Банкоматное мошенничество

Первый в мире банкомат (далее — АТМ[202]) был разработан Де Ля Рю (De La Rue) и установлен в The Town (Church Street) № 20 в северном районе Лондона Enfield 27 июня 1967 г. банком Barclays Bank. Это изобретение приписывают Джону Шеферду-Бэррону (John Shepherd-Barron), хотя Лютер Джордж Симджан (Luther George Simjian) еще в 1939 г. получил соответствующий патент в Нью Йорке (США), а Дон Ветцель (Don Wetzel) и еще два инженера из компании Docutel получили патент 4 июня 1973 г. Шеферд-Бэррон в 2004 г. был удостоен Ордена Британской империи за заслуги в развитии банковского дела. Идея хранения ПИН-кода на физической карте и сравнения его с вводимым значением при снятии денег была предложена британским инженером Джеймсом Гудфеллоу (James Goodfellow) в 1965 г., который также обладает соответствующими патентами. Первые банкоматы принимали одноразовые перфорированные пластинки или пропитанные Carbon 14 (изотоп углерода) бумажные чеки. Использование магнитной полосы на банкоматных картах началось с 1969 г. в банкоматах фирмы Docutel. Магнитная полоса на банковских платежных картах NABANCO (c 1977 г. Visa USA) появилась в 1972 г., а в 1973 г. Американская банковская ассоциация сделала ее своим стандартом. В настоящий момент в мире насчитывается более 1,5 млн банкоматов.

В последнее время значительно возрос уровень мошенничества при использовании банкоматов.

Банкоматное мошенничество — противоправные деяния в отношении банкоматов (их технологической инфраструктуры), направленные на хищение денежных средств и информационных ресурсов (в том числе приготовление к такому хищению).

Потери от данного вида мошенничества в США составили 2,79 млрд долл. за год на конец мая 2005 г. (Gartner), в Великобритании за 2006 г. — 61,9 млн ф. ст. В Латинской Америке АТМ мошенничество с 2001 г. по 2005 г. выросло на 15 %.

Факторы угроз, с которыми сталкивается ATM-индустрия:

• небрежность и неосведомленность держателей карт;

• соучастие в преступлениях инсайдеров;

• трансграничность преступлений;

• появление новых угроз в связи изменениями, как в технологии карточной индустрии так и с развитием общества в целом;

• развитие высокотехнологичных форм преступления, требующих специальных знаний;

• повышение уровня угроз со стороны традиционной преступности.

Особенности преступлений в отношении банкоматов:

• закрытость информации относительно преступлений против ATM;

• нет систематизации по данному виду преступлений;

• преступления против ATM квалифицируются как грабеж, кража, мошенничество или совсем не попадают под понятие уголовного преступления;

• отсутствие полных и достоверных данных о преступлениях против ATM;

• отсутствие криминалистических исследований в данной области;

• отсутствие согласованных действий в данной области со стороны правоохранительных органов, производителей кредитных организаций, процессинговых центров.

Преступления, связанных с банкоматами классифицируются следующим образом.

1. Направленные на держателей карт:

• ограбление держателя карты при получении или внесении денежных средств;

• получение держателем карты денежных средств под принуждением со стороны преступника;

• мошенничество со стороны легитимных держателей карт.

2. Направленные на денежные средства:

• хищение банкомата вместе с денежными средствами;

• взлом сейфа банкомата с целью хищения денежных средств;

• хищение денежных средств путем монтажа дополнительных устройств на механизм выдачи купюр;

• ограбление при инкассации.

3. Направленные на карту и/или ее реквизиты:

• копирование магнитной полосы карты;

• заедание карты в считывающем устройстве (ридере) с целью ее дальнейше-го незаконного изъятия;

• подмена или присвоение карты незаметно для держателя после выполнения операции на банкомате;

• фальшивые банкоматы;

• кибератака — информация о реквизитах карты присваивается путем незаконного доступа в систему банкоматов или к каналам связи.

4. Направленные на ПИН-код карты:

• подглядывание через плечо;

• скрытые видеокамеры;

• накладные клавиатуры;

• увеличительные оптические приборы (бинокли и т. п.);

• фальшивые банкоматы;

• криптографические атаки;

• модификация или неавторизованный доступ в систему банкоматов;

• запись тональных сигналов при наборе ПИН-кода, которые далее расшифровываются.

5. Направленные на банкомат (технологию) — нарушение целостности, конфиденциальности или доступности системы (технологии) ATM посредством несанкционированного кибервторжения.

6. Другие (например, фишинг).

Методы совершения злонамеренных действий при банкоматном мошенничестве

Если попробовать классифицировать методы, с помощью которых мошенники пытаются добыть наличность из банкомата, то их достаточно много — мы насчитали восемнадцать. Рассмотрим каждый из методов подробнее, некоторые проиллюстрируем случаями из практики.

1. Одна из главных проблем заключается в том, что многие держатели платежных карт записывают свой ПИН-код прямо на карте или на каком-либо носителе (лист бумаги, записная книжка, мобильный телефон), хранимом вместе с картой. Если карта утеряна или украдена (обычно вместе с бумажником, барсеткой, сумочкой), то у вора оказывается и карта, и персональный код. В таком случае мошенникам совсем нетрудно получить наличные деньги. Согласно информации опубликованной APACS (Association for payment clearing services-ассоциация систем клиринговых платежей — Великобритания) за 2006 год 8 % английских держателей карт не могут запомнить свой ПИН-код, поэтому записывают его. Еще более печальные цифры приводит английский банк Abbey National: 55 % держателей забывали свой ПИН-код, 39 % — записывают. По данным социологического опроса Национального Агентства Финансовых Исследований (НАФИ) 11,6 % россиян хранят ПИН-код вместе с картой, в Москве данный показатель составляет 13,8 %. При этом 19,8 % российских держателей теряли свою карту (Россия). Таким образом, получаем, что 2,29 % держателей платежных карт в России утрачивают карту вместе с ПИН. Представляется, что с увеличением количества карт в России (наличие нескольких карт у одного человека), процент держателей, записывающих свои ПИН-коды, будет неуклонно расти.

2. Часто сотрудники банка при расследовании случаев мошенничества обнаруживают, что речь идет о «дружественном» мошенничестве. Член семьи, близкий друг, коллега по работе берет карту без разрешения ее законного владельца (иногда в сговоре с ним) и получает деньги из банкомата. Далее законный держатель карты отказывается от проведенных операций. В России 9,9 % держателей передавали свою карту третьим лицам (по данным НАФИ), в Великобритании 7 % держателей говорили кому-либо свой ПИН-код (по данным APACS). Основным способом борьбы с «дружественным» мошенничеством служит установка видеонаблюдения в местах расположения банкоматов.

3. «Подглядывание из-за плеча». Мошенник может узнать ПИН-код держателя банковской карты, подглядывая из-за его плеча, пока тот вводит свой код, выполняя банкоматные операции по карте. При этом могут использоваться специальные оптические приборы. После получения мошенником ПИН-код карта может быть просто похищена у держателя либо при использовании карты одновременно производится несанкционированное копирование магнитной полосы, для изготовления в последующем «белого пластика»[203].

Данная угроза увеличится при введении ПИН-кодов по смарт картам и картам Maestro в торговых предприятиях. Показателен всплеск мошеннических операций по снятию наличных в банкоматах после введения требования ввода ПИН-кода в предприятиях торговли по всем картам MasterCard и VISA в Украине в 2002 г.

В январе 2004 г. в Японии были арестованы преступники, которые установили камеры видеонаблюдения в гольф-клубе таким образом, чтобы записывать коды цифровых замков на шкафчиках для переодевания. При этом они обосновано полагали, что эти коды будут совпадать с ПИН-кодами платежных карт клиентов клуба. Узнав коды шкафчиков, мошенники вскрывали их, копировали магнитные полосы карт, изготавливали «белый пластик» и снимали деньги в банкоматах (ПИН-код соответствовал коду на шкафчике). Таким способом денежные средства были похищены со счетов более 150 держателей карт. Всего в 2004 г. в Японии было совершено 411 инцидентов с банкоматным мошенничеством и потери составили 968 млн йен.

В Великобритании, где каждый держатель имеет в среднем 4 карты, 27 % используют один и тот же ПИН-код для всех карт, а 20 % никогда не закрывают ПИН-код при его использовании (APACS).

4. «Ливанская петля» (траппинг). Злоумышленник вставляет внутрь прорези для считывания карт (картридер) кусок 35-мм фотопленки, которая разрезана таким образом, что карта застревает и не возвращается назад (П-образный обратный клапан). Находящийся снаружи кусок фотопленки приклеен к банкомату и выглядит как его часть. Ничего не подозревающий держатель банковской карты вводит карту в банкомат в попытке получить наличные средства. Карта застревает в «ливанской петле» и транзакция не происходит. Мошенник «оказывается» неподалеку и предлагает свою помощь держателю банковской карты. Он рекомендует вновь ввести ПИН-код, а когда из этого ничего не получается, спрашивает у держателя карты ПИН-код и вводит его сам, говоря при этом, что он уже видел такие случаи и что при повторном вводе ПИН-кода карта возвращалась. Карта, конечно, не возвращается, а мошенник совершенно искренне рекомендует держателю банковской карты связаться с банком с самого раннего утра на следующий день. После того как клиент уходит, пленка вместе с картой извлекается из банкомата. Таким образом, у злоумышленника оказывается в руках и действующая карта, и надлежащий ПИН-код. В результате можно в любом банкомате получить наличные денежные средства.

5. Подмена или хищение карты. При проведении операции по карте в банкомате перед тем как карта должна выйти обратно мошенники отвлекают держателя и либо похищают карту, либо её подменяют в момент выдачи банкоматом. Обычно они действуют в группе, один отвлекает, другой забирает карту. Часто для отвлечения внимания используется красивая девушка для держателей мужчин либо на землю (пол) роняют денежную купюру и говорят держателю, что это он её обронил, человек наклоняется за купюрой, карта исчезает. ПИН-код похищенной карты подсматривается «из-за плеча» (см. способ 3).

6. «Щипачество». На банкоматах установлены датчики, которые позволяют убедиться, что деньги с лотка банкомата взяты. При оставлении в лотке хотя бы одной купюры датчик дает сигнал, что деньги не были забраны. В этом случае банкомат посылает в банк сообщение об аннулировании операции снятия денег со счета, поскольку деньги не были взяты физически. Мошенник забирает себе деньги и подает в банк претензию о неполучении в банкомате всей суммы. Неполученная держателем сумма блокируется, но если за период инкассации таких операций было несколько, в том числе действительно неполученные суммы денежных средств, то установить истину очень сложно.

7. Известны случаи установки фальшивых накладок на окна выдачи наличных денежных средств банкоматов — cash trapping. После запроса законным держателем денежных средств купюры задерживаются данным устройством и не выдаются держателю. Далее мошенник снимает накладку вместе с наличными средствами.

Согласно данным Европейской группы по безопасности банкоматов (European ATM security team — EAST) в 2005 г. в Европе зафиксировано 850 случаев мошенничества типа «ливанская петля», «щипачество», захват купюр и общие потери составили 2,37 млн долл.

8. «Фальшивые» банкоматы. В последнее время преступники воспользовались ростом числа банкоматов и стали применять «фальшивые» банкоматы. Мошенники разрабатывают и производят новые фальшивые банкоматы либо переделывают старые, которые выглядят как настоящие. Первый зарегистрированный случай установки поддельного АТМ произошел в 1993 г., когда преступная группа известная как Buckland Boys установила такой банкомат в торговом центре Манчестера. В наше время данный способ мошенничества продолжает существовать.

