Безопасность применения пластиковых карт законодательство и практика доклад

Обновлено: 13.05.2024

Часто в комментариях на Хабре приходится встречать высказывания, что российские банки не умеют хранить персональные данные, да и вообще не очень-то расположены защищать клиента, например, при покупках через интернет. На самом деле система безопасности банков продумана лучше, чем может показаться. На примере Газпромбанка разбираемся в деталях защиты данных клиентов.

На практике все не так просто, как кажется. Внутренние системы банка построены с учетом защиты клиентской информации — это определяют приказы регулятора. При этом в крупнейших банках, по крайней мере в ТОП-10, используется не какой-то единственный инструмент, а всесторонний подход, сложная многоступенчатая защита. Клиентские данные защищены сразу несколькими средствами.

Во-первых, о запросе информации моментально станет известно. Весь доступ к данным журналируется. Фиксируются даже запросы администраторов и суперпользователей. Кстати, рабочие места тех, кто связан с настройкой системы, контролируются еще и внешним оборудованием — так всегда можно узнать, зачем администратор заходил в систему.

Утечки изредка все же происходят. Но события, отмеченные Центральным Банком, связаны в основном с работой подрядчиков, которые не соблюдали требования безопасности. К сожалению, их уровень зрелости защиты информации ниже. Понимая, что это дыра в системе безопасности, банки зачастую выдают подрядчикам доступ к синтетическим или обезличенным данным, нарушение конфиденциальности которых не приведет к наступлению финансовых рисков для банка.

Банковские системы действительно постоянно атакуют извне. В первую очередь это касается фронт-офиса, доступного через интернет: порталов, мобильных приложений, систем электронного диалога между банками и клиентами, клиентов для дистанционного обслуживания. Доля атак на внутренние системы (бэк-офис) составляет не более десятой процента.

Цель атаки — получение дохода прямым или косвенным путем (например, через продажу данных). При этом атакующий может работать не один, а в хакерской группировке, где участники подобраны по необходимым навыкам. Члены такой группы могут даже не знать друг друга лично, отыгрывая четко прописанную роль.

Банки научились сражаться и с такой организованной преступностью. Каждый из компонентов банковской инфраструктуры защищен по-своему. Применяются и антивирусы, и средства защиты от всплывающих окон или удаленного доступа на рабочих местах сотрудников, и анти-DDoS, и системы выявления инцидентов внешними путями, и масса других инструментов.

Идеальных систем не существует. Я готов спорить, что в любой лучшей системе безопасности можно найти бреши. Но сегодня инфраструктура российских банков настолько развита, что взлом их систем будет стоить дороже, чем доход от этого мероприятия

Атаки на фронт-офис всегда реализуются через клиентские профили, поэтому противодействовать преступникам помогает выявление аномалий в поведении клиентов. Так можно заметить взлом еще до того, как о нем сообщит клиент.
В бэк-офисе база данных клиентов отделена от пользователей. Вторжения или действия, которые могут к ним привести в бэк-офисе, также фиксируются в режиме реального времени. Сейчас все происходит в почти автоматическом режиме. Роботы собирают всю информацию, а операторы принимают окончательное решение, как именно трактовать сложившуюся ситуацию. При необходимости они отправляют инциденты на расследование.

В нашем банке и у целого ряда крупных коллег созданы Ситуационные центры по информационной безопасности. Кстати, мы одни из первых, кто в России в 2009 году перешел на риск-ориентированный подход и внедрил выявление, анализ и противодействие инцидентам. В нашем ситуационном центре 24 часа в сутки 7 дней в неделю работает более 40 человек. Все это эксперты по безопасности с опытом в отрасли более 10 лет

У каждого банка действуют ограничения на операции после замены SIM-карты. У одних банков это часы, у других — день-два. Так что сделать все максимально быстро у злоумышленников уже не выходит.

Замена SIM-карты не типовая операция, поэтому в целом на клиентском сервисе это отражается не сильно.

Инструменты защиты стоят на отдельной виртуальной машине на каждом сервере — так организован перехват угроз еще на стадии виртуальных машин. Отказоустойчивость реализована на каждой площадке, плюс катастрофоустойчивость.

