые значения параметров модели для продвинутого с точки зрения эмиссии карт банка (40 % карт EMV-совместимы): a = 0,96, b = 0,03, c = 0,01, f1 = 6 bp, f2 = 40 bp, f₃= 60 bp, A = 0,4, B = 0,1.

Тогда в результате миграции банка на чип уровень фрода упадет с примерно 7,56 bp до 4,5 bp. При A = 0,6 уровень фрода с точки зрения эмиссии упадет до 3 bp.

Конечно, приведенная выше модель не учитывает многих аспектов, в частности, миграцию фрода в регионы со слабо развитой инфраструктурой обслуживания микропроцессорных карт. В то же время с ее помощью можно оценить страновой уровень мошенничества отдельно по эмиссии и обслуживанию карт.

Миграция банков на использование микропроцессорных карт уже доказала свою эффективность с точки зрения борьбы с мошенничеством. Великобритания, осуществившая практически полную миграцию на технологию чиповых карт, поддерживающих офлайновую проверку ПИН-кода, стала ярким тому примером. По данным за 2005 г., совокупный годовой объем потерь от карточного мошенничества в стране снизился на 13 % по сравнению с 2004 г., а если принимать во внимание все категории фрода, кроме CNP-операций, то потери английских банков от действий преступников уменьшились на 28 %! В частности, объем фрода по поддельным картам уменьшился на четверть, а по украденным (потерянным) картам — на 22 %!

В качестве другого примера эффективности борьбы с фродом путем миграции на технологию микропроцессорных карт можно рассматривать азиатско-тихоокеанский регион (АТР). По данным Frost&Sullivan карточный фрод в этом регионе в 2005 г. достиг 600 млн долл. Миграция на микропроцессорные карты уменьшила уровень мошенничества до 3 базисных пунктов, что более чем в 2 раза ниже среднемирового значения.

Уровень фрода по внутристрановым транзакциям во Франции, где уже более 15 лет внутри страны используются микропроцессорные карты, равен 3.3 базисным пунктам, что также является выдающимся результатом, подтверждающим эффективность технологии МПК.

Очевидно, криминальные структуры не смирятся с потерей своих доходов и будут адаптироваться к новым условиям жизни в мире чиповых карт. К сожалению, для этого у них остается не мало возможностей.

В первую очередь, следует отметить, что ближайшие 10–15 лет на карточном рынке будут присутствовать магнитные (гибридные) карты и магнитные терминалы (терминалы, не работающие с чипом). В результате чего у мошенников будет возможность использовать плохо защищенную магнитную полосу для совершения таких преступлений, как:

• использование данных магнитной полосы карты (в том числе и гибридной карты) для создания поддельной карты с последующим ее применением в магнитном терминале в оффлайновом режиме;

• использование гибридных карт в магнитных терминалах;

• подделывание гибридных карты (неправильная персонализация чипа и использовование fallback на магнитную полосу или менять кода обслуживания карты при переносе данных на заготовку с магнитной полосой и использование карты в режиме floor limit).

Значительную брешь в операциях с микропроцессорными картами создает использование банками режима Fallback. Платежные системы уже обязали банки отказаться от этого режима в банкоматных транзакциях (Fallback разрешается под ответственность обслуживающего банка). Более того, в ближайшее время сегодня обязательное использование режима Fallback в POS-терминалах будет заменено на опциональное решение для страновых рынков. В этом случае в странах, где уровень соответствия стандартам международных платежных систем высокий, банки откажутся от использования резервной авторизации по магнитной полосе.