9. Недобросовестные владельцы банкоматов. В ряде стран (например, США, Канада и др.) любой гражданин может свободно купить банкомат, заключить соответствующие договоры на его обслуживание, установить и получать прибыль. То же самое могут сделать и мошенники. После введения карты и ПИН-кода мошенники копируют информацию с магнитной полосы карты и сам ПИН-код. Затем они могут использовать утерянные, украденные карты или «белый пластик» для изготовления поддельных карт. Такие карты можно использовать в настоящих банкоматах, поскольку информация на магнитной полосе действительна, а ПИН-код верен.

В США в декабре 2003 г. был арестован мошенник, который купил и установил в Калифорнии, Флориде и Нью-Йорке порядка 55 банкоматов. В результате этого он получил информацию о более чем 21 тыс. номеров банковских карт 1400 различных банков на сумму более 3,5 млн долл. США.

10. Кибератаки. В сентябре 2006 г. телекомпания WAVY-TV сообщила об одном инциденте когда хакер получил права администратора на АТМ и изменил номиналы загруженных купюр на 5 долларовые вместо 20 долларовых. Это стало возможно, в результате того, что пароли доступа в систему были оставлены по умолчанию.

В 2006 г. на Украине были отмечены очень высокотехнологичные атаки на инфраструктуру банкоматных сетей. Злоумышленники избрали своей целью банкоматы подключенные с использованием радиорелейных каналов связи, при этом банки не использовали ни VPN-каналы, ни функцию МАС. Путем сканирования радиоэфира определялась частота канала связи банкомата. Далее осуществлялся перехват банкомата на мошеннический эмулятор хост-системы процессинга. Мошенники вставляли карту в банкомат и направляли запрос на выдачу наличных денежных средств. Но данные запросы не попадали к эквайреру, а перехватывались эмулятором хоста мошенников, который на все запросы выдавал положительную авторизацию. В то время как банкомат выдавал мошенникам денежные средства, эквайрер думал, что с банкоматом просто отсутствует связь.

11. Мошеннический ПИН-ПАД[204]. Держателю карты может быть предложено, ввести ПИН-код не в настоящий ПИН-ПАД (терминал), а в ложное устройство, его эмулирующее, которое запомнит ПИН-код либо в модифицированный терминал (ПИН-ПАД) (устройство, помимо выполнения штатных процедур, несанкционированно записывающее ПИН-код). В разгар летнего туристического сезона 2006–2007 гг. такой вид мошенничества был отмечен российскими банками на территории Турции. Держателям карт предлагалась услуга получения по карте наличных денежных средств, но не в отделениях банка, а в торговых точках. Часто на них были вывески post-office. При этом операция для банка эмитента представлялась как покупка в предприятии торговли, а не выдача наличных денежных средств. У держателя карты при проведении транзакции запрашивали ПИН-код. Только ПИН-код не направлялся на проверку эмитенту, а негласно копировался вместе с магнитной полосой карты. Через некоторое время из банкоматов производились операции по поддельной карте.

12. Физические нападения на банкоматы — кражи банкоматов, взлом сейфов.

13. Вандализм. В последнее время, в связи с усилением угрозы терроризма, отмечены случаи использования мест установки банкоматов для организации взрывов.

25 августа 2004 г. в южном турецком городе Дертйол взорвалась бомба, заложенная перед банкоматом. В результате взрыва ранены семь человек.

14. Ограбления держателей карт. После получения запрошенной суммы держателями карт в банкоматах, преступники нападают на них и в результате ограбления или разбоя завладевают денежными средствами. Оборудование банкоматов тревожными кнопками иногда ожесточало нападавших и приводило к более тяжелым последствиям для потерпевших, вплоть до смертельного исхода. В США более 2000 банкоматов оборудованы кнопкой «911». По данным страховых компаний в США порядка 82 % страховых случаев держателей карт наступают в результате принудительного изъятия карты преступниками.

15. «Фишинг» (phishing). Классический фишинг — рассылка электронных писем для того, чтобы пользователи Интернет посетили веб-сайты, похожие на сайты электронной коммерции, различных фирм и банков, но созданные и контролируемые мошенниками. По данным Международной ассоциации по борьбе с фишингом (APWG) в 2006 г. было зарегистрировано 268 126 сообщений о фишинговых атаках (734 атаки в день).

Одна из разновидностей фишинга — фарминг (pharming). В данном случае пользователь Интернет, набирая в адресной строке правильный адрес, все равно перенаправляется на мошеннический сайт. Атака возможна как на самом компьютере пользователя с использованием «троянцев» (изменяется таблица соответствия DNS имён и цифровых IP-адресов), так и непосредственно на DNS сервера, при этом затронуты будут уже большее количество пользователей.

В июле 2006 г. было сообщение об атаке клиентов калифорнийского банка Santa Barbara с помощью использования технологии передачи голоса через интернет VoIP, получившей название вишинг (vishing). Летом 2007 г. держатели карт в Москве получали ложные смс-сообщения о задолженности с их стороны по банковским кредитам. Для выяснения ситуации необходимо было перезвонить в банк по указанному телефону. При звонке по ложному телефону, подставной «сотрудник банка» выяснял у держателя номер банковской карты, срок её действия и другую информацию. Полученная таким образам информация, позволяла злоумышленника осуществлять Интернет транзакции.

В результате массовости и больших масштабов фишинга (51 % англичан не контролируют изменение в адресной стоке интернет броузера с http на https и 25 % раскрывали свой ПИН-код кому-либо) и скимминга (несанкционированного копирования информации с магнитной полосы карты) происходит симбиоз данных направлений мошенничества. Фишинг дает большую базу данных номеров карт с ПИН-кодами, а скимминг — базу со вторыми дорожками магнитных карт. В итоге мошенники из обеих групп обмениваются информаций и получают возможность изготовить поддельную банковскую карту с известным ПИН-кодом. На кардерских сайтах идет активный обмен информацией (купля-продажа) о номерах банковских карт, сроках действия и ПИН (без второго трека), что подтверждает реализацию фишинговых атак банкоматными мошенниками.

16. Устройства копирующие магнитную полосу. Перед ридером банкомата монтируется устройство, считывающее информацию с магнитной полосы карты при ее введении в банкомат (скиммер).

17. Накладные клавиатуры. Предназначены для перехвата вводимого ПИН-кода. В простейшем случае злоумышленник может совсем не использовать никаких дополнительных устройств. Достаточно протереть ПИН-клавиатуру, а после введения ПИН-кодом держателем, когда он отойдет от банкомата, посыпать её тальком. В результате мошенник получает цифры из которых состоит ПИН-код, остается только подобрать их порядок (существует всего лишь 24 комбинации перебора всех вариантов). Учитывая технологию некоторых процессинговых центров, при которой неверные попытки набора ПИН-кодом сбрасываются, если в один день не превышен общий порог количества неверных попыток, то подобрать значение ПИН-кода очень легко.

18. Миниатюрные видеокамеры. Развитие электронных технологий привело к появлению на рынке недорогих миниатюрных видеокамер, которые могут работать от автономных источников электроэнергии несколько часов и передавать видеосигнал по радиоканалу (стоимость такой камеры в Москве менее 2 тыс. руб.). Устанавливая её незаметно и маскируя под какое-либо устройство, злоумышленник может дистанционно получать информацию о вводимых держателями ПИН-кодах.

Цель установки скиммеров, накладных клавиатур и мини видеокамер — считать закодированную на магнитной полосе информацию и персональный код держателя банковской карты. Похищенная таким способом информация может быть нанесена на другие карты и использована вместе с соответствующими персональными идентификационными номерами для получения денег в банкоматах. Зачастую это происходит уже не в тех странах, где была получена информация о подлинных картах и персональных кодах пользователя.

28 февраля 2000 г. в Брюсселе был задержан российский компьютерщик, подделывавший банковские магнитные карточки. Мошенник сконструировал миниатюрный сканнер, считывающий информацию с банковских магнитных карточек. Сканнер вставлялся в банкомат. Ничего не подозревающий очередной клиент набирал код доступа к своему счету, получал некую сумму и уходил. Затем следивший за ним на расстоянии мошенник извлекал устройство из банкомата и переписывал информацию на чистую пластиковую карту. Он также использовал миниатюрную видеокамеру, которая размещалась рядом с банкоматом — с помощью нее можно было снять набор пароля карточки.

Аналогичные устройства были зафиксированы правоохранительными органами в Канаде, Соединенных Штатах Америки, Бразилии, Японии, Малайзии. По данным Европейской группы по безопасности банкоматов в Европе в 2005 г. отмечено 3143 случаев скимминга на банкоматах, потери составили 52,3 млн долл.

В декабре 2002 г. была произведена установка скрытых видеокамер на банкомат в г. Москве.

22 апреля 2003 г. московским правоохранительным органам удалось задержать группу мошенников, похитивших с банковских счетов граждан более 700 тыс. долл. через банкоматы. Специальное устройство вставлялось в устройство приема карточки банкомата. В момент, когда держатель снимал деньги, устройство считывало параметры его карты. Кроме того, мошенники изготовили миниатюрную видеокамеру, которая позволяла им увидеть ПИН-код.

Осенью 2004 г. и весной 2005 г. подобные устройства были обнаружены в Волгограде.

В марте и мае 2006 г. были обнаружены скиммеры и минивидеокамеры на банкоматах в Санкт-Петербурге.

В декабре 2006 г. январе 2007 г. на нескольких банкоматах Москвы и Санкт-Петербурга были зафиксированы следы установки накладных клавиатур и скиммеров. Некоторые устройства были изъяты. В мае 2007 г. в Екатеринбурге были задержаны лица, устанавливающие аналогичные устройства на банкоматы города.

Летом 2007 г. подобные устройства были обнаружены в любимых россиянами местах отдыха — в Пхукете и Ялте. В сентябре 2007 г. на банкомате в г. Омске были обнаружены устройства аналогичные изъятым в Ялте, что говорит о международном размахе в деятельности преступных элементов. В ноябре 2007 г. скиминговое устройство и накладную клавиатуру злоумышленники установили на одном из банкоматов на Олимпийском проспекте в г. Москве.

В Интернете на кардерских[205] сайтах можно встретить предложения о продаже скиммеров для банкоматов по цене от четырех до 6 тыс. долл. США. Одно из таких устройств имеет следующие характеристики:

• считывает 1-ю и 2-ю дорожки;

• хранит до 2000 треков;

• содержит перезаряжаемую внутреннюю батарею, работающую от 53 до 54 часов непрерывной работы;

• все считываемые данные имеют метку времени: год, месяц, день, час, минута, секунда;

• двунаправленное считывание дорожки (скиммер считывает данные как при вставке карты в банкомат, так и при ее возврате);

• доступ к считанным данным защищен паролем — это удобно для случаев, когда вы работаете с партнерами, которым не доверяете;

• поставляется с ПО и полной инструкцией;

• задняя часть слота скиммера более широкая, поэтому не возникает проблем с обратным ходом карты;

• внутренность устройства заполнена твердой эпоксидной смолой для предотвращения выхода из строя электронных компонент и размыкания контактов;

• скиммер устойчив к дрожанию карты.

Производители банкоматов, обеспокоенные данным явлением, стали производить дополнительные устройства для защиты банкоматов от данного вида устройств.

Компания Wincor Nixdorf приступила к поставке на рынок специальных антискимминговых модулей, разработанных для защиты банкоматов от мошеннических действий. Модуль безопасности, устанавливаемым на банкомат, оборудован специальными датчиками для контроля области картоприемника, позволяя выявлять несанкционированную установку на банкомат любых посторонних устройств. При подозрении на подобное подключение модуль подает сигнал оповещения в соответствующие службы, ответственные за обеспечение безопасности банкоматов, одновременно останавливая работу подвергнувшегося атаке АТМ.