В последнее время банки стараются переводить этот риск в разряд страхового. Другие же перекладывают ответственность на сторону мобильного оператора. Заключенное с ним соглашение подразумевает, что именно оператор обеспечивает проверку абонента — мошенник это или нет. Использование того или иного подхода зависит от региона работы

Миф: есть масса способов украсть данные карты, чтобы вывести деньги через покупки в интернете. Деньги потом не вернуть!

Действительно, мошенники разработали массу способов получения данных карт. Но банки пытаются защитить клиента, даже если данные карты утекли в интернет по его вине.

Все крупные банки поддерживают технологию 3D Secure. Конечно, для мошеннических операций без присутствия карты выбираются банки (и подключенные к ним магазины), которые ее не поддерживают. Но по условиям платежных систем ответственность за проведение подобных операций берут на себя именно эти банки. Это схема reliability shift, которая определяет, что деньги при этом теряет банк, не поддерживающий защиту.

Также банки развивают системы антифрода. Базовые требования к ним определяют операторы платежных систем и закон о противодействии легализации денежных средств, полученных преступным путем.

Мы подробно разбираем на составляющие каждый сценарий проведения мошеннической операции. Смотрим временные рамки, профиль клиента, который подвергся атаке, использованные магазины. Так мы формируем некоторую корреляцию для загрузки в систему мониторинга финансовых транзакций, позволяющую выявлять и блокировать аналогичные операции. Так что если сценарий один раз сработал в отношении кого-то из наших клиентов, и тот заявил о мошенничестве, к другим клиентам применить его будет сложнее. Например, если обманули пожилого человека, мы можем сузить профиль клиента (возраст 60−70 лет, подобные операции ранее не совершались), выявить метаданные транзакции и реквизиты банка мошенника, куда был совершен перевод, оценить лимиты — обычно это суммы ниже порога, определенного 115-ФЗ. Все это позволяет на потоке выявлять похожие операции: отзваниваться бабушкам и уточнять, действительно ли они хотят перевести деньги

Возможно, некоторые советы покажутся вам элементарными, но именно с них начинается безопасность.

Способы мошенничества с картами

Фантазия преступников безгранична. Буквально каждый год появляются новые, более изощрённые способы. Рассмотрим основные из них.

Мошенничество с банковскими картами называется кардингом.

Часто имитируют неисправность банкоматов. Например, поздно вечером вы возвращаетесь домой и решаете по пути обналичить зарплату. Вставили карту, ввели PIN-код, сумму — всё идёт прекрасно. Картоприёмник отдал карту, но лоток, где должны появиться деньги, не открывается. Сломался? Наверное! Вокруг темно, нужно позвонить в банк и разобраться, что случилось. Вы отошли буквально на десять метров, а шустрые воришки уже отклеили скотч и забрали ваши деньги. Да-да, купюры не выпускала простая клейкая лента.

Впрочем, банкомат может быть настоящим и даже исправным. Это не проблема, если у злоумышленников есть скиммер. Это устройство для считывания информации, закодированной на магнитной полосе карты. Физически скиммер представляет собой накладной блок, прикрепляемый к картоприёмнику, при этом он выглядит как часть конструкции банкомата.

Слева — банкомат без скиммера, справа — со скиммером

Как они узнают PIN-код? В дополнение к скиммеру у них есть другие девайсы. Например, накладная клавиатура. Она полностью имитирует настоящую, но при этом запоминает набираемые комбинации клавиш.

Накладка на клавиатуру

Как вариант — миниатюрная камера, направленная на клавиатуру и замаскированная под коробку с рекламными буклетами.

Кстати, в связи с тем, что для использования карты необязательно её физическое наличие, мошенники всё активнее пользуются методами социальной инженерии. Так меня чуть не обманули.