Компания Diebold разработала систему S. A. F. E. — Secure Anti-Fraud Enhancements (повышенная безопасность против мошенничества). Призвана обеспечить защиту от большинства видов мошенничества. Специальная округленная форма вокруг считывателя карт, затрудняющая монтаж скиммеров. Джиттер[206] обеспечивает неравномерность движения при поступлении карты в считыватель. В наличии имеется датчик против ливанской петли. Осуществляется постоянный контроль считывателя карты, когда он не используется. Зеркала позволяют держателю видеть обстановку за спиной. Углубленное расположение клавиатуры и монитора осложняют действия подглядывающего из-за плеча.

Компания NCR сообщила о разработанном ею новом продукте для противодействия банкоматному мошенничеству. По словам разработчиков Intelligent Fraud Detection (интеллектуальное обнаружение мошенничества) объединяет лучшие решения в данном направлении и предназначен для обнаружения любых посторонних устройств, монтируемых на банкомате (задерживающих в ридере карту, видеокамер, скимминговых считывателей).

Влияние микропроцессорных карт на банкоматное мошенничество

Наиболее слабым звеном с точки зрения безопасности карт с магнитной полосой является собственно сама магнитная полоса. Её легко скопировать, легко изготовить подделку (т. е. записать информацию на другую карту или заготовку), наибольшие потери для банков приносит скимминг. Переход на МПК влечет за собой неоспоримое преимущество: труднее изготовить поддельный микропроцессор. Тем самым обеспечивается высокий уровень безопасности финансовых операций и сокращение потерь от мошенничества. Однако, это касается «чистых» МПК без магнитной полосы.

EMV миграция предполагает постепенный переход от карт с магнитной полосой к картам с микропроцессором. Для обеспечения совместимости двух технологий на время переходного периода появляются комбинированные карты и с магнитной полосой и с микропроцессором.

В настоящий момент можно найти описание различных атак на МПК, но, несмотря на имеющиеся уязвимости МПК и реальность осуществления их взлома, представляется, что в настоящий момент усилия мошенников будут направлены не на взлом «чистых» МПК, а на использование уязвимости комбинированных карт (магнитная полоса + микропроцессор).

Как это не парадоксально звучит, но на время переходного периода использование комбинированных карт с магнитной полосой и с микропроцессором увеличивает уязвимость технологии платежных карт.

Угрозы МПК + угрозы полосы = новые угрозы!

Чтобы доказать данное утверждение, рассмотрим опыт Великобритании. Такой выбор обусловлен тем, что в данной стране, во-первых, 97 % карт эмитировано с МПК, 98 % терминалов поддерживают чип, и вероятность обслуживания карты по чипу составляет более 95 %, а, во-вторых, APACS в открытом доступе регулярно публикует многочисленные статистические материалы, которые позволяют рассмотреть процессы в их историческом развитии (рис. 1–3).

Почему же на общем фоне снижения уровня потерь из-за мошенничества банкоматное мошенничество наоборот не только не останавливается, но имеет явно выраженную тенденцию к росту? Дело в том, что с появлением МПК и развитием технологии платежных карт появляются новые источники компрометации ПИН. А именно, появилась программа «ЧИП и ПИН» — проведение операций в торгово-сервисных предприятиях по чипу с использованием ПИН. На картах только с магнитной полосой ПИН (кроме карт Maestro) использовался только в банкоматах, поэтому его компрометация могла произойти в ограниченных точках: при совершении операций в банкоматах; посредством фишинга; с использованием «человеческого фактора».

Человеческий фактор (несоблюдение мер безопасности) весьма сложно поддается влиянию со стороны банков, требует усилий по обучению держателей и достаточно большого временного интервала, чтобы результаты обучения, сказались на практике.

Одной из эффективных мер противодействия фишингу со стороны эмитентов является запись на магнитную полосу карты для проверки ПИН-код значения PVV (четыре цифры — 10 000 значений) и CVV/CVC (три цифры — 1000 значений). Держатель не знает эти данные и не может их сообщить в результате фишинговой атаки. Чтобы изготовить карту и получить по ней деньги в банкомате (зная её номер и срок действия, считаем, что сервис код также известен мошеннику), необходимо получить комбинацию из семи десятичных цифр (10 000 000 вариантов). Следствием применения такой технологии будет соответствие стандарту безопасности PCI DSS (PVV не хранится у эмитента) и отсутствие у держателей возможности менять ПИН-код (что делает его случайным и более безопасным, чем, если бы ПИН-код они выбирали бы самостоятельно).

Если рассмотреть динамику мошеннических операций по видам, то представится следующая картина (рис. 4).

Программа «ЧИП и ПИН», которая предполагает введение ПИН-кода при операциях в торговых предприятиях по микропроцессорным картам, призвана привести к снижению мошенничества в двух наиболее весомых сегментах:

1) по поддельным картам уровень мошенничества с 2001 г. (160,4 млн ф. ст.) к 2006 году (99,6 млн ф. ст.) снизился в 1,61 раза;

2) по утраченным картам уровень мошенничества с 2001 г. (114 млн ф. ст.) к 2006 году (68,4 млн ф. ст.) снизился в 1,67 раз.

Если бы использовались карты только с микропроцессором (без магнитной полосы), то данная программа себя оправдывала бы. В реальности получается, что от программы «ЧИП и ПИН» стратегические потери гораздо больше тактических кратковременных выгод. Дело в том, что мошенники, используя данную программу, копируют в торгово-сервисных предприятиях ПИН-код держателя и магнитную полосу карты, а не микропроцессор (подделывать микропроцессор экономически не целесообразно). В результате изготавливается поддельная карта, с помощью которой снимаются денежные средства в банкоматах, не умеющих работать с микропроцессорными картами. Таких банкоматов на сегодняшний день большое количество — это рынок США, который еще даже не собирается переходить на микропроцессорные карты. Последствия такой атаки гораздо болезненней, чем выгода от программы «ЧИП и ПИН».

Мошеннические операции по поддельным микропроцессорным картам проводятся по магнитной полосе или с использованием ее реквизитов (МО/ТО, Интернет). В связи с тем, что мошеннические операции производятся по магнитной полосе, то метод верификации держателя карты, определенный эмитентом в Cardholder verification method Type не имеет значения. Верификация держателя происходит согласно service code — 201 (МПК, нормальная авторизация, нормальная верификация). Получается, что сокращение мошенничества по поддельным картам с МПК происходит не за счет введения в торгово-сервисных предприятиях (далее — ТСП) ПИНа, а за счет применения ЧИПа. Если при обслуживании МПК по ЧИПу верификацию держателя производить по подписи, то мошенничество по поддельным картам не увеличится относительно верификации по ПИН-коду. Для обеспечения влияния ПИН-код на сокращение мошенничества по поддельным картам необходимо требование ввода ПИН-кода в ТСП при операциях и с магнитной полосой, чего в настоящий момент нет (кроме карт Maestro). При попытке расплатиться в ТСП украденной или утерянной картой с микропроцессором по технологии «ЧИП и ПИН», если терминал поддерживает ЧИП, необходимо ввести ПИН. Поскольку мошенник его не знает, то проведение операции невозможно (если не вывести из рабочего состояния микропроцессор и потом провести операцию fallback[207]). Следовательно, сокращение мошенничества по утраченным картам с МПК происходит за счет ПИНа, но до момента уведомления держателем эмитента об утрате ответственность по таким операциям (согласно договорам обслуживания карт) лежит на клиенте. Возможные потери эмитента — только оффлайновые операции, совершенные после уведомления клиентом об утрате карты. Таким образом, если отказаться от технологии «ЧИП и ПИН» потери банков по поддельным и утраченным картам не увеличатся, а банкоматное мошенничество сократится.

Представляется, что программа «ЧИП и ПИН» на переходный период для комбинированных карт является стратегической ошибкой. Необходимо при обслуживании комбинированных карт в предприятиях торговли оставить, использовавшийся ранее на картах с магнитной полосой, способ верификации держателя по подписи. Для банков-эмитентов это не приведет к увеличению потерь, так как при проведении мошеннической операции по магнитной полосе МПК, абсолютно не важно, как была запрограммирована верификация держателя на микропроцессоре, в результате же использования мошенниками утраченных карт, потери эмитентов будут невелики, так как ответственность по таким операциях до момента уведомления лежит на клиенте. Потери по оффлайновым операциям можно снизить за счет настроек параметров безопасности микропроцессора.

При совершении операций по МПК в ТСП вводится ПИН-код. Это влечет:

• увеличение точек ввода ПИН-кода (количество POS-терминалов во много раз превышает АТМ);

• места установки POS-терминалов отличаются от мест установки АТМ (при вводе ПИН-кода рядом с держателем находится кассир и другие клиенты — нет зоны безопасности);

• POS-терминал является менее защищенным устройством по сравнению с АТМ;

• POS терминал менее контролируем со стороны эквайрера чем АТМ (отключение от процессинга, модернизация, подмена и др.).

Негативные последствия программы «ЧИП и ПИН»:

• увеличение количества компрометаций ПИН-кодов за счет появления новых потенциальных точек (ТСП);

• увеличение потерь по банкоматному мошенничеству. Потери по скомпрометированной карте в АТМ больше чем в ТСП;

• неготовность банков к противодействию мошенническим операциям в АТМ. Если с мошенничеством в предприятиях торговли банки уже научились бороться (вплоть до разрыва договорных отношений и заявления в правоохранительные органы о возбуждении уголовного дела), то в случае если у банка-эквайера в его банкоматах идут операции по поддельным картам, не совсем ясно, что же делать (отключать банкомат не будет никто);

• компрометация ПИН-код как аналога собственноручной подписи, как следствие — мошенничество со стороны легитимных держателей. Данный вид мошенничества ставит под сомнение собственно ПИН-код как аналог собственноручной подписи держателя, а следовательно, и легитимность операций, в том числе и законных держателей, подтвержденных ПИН-кодом. Негативные последствия данной дискредитации ПИН-кода для банков-эмитентов будут очень болезненны;

• появляются новые атаки на уровне терминала (мошеннический ПИН-ПАД).

Все вышеизложенное находит свое практическое подтверждение.

Май 2006 г. компания SHELL в Великобритании прекратила использовать на безозаправочных терминалах приема платежных карт технологию «чип и пин» после того как мошенники украли более 1 млн ф. ст. Шестьсот терминалов были модифицированы мошенниками в целях несанкционированного копирования 2 трека магнитной полосы и ПИН-кода и поддельные карты использовались в не чиповых банкоматах.

Июль 2006 г. Банк Lloyds-TSB заявил о возросшем уровне мошенничества по МПК из банкоматов в других странах.

Август 2006 г. Монреаль. Модернизация торговых терминалов с целью копирования магнитной полосы и ПИН (18 тыс. карт).

Август 2006 г. Копенгаген. В книжном магазине у держателей копировалась магнитная полоса и ПИН-код (509 карт за 3 дня). Далее снимались денежные средства в банкоматах.

2007 г. Уведомление от MasterCard (Ref Number: 200702_001) об атаках в Австрии, Германии, Швейцарии, Швеции, выразившихся в замене подлинных терминалов ложными с функцией перехвата ПИН-кодов.

Рассмотрим подробнее угрозы, которые появляются с использованием технологии «ЧИП и ПИН».

• «Подглядывание из-за плеча». Мошенник может узнать персональный код держателя банковской карты, подглядывая из-за его плеча, пока тот вводит свой код, выполняя операции в ТСП. При этом магнитная полоса может негласно копироваться либо позднее карта похищается. В банкоматах данная угроза также существует, но уровень ее существенно ниже. При грамотной установке банкоматов они имеют так называемую зону безопасности, пространство, которое отделяет держателя карты, пользующегося банкоматом, от остальных людей в очереди. В торговом предприятии такую зону создать невозможно, дополнительно рядом с держателем присутствует кассир, который также может видеть вводимый ПИН-код.

• Подмена криптографического ключа. В торговый терминал (пин-пад) загружается известный злоумышленнику криптографический ключ ТМК (терминальный мастер ключ). После осуществляется перехват вторых дорожек и ПИН-блоков (транзакции с он-лайн проверкой ПИН-кода проходить не будут (не верный ПИН-код), но мошенник перехватывает нужную ему информацию). В результате мошенник получает вторые дорожки карт и зашифрованные известным ему криптографическим ключом ПИН-блоки. Далее изготавливается «белый пластик» и деньги снимаются в настоящем банкомате. Если в торговом терминале реализована оффлайновая проверка чистого ПИН-кода, и терминал с пин-падом являются различными физическими устройствами (подключены соединительным проводом), то возможна замена криптографического ключа, на котором зашифровывается пин-блок при передаче от пин-пада к терминалу. Если этот пин-блок перехватить, то очень легко можно получить значение ПИН-кода. При этом торговый терминал будет нормально работать, а эквайрер не будет знать о подмене ключа. Проверка зашифрованного ПИН не решит проблему. Так как ключ шифрования ПИН-блока известен (открытый ключ карты) и возможна атака полным перебором (10 000 вариантов).

• Мошенничество со стороны персонала ТСП.

До технологии «ЧИП и ПИН» недобросовестный сотрудник торгового предприятия мог только скопировать магнитную полосу карты (скимминг). Теперь же он получает возможность дополнительно узнать и ПИН-код как обычным подглядыванием за его вводом, так и с использованием технических средств (например видеокамер). В результате эффективность деятельности мошенников увеличивается и растут потери банков. Поскольку, похитив только информацию с магнитной полосы карты, необходимо изготовить поддельную карту, что требует определенных затрат. Далее с такой картой нужно прийти в магазин и осуществить покупку. Мошенник не знает доступный на карте баланс, всегда есть риск, что персонал торговой точки определит поддельность карты и злоумышленника задержат правоохранительные органы. В случае же копирования второго трека полосы карты и получения ПИН-кода, затраты на изготовление «белого пластика» минимальны. Использование такой карты в банкомате влечет значительно меньший риск быть задержанным по сравнению с предприятием торговли и есть возможность снять все денежные средства, доступные на карточном счете.

К уязвимостям стандарта EMV следует отнести, во-первых, легкую доступность ПИН-кода (учитывая, что магнитная полоса остается на смарткартах, по ним возможно проведение не чиповых операций, что увеличивает риск компрометации карт). Во-вторых, EMV предполагает аутентификацию карты и эмитента, но не предусматривает аутентификацию подлинности терминала, в связи с чем усилятся атаки на сам терминал — от простой подмены, до модернизации. Что уже сейчас подтверждается данными. Так, исследователи Кембриджского университета 5 января 2007 г. перепрограммировали «ЧИП и ПИН»-терминал, превратив его в игровую приставку для игры в «тетрис».

Появились новые атаки на уровне терминала (разновидность мошеннического ПИН-ПАДа) — атака трансляцией. Данный вид атаки позволяет злоумышленнику с использованием относительно недорогого оборудования (при реализации затраты комплектующих составили 442 долл. США) осуществить перехват и трансляцию всего трафика между подлинной МПК картой и подлинным торговым терминалом. При этом подлинные карта и терминал географически находятся в разных точках и осуществляют взаимодействие через поддельные терминал и карту соответственно, которые имеют удаленную связь между собой.

Для уменьшения потерь от банкоматного мошенничества из-за компроментации ПИН-кода в торговых предприятиях для верификации (проверки) держателя необходимо использовать верификацию держателя по подписи chip-and-signature (ЧИП и подпись). Для повышения общего уровня безопасности ПИН-кодом требуется соблюдение требований PCI DSS и усиление криптографической безопасности — переход с криптографического алгоритма DES на 3DES с ключами двойной длины; поточное шифрование, создание VPN-туннелей при подключении терминальных устройств к процессинговым центрам; использование функции макирования (МАС) на всех терминальных устройствах; внедрение технологии удаленной загрузки терминальных мастер ключей (Remote Key Management).

Уязвимости банкоматов

Другой угрозой наиболее сильно влияющей в последнее время на банкоматное мошенничество, особенно в России, являются физические нападения на банкоматы. Связано это с тем, что первоначально в России развитие карточного бизнеса начиналось с зарплатных проектов. Как следствие банкоматы в большинстве своем ставили на территории предприятия и доступ к ним со стороны посторонних лиц был либо существенно затруднен, либо банкомат находился под контролем местной охраны. С развитием розницы в карточках, ориентации на клиентов «с улицы», а так же при высокой конкуренции между банками, количество общедоступных банкоматов увеличивается. При этом, если при зарплатном проекте администрация предприятия, на котором установлен банкомат, понимает, что данное устройство обеспечивает выдачу заработной платы её работникам и это, таким образом выгодно и самому предприятию, следовательно, предпринимает необходимые меры по его охране и безопасности. В случае же установки большинства общедоступных банкоматов в условиях конкурентной борьбы банков предприятие, предоставляющее в аренду площадь для установки банкомата, не заинтересовано в дополнительных затратах на его безопасность. Вместе с тем при физическом нападении на банкоматы используются традиционные криминальные методы, которые уже отработаны на протяжении достаточно длительного периода времени и имеют своих подготовленных исполнителей. То есть для физического нападения на банкомат не требуются новые высокотехнологические технологии, а применяются давно известные способы кражи или вскрытия сейфов. На новую отрасль банковской индустрии в настоящее время обращает свое внимание традиционный криминал. С его точки зрения банкомат — это сейф с деньгами. И этот сейф может быть установлен не в специально оборудованном средствами инженерно-технической защиты помещении, а в свободном доступе.

В 2003 г. за полгода в Японии было совершено 49 ограблений банкоматов при помощи экскаваторов. Ущерб составил несколько миллионов долларов. В связи с тем, что для строительной техники используется один ключ для всей серии, ее очень легко угнать с ближайшей стройки.

В США в основном похищают небольшие по габаритам и весу (low-end) банкоматы из магазинов не оборудованных сигнализацией. В Нью-Йорке январе-июле за 2004 г. изъято 23 банкомата, в штат Иллинойс за 2004 г. изъято 27 банкоматов, в Филадельфии декабрь 2003 г. — май 2004 г. более 30 банкоматов.

По данным Европейской группы по безопасности банкоматов (EAST) с января по сентябрь 2004 г. в Европе было зафиксировано 600 случаев данного вида преступлений, общий ущерб составил 6 млн евро; в 2005 г. — 1572 случая данного вида инцидентов, общий ущерб составил 20,2 млн долл. США.

В 2005 г. в США было украдено 200 банкоматов, в Великобритании — более 125.

В Нидерландах в 2005 г. отмечено 17 физических нападений на банкоматы. Из них 10 с использование тяжелых транспортных средств, 5 — газообразных взрывчатых веществ (в сейфе отверстие, заполняется газом и взрывается, банкноты не повреждаются).

В США 80 % страховых случаев с физическими нападениями на банкоматы — это кражи. Согласно данным, опубликованным компанией Diebild, в 4,5 млн долл. в год — обходятся в США физические нападения на банкоматы.

В России только в Санкт-Петербурге в 2005–2006 гг. было совершено 11 нападений на банкоматы, общая сумма ущерба составила 12 545 899 руб. В целом по стране статистика тоже малоутешительна (см. далее хронику банкоматного мошеничества в Приложение 1 к настоящему разделу).

Преступники взламывают сейфы банкоматов, разрезают их сваркой или «болгаркой», похищают с места установки. Способы хищений самые разнообразные — тайные, разбойные, путем обмана под видом сотрудников банка, осуществляющих плановую замену банкомата и т. п.

В связи с этим банкам необходимо разработать внутренние регламентирующие документы по выбору мест установки банкоматов. Приведенные ниже рекомендации являются шаблоном для собственной методики, которая должна учитывать особенности бизнеса конкретного банка.

При выборе места установки банкомата необходимо учитывать:

1) безопасность держателей карт при пользовании банкоматом;

2) безопасность работников, осуществляющих инкассацию;

3) возможность хищения банкомата;

4) возможность вскрытия банкомата в целях хищения денежных средств или оборудования, находящегося внутри;

5) возможность вандализма по отношению к банкомату;

6) криминогенную обстановку в данной местности;

7) наличие инженерно-технических средств защиты (охранная сигнализация, видеонаблюдение и др.).

Рекомендуется ввести категории безопасности мест установки банкоматов (I — самая безопасная).

I. В помещениях кредитной организации.

II. В помещениях других предприятий (организаций, учреждений) с ограниченным доступом (пропускной режим).

III. В помещениях других предприятий (организаций, учреждений) со свободным доступом.

IV. В стенах (проемах) зданий для обслуживания клиентов со стороны улиц.

В зависимости от категории места разрабатываются различные требования к ним. Разумеется, приведенный список является примерным и может изменяться или добавляться в зависимости от специфики конкретного банка (например, дополнительно можно ввести следующие категории — в помещениях железнодорожных вокзалов; на метрополитене).

Общие рекомендации по установке банкомата:

1) пространство перед банкоматом должно быть освещено, в том числе в темное время суток, если режим работы банкомата предполагает обслуживание клиентов в это время.

2) должен быть обеспечен подъезд инкассаторского автомобиля на максимально близкое расстояние ко входу в помещение, где установлен банкомат.

3) расположение банкомата должно позволить бригаде инкассации своевременно принять необходимые меры в случае нападения как на пути следования к банкомату, так и во время его обслуживания.

4) все банкоматы оснащаются системами видеорегистрации.

5) запрещается установка банкоматов рядом с зеркальными поверхностями, в том числе под зеркальными потолками, позволяющими со стороны увидеть процесс ввода ПИН-кода.

Далее необходимо разработать конкретные требования для каждой категории.

ПРИМЕР

I категория

II категория

III категория

IV категория

При этом необходимо отметить, что с точки зрения безопасности дополнительные меры п. 1 и 2 являются скорее основными. Именно они позволят обеспечить высокий уровень безопасности банкоматов и минимальные финансовые потери в случае физического нападения. Но требования бизнеса по минимизации затрат и увеличению прибыльности зачастую не дает возможности использовать их в качестве основных.

Для уменьшения потерь от банкоматного мошенничества помимо мер, принимаемых со стороны банков, платежных систем, производителей, правоохранительных органов необходимо обращать внимание на держателей карт. От их правильного, безопасного использования своих платежных карт так же зависит успешное противостояние преступным посягательствам на финансовые средства. Необходимо разработать рекомендации по пользованию банкоматами, которые должны быть легко доступны клиентам. При появлении различных мошеннических схем эту информацию с предоставлением рекомендаций необходимо доводить до держателей. Особенно эффективно использовать при этом возможности средств массовой информации. (рекомендации держателям банковских карт при совершении ими операций в банкоматах и Интернет см. приложение 2 к настоящему разделу).

ПРИЛОЖЕНИЕ 1

Хроника банкоматного мошенничества в России (2004–2007 гг.)