Я продавала мебель. Разместила объявление с фотографиями на известном сайте. Указала номер, через который у меня не проходит ни одна аутентификация. Вскоре позвонил мужчина. Представился Василием, сотрудником фирмы, сдающей квартиры посуточно. Рассказал, что им понравился мой диван — берут не глядя! Деньги прямо сейчас переведут мне на карту. Нет проблем. Я часто покупаю в интернете, для этих целей у меня есть специальная карта. Списать с неё тогда было нечего, зато пополнить — пожалуйста. Но одного номера звонившему было мало — собеседник просил ещё срок действия и CVV2. Я не назвала, а Василий обиделся. Сказал, кто я и куда мне надо идти, и бросил трубку.

Правила безопасности при использовании карт

Оформив в банке дебетовую или кредитную карту, мы получаем договор банковского обслуживания и конверт с PIN-кодом. Жаль, что в дополнение к этому набору не прикладывают памятку с элементарными правилами безопасности для держателей карт. В неё следовало бы включить следующие рекомендации.

Проще всего позвонить. Если карта у вас на руках, номер службы поддержки можно увидеть на её оборотной стороне. Как правило, контактные центры работают круглосуточно. Если карта осталась в банкомате и вы не знаете телефон своего банка, позвоните в компанию, осуществляющую техническое обслуживание банкомата. Номер должен быть указан на терминале.

Кроме того, узнайте о возможности и условиях страхования карты в вашем банке. У некоторых кредитных учреждений есть специальные программы защиты клиентов от мошенников и возмещения им ущерба.

Правила безопасности при пользовании банкингом

Не выходя из дома можно воспользоваться большим пакетом услуг. Например, оплатить что-нибудь или перевести деньги на свой либо чужой счёт.

Банкинг — дистанционное банковское обслуживание.

Чтобы пользоваться банкингом без риска утраты денег, необходимо соблюдать следующие базовые меры предосторожности.

Что делать, если мошенники списали деньги с карты

В 2014 году вступила в силу статья 9 данного закона. Норма защищает пользователей банковских карт от мошенничества. Закон устанавливает презумпцию невиновности клиентов. Банк обязан возместить суммы, перечисленные со счёта клиента в результате не санкционированной им операции, если только не будет доказано, что клиент сам нарушил порядок использования электронного платёжного средства.

С 26 сентября 2018 года банки по закону смогут блокировать карты клиентов при подозрении, что деньги с них переводят мошенники. После блокировки банк должен сообщить об этом владельцу счёта, а тому придётся или подтвердить операцию, или сообщить о попытке хищения.

Иными словами, закон разграничивает ответственность банка и клиента.

  1. Банк сообщил клиенту о несанкционированной операции? Если нет, ответственность полностью лежит на банке. Если сообщил, переходим к пункту № 2.
  2. Клиент проинформировал банк не позднее следующего рабочего дня после уведомления от банка, что данная операция совершена без его (клиента) согласия? Если нет, ответственность лежит на клиенте. Если проинформировал, переходим к пункту № 3.
  3. Банк смог доказать, что клиент нарушил порядок использования электронных денежных средств? Если да, ответственность лежит на клиенте. Если нет, ответственность полностью лежит на банке и он обязан возместить клиенту всю сумму оспоренной операции.

Обязательным условием возмещения несанкционированно списанных средств является уведомление банка об использовании карты без согласия её держателя.

Сообщить банку, что карта используется кем-то другим, нужно не позднее одного дня, следующего за днём, когда клиент обнаружил мошенничество.

Соблюдение этого дедлайна очень важно. Просрочили — на возврат денег можно не рассчитывать.

Кроме того, у клиента на руках должно остаться доказательство уведомления. Речь идёт о втором экземпляре обращения в банк с отметкой о приёме, сделанной уполномоченным сотрудником, или письменном уведомлении об отправке по адресу банка ценного заказного письма с описью вложений.

Обращение в банк не отменяет и не заменяет обращение в правоохранительные органы.

Выводы

Итак, краткий алгоритм действий при незаконном списании средств с банковской карты таков:

  1. Не паникуем, звоним в банк и блокируем карту. Плюс просим оператора назвать остаток на счету и последние совершённые транзакции.
  2. В течение суток бежим в банк и пишем заявление. Обязательно визируем у уполномоченного сотрудника банка свой экземпляр заявления.
  3. Если сотрудники кредитного учреждения каким-либо образом препятствуют этому и отказываются принять заявление (закончились бланки, технический перерыв и так далее), обращаемся в прокуратуру.
  4. Пишем заявление в полицию. Особенно если вы столкнулись с грабежом или разбоем.
  5. Ждём возврата денег.