ПРИЛОЖЕНИЕ 2

Памятка держателю карты по использованию банкоматов

Меры безопасности при использовании банковской карты в сети Интернет

Первый в мире банкомат (далее — АТМ[202]) был разработан Де Ля Рю (De La Rue) и установлен в The Town (Church Street) № 20 в северном районе Лондона Enfield 27 июня 1967 г. банком Barclays Bank. Это изобретение приписывают Джону Шеферду-Бэррону (John Shepherd-Barron), хотя Лютер Джордж Симджан (Luther George Simjian) еще в 1939 г. получил соответствующий патент в Нью Йорке (США), а Дон Ветцель (Don Wetzel) и еще два инженера из компании Docutel получили патент 4 июня 1973 г. Шеферд-Бэррон в 2004 г. был удостоен Ордена Британской империи за заслуги в развитии банковского дела. Идея хранения ПИН-кода на физической карте и сравнения его с вводимым значением при снятии денег была предложена британским инженером Джеймсом Гудфеллоу (James Goodfellow) в 1965 г., который также обладает соответствующими патентами. Первые банкоматы принимали одноразовые перфорированные пластинки или пропитанные Carbon 14 (изотоп углерода) бумажные чеки. Использование магнитной полосы на банкоматных картах началось с 1969 г. в банкоматах фирмы Docutel. Магнитная полоса на банковских платежных картах NABANCO (c 1977 г. Visa USA) появилась в 1972 г., а в 1973 г. Американская банковская ассоциация сделала ее своим стандартом. В настоящий момент в мире насчитывается более 1,5 млн банкоматов.

В последнее время значительно возрос уровень мошенничества при использовании банкоматов.

Банкоматное мошенничество — противоправные деяния в отношении банкоматов (их технологической инфраструктуры), направленные на хищение денежных средств и информационных ресурсов (в том числе приготовление к такому хищению).

Потери от данного вида мошенничества в США составили 2,79 млрд долл. за год на конец мая 2005 г. (Gartner), в Великобритании за 2006 г. — 61,9 млн ф. ст. В Латинской Америке АТМ мошенничество с 2001 г. по 2005 г. выросло на 15 %.

Факторы угроз, с которыми сталкивается ATM-индустрия:

• небрежность и неосведомленность держателей карт;

• соучастие в преступлениях инсайдеров;

• трансграничность преступлений;

• появление новых угроз в связи изменениями, как в технологии карточной индустрии так и с развитием общества в целом;

• развитие высокотехнологичных форм преступления, требующих специальных знаний;

• повышение уровня угроз со стороны традиционной преступности.

Особенности преступлений в отношении банкоматов:

• закрытость информации относительно преступлений против ATM;

• нет систематизации по данному виду преступлений;

• преступления против ATM квалифицируются как грабеж, кража, мошенничество или совсем не попадают под понятие уголовного преступления;

• отсутствие полных и достоверных данных о преступлениях против ATM;

• отсутствие криминалистических исследований в данной области;

• отсутствие согласованных действий в данной области со стороны правоохранительных органов, производителей кредитных организаций, процессинговых центров.

Преступления, связанных с банкоматами классифицируются следующим образом.

1. Направленные на держателей карт:

• ограбление держателя карты при получении или внесении денежных средств;

• получение держателем карты денежных средств под принуждением со стороны преступника;

• мошенничество со стороны легитимных держателей карт.

2. Направленные на денежные средства:

• хищение банкомата вместе с денежными средствами;

• взлом сейфа банкомата с целью хищения денежных средств;

• хищение денежных средств путем монтажа дополнительных устройств на механизм выдачи купюр;

• ограбление при инкассации.

3. Направленные на карту и/или ее реквизиты:

• копирование магнитной полосы карты;

• заедание карты в считывающем устройстве (ридере) с целью ее дальнейше-го незаконного изъятия;

• подмена или присвоение карты незаметно для держателя после выполнения операции на банкомате;

• фальшивые банкоматы;

• кибератака — информация о реквизитах карты присваивается путем незаконного доступа в систему банкоматов или к каналам связи.

4. Направленные на ПИН-код карты:

• подглядывание через плечо;

• скрытые видеокамеры;

• накладные клавиатуры;

• увеличительные оптические приборы (бинокли и т. п.);

• фальшивые банкоматы;

• криптографические атаки;

• модификация или неавторизованный доступ в систему банкоматов;

• запись тональных сигналов при наборе ПИН-кода, которые далее расшифровываются.

5. Направленные на банкомат (технологию) — нарушение целостности, конфиденциальности или доступности системы (технологии) ATM посредством несанкционированного кибервторжения.

6. Другие (например, фишинг).

Методы совершения злонамеренных действий при банкоматном мошенничестве

Если попробовать классифицировать методы, с помощью которых мошенники пытаются добыть наличность из банкомата, то их достаточно много — мы насчитали восемнадцать. Рассмотрим каждый из методов подробнее, некоторые проиллюстрируем случаями из практики.

1. Одна из главных проблем заключается в том, что многие держатели платежных карт записывают свой ПИН-код прямо на карте или на каком-либо носителе (лист бумаги, записная книжка, мобильный телефон), хранимом вместе с картой. Если карта утеряна или украдена (обычно вместе с бумажником, барсеткой, сумочкой), то у вора оказывается и карта, и персональный код. В таком случае мошенникам совсем нетрудно получить наличные деньги. Согласно информации опубликованной APACS (Association for payment clearing services-ассоциация систем клиринговых платежей — Великобритания) за 2006 год 8 % английских держателей карт не могут запомнить свой ПИН-код, поэтому записывают его. Еще более печальные цифры приводит английский банк Abbey National: 55 % держателей забывали свой ПИН-код, 39 % — записывают. По данным социологического опроса Национального Агентства Финансовых Исследований (НАФИ) 11,6 % россиян хранят ПИН-код вместе с картой, в Москве данный показатель составляет 13,8 %. При этом 19,8 % российских держателей теряли свою карту (Россия). Таким образом, получаем, что 2,29 % держателей платежных карт в России утрачивают карту вместе с ПИН. Представляется, что с увеличением количества карт в России (наличие нескольких карт у одного человека), процент держателей, записывающих свои ПИН-коды, будет неуклонно расти.

2. Часто сотрудники банка при расследовании случаев мошенничества обнаруживают, что речь идет о «дружественном» мошенничестве. Член семьи, близкий друг, коллега по работе берет карту без разрешения ее законного владельца (иногда в сговоре с ним) и получает деньги из банкомата. Далее законный держатель карты отказывается от проведенных операций. В России 9,9 % держателей передавали свою карту третьим лицам (по данным НАФИ), в Великобритании 7 % держателей говорили кому-либо свой ПИН-код (по данным APACS). Основным способом борьбы с «дружественным» мошенничеством служит установка видеонаблюдения в местах расположения банкоматов.

3. «Подглядывание из-за плеча». Мошенник может узнать ПИН-код держателя банковской карты, подглядывая из-за его плеча, пока тот вводит свой код, выполняя банкоматные операции по карте. При этом могут использоваться специальные оптические приборы. После получения мошенником ПИН-код карта может быть просто похищена у держателя либо при использовании карты одновременно производится несанкционированное копирование магнитной полосы, для изготовления в последующем «белого пластика»[203].

Данная угроза увеличится при введении ПИН-кодов по смарт картам и картам Maestro в торговых предприятиях. Показателен всплеск мошеннических операций по снятию наличных в банкоматах после введения требования ввода ПИН-кода в предприятиях торговли по всем картам MasterCard и VISA в Украине в 2002 г.

В январе 2004 г. в Японии были арестованы преступники, которые установили камеры видеонаблюдения в гольф-клубе таким образом, чтобы записывать коды цифровых замков на шкафчиках для переодевания. При этом они обосновано полагали, что эти коды будут совпадать с ПИН-кодами платежных карт клиентов клуба. Узнав коды шкафчиков, мошенники вскрывали их, копировали магнитные полосы карт, изготавливали «белый пластик» и снимали деньги в банкоматах (ПИН-код соответствовал коду на шкафчике). Таким способом денежные средства были похищены со счетов более 150 держателей карт. Всего в 2004 г. в Японии было совершено 411 инцидентов с банкоматным мошенничеством и потери составили 968 млн йен.

В Великобритании, где каждый держатель имеет в среднем 4 карты, 27 % используют один и тот же ПИН-код для всех карт, а 20 % никогда не закрывают ПИН-код при его использовании (APACS).

4. «Ливанская петля» (траппинг). Злоумышленник вставляет внутрь прорези для считывания карт (картридер) кусок 35-мм фотопленки, которая разрезана таким образом, что карта застревает и не возвращается назад (П-образный обратный клапан). Находящийся снаружи кусок фотопленки приклеен к банкомату и выглядит как его часть. Ничего не подозревающий держатель банковской карты вводит карту в банкомат в попытке получить наличные средства. Карта застревает в «ливанской петле» и транзакция не происходит. Мошенник «оказывается» неподалеку и предлагает свою помощь держателю банковской карты. Он рекомендует вновь ввести ПИН-код, а когда из этого ничего не получается, спрашивает у держателя карты ПИН-код и вводит его сам, говоря при этом, что он уже видел такие случаи и что при повторном вводе ПИН-кода карта возвращалась. Карта, конечно, не возвращается, а мошенник совершенно искренне рекомендует держателю банковской карты связаться с банком с самого раннего утра на следующий день. После того как клиент уходит, пленка вместе с картой извлекается из банкомата. Таким образом, у злоумышленника оказывается в руках и действующая карта, и надлежащий ПИН-код. В результате можно в любом банкомате получить наличные денежные средства.

5. Подмена или хищение карты. При проведении операции по карте в банкомате перед тем как карта должна выйти обратно мошенники отвлекают держателя и либо похищают карту, либо её подменяют в момент выдачи банкоматом. Обычно они действуют в группе, один отвлекает, другой забирает карту. Часто для отвлечения внимания используется красивая девушка для держателей мужчин либо на землю (пол) роняют денежную купюру и говорят держателю, что это он её обронил, человек наклоняется за купюрой, карта исчезает. ПИН-код похищенной карты подсматривается «из-за плеча» (см. способ 3).

6. «Щипачество». На банкоматах установлены датчики, которые позволяют убедиться, что деньги с лотка банкомата взяты. При оставлении в лотке хотя бы одной купюры датчик дает сигнал, что деньги не были забраны. В этом случае банкомат посылает в банк сообщение об аннулировании операции снятия денег со счета, поскольку деньги не были взяты физически. Мошенник забирает себе деньги и подает в банк претензию о неполучении в банкомате всей суммы. Неполученная держателем сумма блокируется, но если за период инкассации таких операций было несколько, в том числе действительно неполученные суммы денежных средств, то установить истину очень сложно.

7. Известны случаи установки фальшивых накладок на окна выдачи наличных денежных средств банкоматов — cash trapping. После запроса законным держателем денежных средств купюры задерживаются данным устройством и не выдаются держателю. Далее мошенник снимает накладку вместе с наличными средствами.

Согласно данным Европейской группы по безопасности банкоматов (European ATM security team — EAST) в 2005 г. в Европе зафиксировано 850 случаев мошенничества типа «ливанская петля», «щипачество», захват купюр и общие потери составили 2,37 млн долл.

8. «Фальшивые» банкоматы. В последнее время преступники воспользовались ростом числа банкоматов и стали применять «фальшивые» банкоматы. Мошенники разрабатывают и производят новые фальшивые банкоматы либо переделывают старые, которые выглядят как настоящие. Первый зарегистрированный случай установки поддельного АТМ произошел в 1993 г., когда преступная группа известная как Buckland Boys установила такой банкомат в торговом центре Манчестера. В наше время данный способ мошенничества продолжает существовать.

9. Недобросовестные владельцы банкоматов. В ряде стран (например, США, Канада и др.) любой гражданин может свободно купить банкомат, заключить соответствующие договоры на его обслуживание, установить и получать прибыль. То же самое могут сделать и мошенники. После введения карты и ПИН-кода мошенники копируют информацию с магнитной полосы карты и сам ПИН-код. Затем они могут использовать утерянные, украденные карты или «белый пластик» для изготовления поддельных карт. Такие карты можно использовать в настоящих банкоматах, поскольку информация на магнитной полосе действительна, а ПИН-код верен.

В США в декабре 2003 г. был арестован мошенник, который купил и установил в Калифорнии, Флориде и Нью-Йорке порядка 55 банкоматов. В результате этого он получил информацию о более чем 21 тыс. номеров банковских карт 1400 различных банков на сумму более 3,5 млн долл. США.

10. Кибератаки. В сентябре 2006 г. телекомпания WAVY-TV сообщила об одном инциденте когда хакер получил права администратора на АТМ и изменил номиналы загруженных купюр на 5 долларовые вместо 20 долларовых. Это стало возможно, в результате того, что пароли доступа в систему были оставлены по умолчанию.

В 2006 г. на Украине были отмечены очень высокотехнологичные атаки на инфраструктуру банкоматных сетей. Злоумышленники избрали своей целью банкоматы подключенные с использованием радиорелейных каналов связи, при этом банки не использовали ни VPN-каналы, ни функцию МАС. Путем сканирования радиоэфира определялась частота канала связи банкомата. Далее осуществлялся перехват банкомата на мошеннический эмулятор хост-системы процессинга. Мошенники вставляли карту в банкомат и направляли запрос на выдачу наличных денежных средств. Но данные запросы не попадали к эквайреру, а перехватывались эмулятором хоста мошенников, который на все запросы выдавал положительную авторизацию. В то время как банкомат выдавал мошенникам денежные средства, эквайрер думал, что с банкоматом просто отсутствует связь.

11. Мошеннический ПИН-ПАД[204]. Держателю карты может быть предложено, ввести ПИН-код не в настоящий ПИН-ПАД (терминал), а в ложное устройство, его эмулирующее, которое запомнит ПИН-код либо в модифицированный терминал (ПИН-ПАД) (устройство, помимо выполнения штатных процедур, несанкционированно записывающее ПИН-код). В разгар летнего туристического сезона 2006–2007 гг. такой вид мошенничества был отмечен российскими банками на территории Турции. Держателям карт предлагалась услуга получения по карте наличных денежных средств, но не в отделениях банка, а в торговых точках. Часто на них были вывески post-office. При этом операция для банка эмитента представлялась как покупка в предприятии торговли, а не выдача наличных денежных средств. У держателя карты при проведении транзакции запрашивали ПИН-код. Только ПИН-код не направлялся на проверку эмитенту, а негласно копировался вместе с магнитной полосой карты. Через некоторое время из банкоматов производились операции по поддельной карте.

12. Физические нападения на банкоматы — кражи банкоматов, взлом сейфов.

13. Вандализм. В последнее время, в связи с усилением угрозы терроризма, отмечены случаи использования мест установки банкоматов для организации взрывов.

25 августа 2004 г. в южном турецком городе Дертйол взорвалась бомба, заложенная перед банкоматом. В результате взрыва ранены семь человек.

14. Ограбления держателей карт. После получения запрошенной суммы держателями карт в банкоматах, преступники нападают на них и в результате ограбления или разбоя завладевают денежными средствами. Оборудование банкоматов тревожными кнопками иногда ожесточало нападавших и приводило к более тяжелым последствиям для потерпевших, вплоть до смертельного исхода. В США более 2000 банкоматов оборудованы кнопкой «911». По данным страховых компаний в США порядка 82 % страховых случаев держателей карт наступают в результате принудительного изъятия карты преступниками.

15. «Фишинг» (phishing). Классический фишинг — рассылка электронных писем для того, чтобы пользователи Интернет посетили веб-сайты, похожие на сайты электронной коммерции, различных фирм и банков, но созданные и контролируемые мошенниками. По данным Международной ассоциации по борьбе с фишингом (APWG) в 2006 г. было зарегистрировано 268 126 сообщений о фишинговых атаках (734 атаки в день).

Одна из разновидностей фишинга — фарминг (pharming). В данном случае пользователь Интернет, набирая в адресной строке правильный адрес, все равно перенаправляется на мошеннический сайт. Атака возможна как на самом компьютере пользователя с использованием «троянцев» (изменяется таблица соответствия DNS имён и цифровых IP-адресов), так и непосредственно на DNS сервера, при этом затронуты будут уже большее количество пользователей.

В июле 2006 г. было сообщение об атаке клиентов калифорнийского банка Santa Barbara с помощью использования технологии передачи голоса через интернет VoIP, получившей название вишинг (vishing). Летом 2007 г. держатели карт в Москве получали ложные смс-сообщения о задолженности с их стороны по банковским кредитам. Для выяснения ситуации необходимо было перезвонить в банк по указанному телефону. При звонке по ложному телефону, подставной «сотрудник банка» выяснял у держателя номер банковской карты, срок её действия и другую информацию. Полученная таким образам информация, позволяла злоумышленника осуществлять Интернет транзакции.

В результате массовости и больших масштабов фишинга (51 % англичан не контролируют изменение в адресной стоке интернет броузера с http на https и 25 % раскрывали свой ПИН-код кому-либо) и скимминга (несанкционированного копирования информации с магнитной полосы карты) происходит симбиоз данных направлений мошенничества. Фишинг дает большую базу данных номеров карт с ПИН-кодами, а скимминг — базу со вторыми дорожками магнитных карт. В итоге мошенники из обеих групп обмениваются информаций и получают возможность изготовить поддельную банковскую карту с известным ПИН-кодом. На кардерских сайтах идет активный обмен информацией (купля-продажа) о номерах банковских карт, сроках действия и ПИН (без второго трека), что подтверждает реализацию фишинговых атак банкоматными мошенниками.

16. Устройства копирующие магнитную полосу. Перед ридером банкомата монтируется устройство, считывающее информацию с магнитной полосы карты при ее введении в банкомат (скиммер).

17. Накладные клавиатуры. Предназначены для перехвата вводимого ПИН-кода. В простейшем случае злоумышленник может совсем не использовать никаких дополнительных устройств. Достаточно протереть ПИН-клавиатуру, а после введения ПИН-кодом держателем, когда он отойдет от банкомата, посыпать её тальком. В результате мошенник получает цифры из которых состоит ПИН-код, остается только подобрать их порядок (существует всего лишь 24 комбинации перебора всех вариантов). Учитывая технологию некоторых процессинговых центров, при которой неверные попытки набора ПИН-кодом сбрасываются, если в один день не превышен общий порог количества неверных попыток, то подобрать значение ПИН-кода очень легко.

18. Миниатюрные видеокамеры. Развитие электронных технологий привело к появлению на рынке недорогих миниатюрных видеокамер, которые могут работать от автономных источников электроэнергии несколько часов и передавать видеосигнал по радиоканалу (стоимость такой камеры в Москве менее 2 тыс. руб.). Устанавливая её незаметно и маскируя под какое-либо устройство, злоумышленник может дистанционно получать информацию о вводимых держателями ПИН-кодах.

Цель установки скиммеров, накладных клавиатур и мини видеокамер — считать закодированную на магнитной полосе информацию и персональный код держателя банковской карты. Похищенная таким способом информация может быть нанесена на другие карты и использована вместе с соответствующими персональными идентификационными номерами для получения денег в банкоматах. Зачастую это происходит уже не в тех странах, где была получена информация о подлинных картах и персональных кодах пользователя.

28 февраля 2000 г. в Брюсселе был задержан российский компьютерщик, подделывавший банковские магнитные карточки. Мошенник сконструировал миниатюрный сканнер, считывающий информацию с банковских магнитных карточек. Сканнер вставлялся в банкомат. Ничего не подозревающий очередной клиент набирал код доступа к своему счету, получал некую сумму и уходил. Затем следивший за ним на расстоянии мошенник извлекал устройство из банкомата и переписывал информацию на чистую пластиковую карту. Он также использовал миниатюрную видеокамеру, которая размещалась рядом с банкоматом — с помощью нее можно было снять набор пароля карточки.

Аналогичные устройства были зафиксированы правоохранительными органами в Канаде, Соединенных Штатах Америки, Бразилии, Японии, Малайзии. По данным Европейской группы по безопасности банкоматов в Европе в 2005 г. отмечено 3143 случаев скимминга на банкоматах, потери составили 52,3 млн долл.

В декабре 2002 г. была произведена установка скрытых видеокамер на банкомат в г. Москве.

22 апреля 2003 г. московским правоохранительным органам удалось задержать группу мошенников, похитивших с банковских счетов граждан более 700 тыс. долл. через банкоматы. Специальное устройство вставлялось в устройство приема карточки банкомата. В момент, когда держатель снимал деньги, устройство считывало параметры его карты. Кроме того, мошенники изготовили миниатюрную видеокамеру, которая позволяла им увидеть ПИН-код.

Осенью 2004 г. и весной 2005 г. подобные устройства были обнаружены в Волгограде.

В марте и мае 2006 г. были обнаружены скиммеры и минивидеокамеры на банкоматах в Санкт-Петербурге.

В декабре 2006 г. январе 2007 г. на нескольких банкоматах Москвы и Санкт-Петербурга были зафиксированы следы установки накладных клавиатур и скиммеров. Некоторые устройства были изъяты. В мае 2007 г. в Екатеринбурге были задержаны лица, устанавливающие аналогичные устройства на банкоматы города.

Летом 2007 г. подобные устройства были обнаружены в любимых россиянами местах отдыха — в Пхукете и Ялте. В сентябре 2007 г. на банкомате в г. Омске были обнаружены устройства аналогичные изъятым в Ялте, что говорит о международном размахе в деятельности преступных элементов. В ноябре 2007 г. скиминговое устройство и накладную клавиатуру злоумышленники установили на одном из банкоматов на Олимпийском проспекте в г. Москве.

В Интернете на кардерских[205] сайтах можно встретить предложения о продаже скиммеров для банкоматов по цене от четырех до 6 тыс. долл. США. Одно из таких устройств имеет следующие характеристики:

• считывает 1-ю и 2-ю дорожки;

• хранит до 2000 треков;

• содержит перезаряжаемую внутреннюю батарею, работающую от 53 до 54 часов непрерывной работы;

• все считываемые данные имеют метку времени: год, месяц, день, час, минута, секунда;

• двунаправленное считывание дорожки (скиммер считывает данные как при вставке карты в банкомат, так и при ее возврате);

• доступ к считанным данным защищен паролем — это удобно для случаев, когда вы работаете с партнерами, которым не доверяете;

• поставляется с ПО и полной инструкцией;

• задняя часть слота скиммера более широкая, поэтому не возникает проблем с обратным ходом карты;

• внутренность устройства заполнена твердой эпоксидной смолой для предотвращения выхода из строя электронных компонент и размыкания контактов;

• скиммер устойчив к дрожанию карты.

Производители банкоматов, обеспокоенные данным явлением, стали производить дополнительные устройства для защиты банкоматов от данного вида устройств.

Компания Wincor Nixdorf приступила к поставке на рынок специальных антискимминговых модулей, разработанных для защиты банкоматов от мошеннических действий. Модуль безопасности, устанавливаемым на банкомат, оборудован специальными датчиками для контроля области картоприемника, позволяя выявлять несанкционированную установку на банкомат любых посторонних устройств. При подозрении на подобное подключение модуль подает сигнал оповещения в соответствующие службы, ответственные за обеспечение безопасности банкоматов, одновременно останавливая работу подвергнувшегося атаке АТМ.

Компания Diebold разработала систему S. A. F. E. — Secure Anti-Fraud Enhancements (повышенная безопасность против мошенничества). Призвана обеспечить защиту от большинства видов мошенничества. Специальная округленная форма вокруг считывателя карт, затрудняющая монтаж скиммеров. Джиттер[206] обеспечивает неравномерность движения при поступлении карты в считыватель. В наличии имеется датчик против ливанской петли. Осуществляется постоянный контроль считывателя карты, когда он не используется. Зеркала позволяют держателю видеть обстановку за спиной. Углубленное расположение клавиатуры и монитора осложняют действия подглядывающего из-за плеча.

Компания NCR сообщила о разработанном ею новом продукте для противодействия банкоматному мошенничеству. По словам разработчиков Intelligent Fraud Detection (интеллектуальное обнаружение мошенничества) объединяет лучшие решения в данном направлении и предназначен для обнаружения любых посторонних устройств, монтируемых на банкомате (задерживающих в ридере карту, видеокамер, скимминговых считывателей).

Влияние микропроцессорных карт на банкоматное мошенничество

Наиболее слабым звеном с точки зрения безопасности карт с магнитной полосой является собственно сама магнитная полоса. Её легко скопировать, легко изготовить подделку (т. е. записать информацию на другую карту или заготовку), наибольшие потери для банков приносит скимминг. Переход на МПК влечет за собой неоспоримое преимущество: труднее изготовить поддельный микропроцессор. Тем самым обеспечивается высокий уровень безопасности финансовых операций и сокращение потерь от мошенничества. Однако, это касается «чистых» МПК без магнитной полосы.

EMV миграция предполагает постепенный переход от карт с магнитной полосой к картам с микропроцессором. Для обеспечения совместимости двух технологий на время переходного периода появляются комбинированные карты и с магнитной полосой и с микропроцессором.

В настоящий момент можно найти описание различных атак на МПК, но, несмотря на имеющиеся уязвимости МПК и реальность осуществления их взлома, представляется, что в настоящий момент усилия мошенников будут направлены не на взлом «чистых» МПК, а на использование уязвимости комбинированных карт (магнитная полоса + микропроцессор).

Как это не парадоксально звучит, но на время переходного периода использование комбинированных карт с магнитной полосой и с микропроцессором увеличивает уязвимость технологии платежных карт.

Угрозы МПК + угрозы полосы = новые угрозы!

Чтобы доказать данное утверждение, рассмотрим опыт Великобритании. Такой выбор обусловлен тем, что в данной стране, во-первых, 97 % карт эмитировано с МПК, 98 % терминалов поддерживают чип, и вероятность обслуживания карты по чипу составляет более 95 %, а, во-вторых, APACS в открытом доступе регулярно публикует многочисленные статистические материалы, которые позволяют рассмотреть процессы в их историческом развитии (рис. 1–3).

Почему же на общем фоне снижения уровня потерь из-за мошенничества банкоматное мошенничество наоборот не только не останавливается, но имеет явно выраженную тенденцию к росту? Дело в том, что с появлением МПК и развитием технологии платежных карт появляются новые источники компрометации ПИН. А именно, появилась программа «ЧИП и ПИН» — проведение операций в торгово-сервисных предприятиях по чипу с использованием ПИН. На картах только с магнитной полосой ПИН (кроме карт Maestro) использовался только в банкоматах, поэтому его компрометация могла произойти в ограниченных точках: при совершении операций в банкоматах; посредством фишинга; с использованием «человеческого фактора».

Человеческий фактор (несоблюдение мер безопасности) весьма сложно поддается влиянию со стороны банков, требует усилий по обучению держателей и достаточно большого временного интервала, чтобы результаты обучения, сказались на практике.

Одной из эффективных мер противодействия фишингу со стороны эмитентов является запись на магнитную полосу карты для проверки ПИН-код значения PVV (четыре цифры — 10 000 значений) и CVV/CVC (три цифры — 1000 значений). Держатель не знает эти данные и не может их сообщить в результате фишинговой атаки. Чтобы изготовить карту и получить по ней деньги в банкомате (зная её номер и срок действия, считаем, что сервис код также известен мошеннику), необходимо получить комбинацию из семи десятичных цифр (10 000 000 вариантов). Следствием применения такой технологии будет соответствие стандарту безопасности PCI DSS (PVV не хранится у эмитента) и отсутствие у держателей возможности менять ПИН-код (что делает его случайным и более безопасным, чем, если бы ПИН-код они выбирали бы самостоятельно).

Если рассмотреть динамику мошеннических операций по видам, то представится следующая картина (рис. 4).

Программа «ЧИП и ПИН», которая предполагает введение ПИН-кода при операциях в торговых предприятиях по микропроцессорным картам, призвана привести к снижению мошенничества в двух наиболее весомых сегментах:

1) по поддельным картам уровень мошенничества с 2001 г. (160,4 млн ф. ст.) к 2006 году (99,6 млн ф. ст.) снизился в 1,61 раза;

2) по утраченным картам уровень мошенничества с 2001 г. (114 млн ф. ст.) к 2006 году (68,4 млн ф. ст.) снизился в 1,67 раз.

Если бы использовались карты только с микропроцессором (без магнитной полосы), то данная программа себя оправдывала бы. В реальности получается, что от программы «ЧИП и ПИН» стратегические потери гораздо больше тактических кратковременных выгод. Дело в том, что мошенники, используя данную программу, копируют в торгово-сервисных предприятиях ПИН-код держателя и магнитную полосу карты, а не микропроцессор (подделывать микропроцессор экономически не целесообразно). В результате изготавливается поддельная карта, с помощью которой снимаются денежные средства в банкоматах, не умеющих работать с микропроцессорными картами. Таких банкоматов на сегодняшний день большое количество — это рынок США, который еще даже не собирается переходить на микропроцессорные карты. Последствия такой атаки гораздо болезненней, чем выгода от программы «ЧИП и ПИН».

Мошеннические операции по поддельным микропроцессорным картам проводятся по магнитной полосе или с использованием ее реквизитов (МО/ТО, Интернет). В связи с тем, что мошеннические операции производятся по магнитной полосе, то метод верификации держателя карты, определенный эмитентом в Cardholder verification method Type не имеет значения. Верификация держателя происходит согласно service code — 201 (МПК, нормальная авторизация, нормальная верификация). Получается, что сокращение мошенничества по поддельным картам с МПК происходит не за счет введения в торгово-сервисных предприятиях (далее — ТСП) ПИНа, а за счет применения ЧИПа. Если при обслуживании МПК по ЧИПу верификацию держателя производить по подписи, то мошенничество по поддельным картам не увеличится относительно верификации по ПИН-коду. Для обеспечения влияния ПИН-код на сокращение мошенничества по поддельным картам необходимо требование ввода ПИН-кода в ТСП при операциях и с магнитной полосой, чего в настоящий момент нет (кроме карт Maestro). При попытке расплатиться в ТСП украденной или утерянной картой с микропроцессором по технологии «ЧИП и ПИН», если терминал поддерживает ЧИП, необходимо ввести ПИН. Поскольку мошенник его не знает, то проведение операции невозможно (если не вывести из рабочего состояния микропроцессор и потом провести операцию fallback[207]). Следовательно, сокращение мошенничества по утраченным картам с МПК происходит за счет ПИНа, но до момента уведомления держателем эмитента об утрате ответственность по таким операциям (согласно договорам обслуживания карт) лежит на клиенте. Возможные потери эмитента — только оффлайновые операции, совершенные после уведомления клиентом об утрате карты. Таким образом, если отказаться от технологии «ЧИП и ПИН» потери банков по поддельным и утраченным картам не увеличатся, а банкоматное мошенничество сократится.

Представляется, что программа «ЧИП и ПИН» на переходный период для комбинированных карт является стратегической ошибкой. Необходимо при обслуживании комбинированных карт в предприятиях торговли оставить, использовавшийся ранее на картах с магнитной полосой, способ верификации держателя по подписи. Для банков-эмитентов это не приведет к увеличению потерь, так как при проведении мошеннической операции по магнитной полосе МПК, абсолютно не важно, как была запрограммирована верификация держателя на микропроцессоре, в результате же использования мошенниками утраченных карт, потери эмитентов будут невелики, так как ответственность по таким операциях до момента уведомления лежит на клиенте. Потери по оффлайновым операциям можно снизить за счет настроек параметров безопасности микропроцессора.

При совершении операций по МПК в ТСП вводится ПИН-код. Это влечет:

• увеличение точек ввода ПИН-кода (количество POS-терминалов во много раз превышает АТМ);

• места установки POS-терминалов отличаются от мест установки АТМ (при вводе ПИН-кода рядом с держателем находится кассир и другие клиенты — нет зоны безопасности);

• POS-терминал является менее защищенным устройством по сравнению с АТМ;

• POS терминал менее контролируем со стороны эквайрера чем АТМ (отключение от процессинга, модернизация, подмена и др.).

Негативные последствия программы «ЧИП и ПИН»:

• увеличение количества компрометаций ПИН-кодов за счет появления новых потенциальных точек (ТСП);

• увеличение потерь по банкоматному мошенничеству. Потери по скомпрометированной карте в АТМ больше чем в ТСП;

• неготовность банков к противодействию мошенническим операциям в АТМ. Если с мошенничеством в предприятиях торговли банки уже научились бороться (вплоть до разрыва договорных отношений и заявления в правоохранительные органы о возбуждении уголовного дела), то в случае если у банка-эквайера в его банкоматах идут операции по поддельным картам, не совсем ясно, что же делать (отключать банкомат не будет никто);

• компрометация ПИН-код как аналога собственноручной подписи, как следствие — мошенничество со стороны легитимных держателей. Данный вид мошенничества ставит под сомнение собственно ПИН-код как аналог собственноручной подписи держателя, а следовательно, и легитимность операций, в том числе и законных держателей, подтвержденных ПИН-кодом. Негативные последствия данной дискредитации ПИН-кода для банков-эмитентов будут очень болезненны;

• появляются новые атаки на уровне терминала (мошеннический ПИН-ПАД).

Все вышеизложенное находит свое практическое подтверждение.

Май 2006 г. компания SHELL в Великобритании прекратила использовать на безозаправочных терминалах приема платежных карт технологию «чип и пин» после того как мошенники украли более 1 млн ф. ст. Шестьсот терминалов были модифицированы мошенниками в целях несанкционированного копирования 2 трека магнитной полосы и ПИН-кода и поддельные карты использовались в не чиповых банкоматах.

Июль 2006 г. Банк Lloyds-TSB заявил о возросшем уровне мошенничества по МПК из банкоматов в других странах.

Август 2006 г. Монреаль. Модернизация торговых терминалов с целью копирования магнитной полосы и ПИН (18 тыс. карт).

Август 2006 г. Копенгаген. В книжном магазине у держателей копировалась магнитная полоса и ПИН-код (509 карт за 3 дня). Далее снимались денежные средства в банкоматах.

2007 г. Уведомление от MasterCard (Ref Number: 200702_001) об атаках в Австрии, Германии, Швейцарии, Швеции, выразившихся в замене подлинных терминалов ложными с функцией перехвата ПИН-кодов.

Рассмотрим подробнее угрозы, которые появляются с использованием технологии «ЧИП и ПИН».

• «Подглядывание из-за плеча». Мошенник может узнать персональный код держателя банковской карты, подглядывая из-за его плеча, пока тот вводит свой код, выполняя операции в ТСП. При этом магнитная полоса может негласно копироваться либо позднее карта похищается. В банкоматах данная угроза также существует, но уровень ее существенно ниже. При грамотной установке банкоматов они имеют так называемую зону безопасности, пространство, которое отделяет держателя карты, пользующегося банкоматом, от остальных людей в очереди. В торговом предприятии такую зону создать невозможно, дополнительно рядом с держателем присутствует кассир, который также может видеть вводимый ПИН-код.

• Подмена криптографического ключа. В торговый терминал (пин-пад) загружается известный злоумышленнику криптографический ключ ТМК (терминальный мастер ключ). После осуществляется перехват вторых дорожек и ПИН-блоков (транзакции с он-лайн проверкой ПИН-кода проходить не будут (не верный ПИН-код), но мошенник перехватывает нужную ему информацию). В результате мошенник получает вторые дорожки карт и зашифрованные известным ему криптографическим ключом ПИН-блоки. Далее изготавливается «белый пластик» и деньги снимаются в настоящем банкомате. Если в торговом терминале реализована оффлайновая проверка чистого ПИН-кода, и терминал с пин-падом являются различными физическими устройствами (подключены соединительным проводом), то возможна замена криптографического ключа, на котором зашифровывается пин-блок при передаче от пин-пада к терминалу. Если этот пин-блок перехватить, то очень легко можно получить значение ПИН-кода. При этом торговый терминал будет нормально работать, а эквайрер не будет знать о подмене ключа. Проверка зашифрованного ПИН не решит проблему. Так как ключ шифрования ПИН-блока известен (открытый ключ карты) и возможна атака полным перебором (10 000 вариантов).

• Мошенничество со стороны персонала ТСП.

До технологии «ЧИП и ПИН» недобросовестный сотрудник торгового предприятия мог только скопировать магнитную полосу карты (скимминг). Теперь же он получает возможность дополнительно узнать и ПИН-код как обычным подглядыванием за его вводом, так и с использованием технических средств (например видеокамер). В результате эффективность деятельности мошенников увеличивается и растут потери банков. Поскольку, похитив только информацию с магнитной полосы карты, необходимо изготовить поддельную карту, что требует определенных затрат. Далее с такой картой нужно прийти в магазин и осуществить покупку. Мошенник не знает доступный на карте баланс, всегда есть риск, что персонал торговой точки определит поддельность карты и злоумышленника задержат правоохранительные органы. В случае же копирования второго трека полосы карты и получения ПИН-кода, затраты на изготовление «белого пластика» минимальны. Использование такой карты в банкомате влечет значительно меньший риск быть задержанным по сравнению с предприятием торговли и есть возможность снять все денежные средства, доступные на карточном счете.

К уязвимостям стандарта EMV следует отнести, во-первых, легкую доступность ПИН-кода (учитывая, что магнитная полоса остается на смарткартах, по ним возможно проведение не чиповых операций, что увеличивает риск компрометации карт). Во-вторых, EMV предполагает аутентификацию карты и эмитента, но не предусматривает аутентификацию подлинности терминала, в связи с чем усилятся атаки на сам терминал — от простой подмены, до модернизации. Что уже сейчас подтверждается данными. Так, исследователи Кембриджского университета 5 января 2007 г. перепрограммировали «ЧИП и ПИН»-терминал, превратив его в игровую приставку для игры в «тетрис».

Появились новые атаки на уровне терминала (разновидность мошеннического ПИН-ПАДа) — атака трансляцией. Данный вид атаки позволяет злоумышленнику с использованием относительно недорогого оборудования (при реализации затраты комплектующих составили 442 долл. США) осуществить перехват и трансляцию всего трафика между подлинной МПК картой и подлинным торговым терминалом. При этом подлинные карта и терминал географически находятся в разных точках и осуществляют взаимодействие через поддельные терминал и карту соответственно, которые имеют удаленную связь между собой.

Для уменьшения потерь от банкоматного мошенничества из-за компроментации ПИН-кода в торговых предприятиях для верификации (проверки) держателя необходимо использовать верификацию держателя по подписи chip-and-signature (ЧИП и подпись). Для повышения общего уровня безопасности ПИН-кодом требуется соблюдение требований PCI DSS и усиление криптографической безопасности — переход с криптографического алгоритма DES на 3DES с ключами двойной длины; поточное шифрование, создание VPN-туннелей при подключении терминальных устройств к процессинговым центрам; использование функции макирования (МАС) на всех терминальных устройствах; внедрение технологии удаленной загрузки терминальных мастер ключей (Remote Key Management).

Уязвимости банкоматов

Другой угрозой наиболее сильно влияющей в последнее время на банкоматное мошенничество, особенно в России, являются физические нападения на банкоматы. Связано это с тем, что первоначально в России развитие карточного бизнеса начиналось с зарплатных проектов. Как следствие банкоматы в большинстве своем ставили на территории предприятия и доступ к ним со стороны посторонних лиц был либо существенно затруднен, либо банкомат находился под контролем местной охраны. С развитием розницы в карточках, ориентации на клиентов «с улицы», а так же при высокой конкуренции между банками, количество общедоступных банкоматов увеличивается. При этом, если при зарплатном проекте администрация предприятия, на котором установлен банкомат, понимает, что данное устройство обеспечивает выдачу заработной платы её работникам и это, таким образом выгодно и самому предприятию, следовательно, предпринимает необходимые меры по его охране и безопасности. В случае же установки большинства общедоступных банкоматов в условиях конкурентной борьбы банков предприятие, предоставляющее в аренду площадь для установки банкомата, не заинтересовано в дополнительных затратах на его безопасность. Вместе с тем при физическом нападении на банкоматы используются традиционные криминальные методы, которые уже отработаны на протяжении достаточно длительного периода времени и имеют своих подготовленных исполнителей. То есть для физического нападения на банкомат не требуются новые высокотехнологические технологии, а применяются давно известные способы кражи или вскрытия сейфов. На новую отрасль банковской индустрии в настоящее время обращает свое внимание традиционный криминал. С его точки зрения банкомат — это сейф с деньгами. И этот сейф может быть установлен не в специально оборудованном средствами инженерно-технической защиты помещении, а в свободном доступе.

В 2003 г. за полгода в Японии было совершено 49 ограблений банкоматов при помощи экскаваторов. Ущерб составил несколько миллионов долларов. В связи с тем, что для строительной техники используется один ключ для всей серии, ее очень легко угнать с ближайшей стройки.

В США в основном похищают небольшие по габаритам и весу (low-end) банкоматы из магазинов не оборудованных сигнализацией. В Нью-Йорке январе-июле за 2004 г. изъято 23 банкомата, в штат Иллинойс за 2004 г. изъято 27 банкоматов, в Филадельфии декабрь 2003 г. — май 2004 г. более 30 банкоматов.

По данным Европейской группы по безопасности банкоматов (EAST) с января по сентябрь 2004 г. в Европе было зафиксировано 600 случаев данного вида преступлений, общий ущерб составил 6 млн евро; в 2005 г. — 1572 случая данного вида инцидентов, общий ущерб составил 20,2 млн долл. США.

В 2005 г. в США было украдено 200 банкоматов, в Великобритании — более 125.

В Нидерландах в 2005 г. отмечено 17 физических нападений на банкоматы. Из них 10 с использование тяжелых транспортных средств, 5 — газообразных взрывчатых веществ (в сейфе отверстие, заполняется газом и взрывается, банкноты не повреждаются).

В США 80 % страховых случаев с физическими нападениями на банкоматы — это кражи. Согласно данным, опубликованным компанией Diebild, в 4,5 млн долл. в год — обходятся в США физические нападения на банкоматы.

В России только в Санкт-Петербурге в 2005–2006 гг. было совершено 11 нападений на банкоматы, общая сумма ущерба составила 12 545 899 руб. В целом по стране статистика тоже малоутешительна (см. далее хронику банкоматного мошеничества в Приложение 1 к настоящему разделу).

Преступники взламывают сейфы банкоматов, разрезают их сваркой или «болгаркой», похищают с места установки. Способы хищений самые разнообразные — тайные, разбойные, путем обмана под видом сотрудников банка, осуществляющих плановую замену банкомата и т. п.

В связи с этим банкам необходимо разработать внутренние регламентирующие документы по выбору мест установки банкоматов. Приведенные ниже рекомендации являются шаблоном для собственной методики, которая должна учитывать особенности бизнеса конкретного банка.

При выборе места установки банкомата необходимо учитывать:

1) безопасность держателей карт при пользовании банкоматом;

2) безопасность работников, осуществляющих инкассацию;

3) возможность хищения банкомата;

4) возможность вскрытия банкомата в целях хищения денежных средств или оборудования, находящегося внутри;

5) возможность вандализма по отношению к банкомату;

6) криминогенную обстановку в данной местности;

7) наличие инженерно-технических средств защиты (охранная сигнализация, видеонаблюдение и др.).

Рекомендуется ввести категории безопасности мест установки банкоматов (I — самая безопасная).

I. В помещениях кредитной организации.

II. В помещениях других предприятий (организаций, учреждений) с ограниченным доступом (пропускной режим).

III. В помещениях других предприятий (организаций, учреждений) со свободным доступом.

IV. В стенах (проемах) зданий для обслуживания клиентов со стороны улиц.

В зависимости от категории места разрабатываются различные требования к ним. Разумеется, приведенный список является примерным и может изменяться или добавляться в зависимости от специфики конкретного банка (например, дополнительно можно ввести следующие категории — в помещениях железнодорожных вокзалов; на метрополитене).

Общие рекомендации по установке банкомата:

1) пространство перед банкоматом должно быть освещено, в том числе в темное время суток, если режим работы банкомата предполагает обслуживание клиентов в это время.

2) должен быть обеспечен подъезд инкассаторского автомобиля на максимально близкое расстояние ко входу в помещение, где установлен банкомат.

3) расположение банкомата должно позволить бригаде инкассации своевременно принять необходимые меры в случае нападения как на пути следования к банкомату, так и во время его обслуживания.

4) все банкоматы оснащаются системами видеорегистрации.

5) запрещается установка банкоматов рядом с зеркальными поверхностями, в том числе под зеркальными потолками, позволяющими со стороны увидеть процесс ввода ПИН-кода.

Далее необходимо разработать конкретные требования для каждой категории.

ПРИМЕР

I категория

II категория

III категория

IV категория

При этом необходимо отметить, что с точки зрения безопасности дополнительные меры п. 1 и 2 являются скорее основными. Именно они позволят обеспечить высокий уровень безопасности банкоматов и минимальные финансовые потери в случае физического нападения. Но требования бизнеса по минимизации затрат и увеличению прибыльности зачастую не дает возможности использовать их в качестве основных.

Для уменьшения потерь от банкоматного мошенничества помимо мер, принимаемых со стороны банков, платежных систем, производителей, правоохранительных органов необходимо обращать внимание на держателей карт. От их правильного, безопасного использования своих платежных карт так же зависит успешное противостояние преступным посягательствам на финансовые средства. Необходимо разработать рекомендации по пользованию банкоматами, которые должны быть легко доступны клиентам. При появлении различных мошеннических схем эту информацию с предоставлением рекомендаций необходимо доводить до держателей. Особенно эффективно использовать при этом возможности средств массовой информации. (рекомендации держателям банковских карт при совершении ими операций в банкоматах и Интернет см. приложение 2 к настоящему разделу).

ПРИЛОЖЕНИЕ 1

Хроника банкоматного мошенничества в России (2004–2007 гг.)

ПРИЛОЖЕНИЕ 2

Памятка держателю карты по использованию банкоматов

Меры безопасности при использовании банковской карты в сети Интернет