Если банк отказывается возмещать средства, списанные с карты, ссылаясь, например, на нарушение порядка использования электронных денежных средств, вы можете отстаивать свои права в суде.


• Передача карты третьим лицам запрещена правилами по банковским картам.

• Обязательно поставьте подпись на карте в поле для подписи. При отсутствии подписи карта может быть не принята к оплате, а также повышается риск несанкционированного использования карты в случае утраты.

• Соблюдайте конфиденциальность личной информации.

• Сохраняйте копии чеков, подтверждающих операции оплаты покупок и снятия наличных.

• Регулярно проверяйте выписку по счету. В случае обнаружения подозрительных или неизвестных операций незамедлительно сообщите об этом в банк.

• Не держите карту в непосредственной близости от источника электромагнитного излучения (телевизора, СВЧ-печи и др.), не подвергайте карту тепловому или механическому воздействию.

Как обеспечить безопасное хранение средств на карте?

• Храните свою карту в недоступном для окружающих месте.

• Рекомендуется использовать разные карты для хранения средств и для оплаты.

• Не передавайте карту другому лицу, за исключением продавца (кассира).

• Во избежание мошенничества с использованием вашей карты требуйте проведения операций с картой только в вашем присутствии, не позволяйте уносить карту из поля вашего зрения.

• Храните банковскую карту отдельно от ее ПИН-кода.

• Рекомендуется хранить карту отдельно от наличных денег и документов.

Как обеспечить конфиденциальность ПИН-кода?

Каждой карте присваивается персональный идентификационный номер (ПИН) - секретный код для совершения операций в банкоматах и с помощью электронных терминалов, введение которого держателем карты признается аналогом собственноручной подписи. Комбинация цифр ПИН-кода известна только держателю карты, у сотрудников банка нет доступа к этим данным.

• Не записывайте ПИН-код на самой карте, не сообщайте его другим лицам (в том числе родственникам), не вводите его при осуществлении операций в сети Интернет.

• Никто (включая правоохранительные органы) не имеет права спрашивать ПИН-код.

• Сотрудники банка никогда не звонят и не спрашивают коды подтверждения операций, паспортные данные или ПИН-код.

• Будьте внимательны при получении наличных по карте и при осуществлении любой операции с использованием ПИН-кода. При проведении операции прикрывайте клавиатуру, например, свободной рукой.

Как обеспечить безопасность при осуществлении операций по карте?

• Не прислушивайтесь к советам третьих лиц, а также не принимайте их помощь при проведении операций.

• Проверяйте детали покупки перед тем, как подписать чек. Поставив подпись на платежном документе, вы соглашаетесь со списанием указанной на нем суммы с вашего карточного счета.

• Не пересчитывайте полученные наличные около банкомата.

• Не применяйте физическую силу, чтобы вставить банковскую карту в банкомат. Если карта не вставляется, воздержитесь от использования такого устройства. При обнаружении любых внешних признаков неисправности банкомата (например, предупреждения на экране, посторонних устройств/предметов, висящих проводов) воспользуйтесь другим банкоматом.

• Обратитесь в офис банка для подключения специальной технологии обеспечения безопасности проведения операций в Интернете.

• Подключите услугу SMS-информирования по карте для контроля операций в режиме реального времени.

Незамедлительно обратитесь в банк в следующих ситуациях:

• При захвате карты банкоматом необходимо сообщить об этом в центр клиентского обслуживания банка либо обратиться к персоналу в отделении банка (если банкомат установлен в отделении) / в банк, обслуживающий банкомат.

• В случае если при получении наличных банкомат не выдал денежные средства или выдал не всю запрашиваемую сумму, необходимо обратиться в центр клиентского обслуживания или офис банка.

• В случае если карта изъята в торгово-сервисном предприятии, потребуйте составления акта об изъятии с заполнением всех реквизитов карты, времени, даты и незамедлительно обратитесь в центр клиентского обслуживания банка.

Читайте также: