Троянский конь – незваный гость

Весной этого года Банк России сообщил, что объем несанкционированных хищений с карт физлиц снизился по итогам 2015 года почти на треть, до 1,14 млрд рублей. При этом в ЦБ отметили смену приоритетов у кибермошенников – они переключились на счета юрлиц. По прогнозам ЦБ в 2016 году совокупный объем потерь может достичь 4 млрд руб. Между тем, некоторые представители банковского сообщества считают эту сумму ничтожной.

Денег нет. Но вы держитесь

Конечно, для оборотов банковской системы 3-4 миллиарда, тем более чужих – наверное, не критичный показатель. Но ведь для гражданина речь идет о таинственном исчезновении своих кровных.

Немного личного. У меня с карты стали пропадать деньги. Сначала пришло сообщение, что я оплатила неведомый мне счет на 27 евро. В банке я написала заявление, обещали разобраться, но не сразу. Спустя пару недель история повторилась. На этот раз «ушли» 36 евро. Два раза – это уже не случайность, поэтому все оставшиеся деньги я с карты сняла и правильно сделала – через несколько дней у меня попытались увести уже 99 евро, но мобильный банк известил, что средств на «покупку» недостаточно.

До сих пор я была горячим поклонником всякого рода финтех новинок. У меня есть все доступные электронные кошельки – от WebMoney до PayPal, к ним привязаны все мои карты, я с легкостью оплачивала покупки и делала онлайн переводы. Понятное дело, что пин-код и CRV на моем лбу не вытатуированы, карту я давала в руки продавцам только под личным визуальным контролем и так далее. Получается, что даже при соблюдении всех рекомендуемых правил безопасности, никто не гарантирует вам стопроцентную защиту от несанкционированного отъема денег.

Мои «бодания» с банком до сих пор продолжаются. Промежуточный итог – карта заблокирована без моего согласия, деньги, которые поступили на карту в этот период я смогу получить очень нескоро (в банке назвали срок в 120 дней), на визиты и беседы потрачены часы и нервы. Но с точки зрения статистики, безусловно, мои потери – это просто допустимая математическая погрешность.

Со мной в компании оказалось немало россиян. По данным Group-IB, за год в результате мошеннических действия хакеров физические лица лишись 99 млн руб., из них 61 млн руб. – с помощью троянских вирусов для операционных систем мобильных устройств. По словам экспертов Group-IB Сергея Никитина и Ильи Сафронова, уязвимость мобильных операционных систем привлекает все больше злоумышленников: «Только за последний год выявлено 10 новых преступных групп хакеров, специализирующихся на создании Android-троянов. Ежедневно около 70 пользователей мобильных банков на «андроидах» становятся жертвами преступников».

5 миллионов за 14 минут

Как рассказали Finversia.ru эксперты, ежедневно в РФ жертвами кибератак на системы интернет-банкинга становятся 16 юридических лиц, теряющих в среднем по 480 тыс. руб. Общая сумма ежегодного ущерба оценивается в 1,9 млрд руб. В феврале 2015 года из-за границы была проведена первая успешная атака на российского биржевого брокера. За 14 минут банк лишился более 5 млн долл.

Преступники научились обходить традиционные средства защиты систем дистанционного банковского обслуживания: ни токены (компактное устройство, предназначенное для обеспечения информационной безопасности пользователя), ни дополнительная SMS-аутентификация не спасают юрлиц от «автозаливов» троянов, позволяющих похищать средства со счетов компаний. Руководитель подразделения Bot-Trek Secure Bank Павел Крылов сообщил, что наибольший интерес для хакеров сегодня представляют банки: «За последний год появились две новые преступные группы, в результате их атак российские банки потеряли 638 млн руб».

Тенденция прошлого года – смена приоритетов у хакеров. Они переключились на счета юрлиц. Для того чтобы взломать систему антифрода требуются серьезные усилия. Но в случае с атакой на счета предприятий «улов» может оказаться более масштабным.

За последний квартал 2015 года и I квартал 2016-го потери банков превысили 2 млрд рублей. Еще около 1,5 млрд рублей удалось спасти, кибератаки были пресечены. По прогнозам Банка России объем хищений по итогам 2016 года составит около 4 млрд рублей.

Параллельно с хищениями и взломами растет и нелегальный бизнес торговцев данными банковских карт, логинов и паролей разных систем. Выручка зафиксированных в Group-IB только семи таких «магазинов» составила за год более 155 млн руб. Расширяется рынок, обслуживающий хищения через устройства считывания банковских карт (так называемые POS-терминалы на рабочем месте кассира). Преступники даже продают устройства обработки банковских карт, которые похищают данные клинентов, в сети можно найти экземпляры стоимостью в среднем по 20 тыс. рублей за штуку.

Примечательно, что самыми лучшими хакерами считаются россияне или выходцы из бывшего СССР. Они проживают сейчас по всему миру. 12 самых популярных троянов разработали русскоязычные программисты (эту бы энергию да в мирных целях!). Повод для гордости сомнительный, но факт есть факт.

Закон против кибератак

Банк России считает, что от мошенников защитят поправки в законы «О национальной платежной системе», «О Центральном банке Российской Федерации (Банке России)», «О банках и банковской деятельности», законопроект о которых планируется внести в осеннюю сессию Госдумы РФ. Согласно поправкам, банки смогут блокировать счета клиентов, если есть подозрение в несанкционированных операциях с ними. Также ЦБ хочет законодательно урегулировать деятельность по антифроду – сегодня защиту банки устанавливают добровольно и разнопланово, без единого стандарта. Кроме того, поправками будет законодательно закреплена возможность обмена информацией о лицах, участвующих в операциях по выводу похищенных денежных средств. Эти сведения относятся к банковской тайне и персональным данным. Банки неформально обмениваются ими между собой, но, по сути, балансируют на грани закона.

Также с 1 июня 2016 года в России начала работать анонимная хакерская биржа. На ней продают и покупают информацию об уязвимых местах в популярных программах и операционных системах. Продавцами выступают разработчики вредоносного софта, а покупателями - секретные службы банков, государственные учреждения и даже органы госбезопасности. Вообще, идея поставить хакеров на службу к их жертвам – грамотная. Вот только сговорятся ли компьютерные «гении» с новыми заказчиками – вопрос пока риторический.

Как вернуть деньги, списанные без согласия

Как пояснил Finversia.ru адвокат, старший партнер юридического бюро «Байбуз и Партнеры» Вадим Байбуз, до принятия закона о национальной платежной системе, как правило, банки указывали в договорах с клиентами на то, что за транзакции, которые совершены с использованием пин-кода клиента, банк ответственности не несет. Однако сейчас ситуация поменялась. «В случае если произошло несанкционированное списание денежных средств с карты с использованием пин-кода, необходимо сделать следующие основные шаги: а) обязательно заблокировать карту, написав заявление в банк. Так клиент докажет свою добросовестность и данное действие поможет в последующем доказывать именно несанкционированность списания; б) обратиться в банк с заявлением об оспаривании транзакции. Данное действие обязательно к выполнению, в заявление необходимо указать все фактические обстоятельства и просить осуществить возврат требуемой суммы, приобщив к такому заявлению все подтверждающие документы; в) обязательно параллельно всему необходимо написать заявление в полицию о возбуждении уголовного дела», - говорит Байбуз. Адвокат уверен, что обратиться в полицию следует обязательно – это важно для того, что, если банк по тем или иным причинам откажет клиенту в его просьбе вернуть деньги, то на основании заявления можно обращаться в суд. «К иску необходимо будет приложить все подтверждающие документы, а именно: доказательства списания денежных средств в том или ином размере, доказательства обращения в банк, доказательства обращения в правоохранительные органы. В любом случае, стоит настраиваться на достаточно большой промежуток времени, прежде чем клиент сможет получить требуемую сумму, поскольку каждый из случаев несанкционированных списаний денежных средств индивидуален, необходимо учесть все фактические обстоятельства произошедшего», - рассуждает Байбуз.

Однако, переживать не стоит, поскольку почти всегда полицией возбуждаются уголовные дела по таким случаям, и возбуждение уголовного дела может так же повлиять на позицию службы безопасности банка, стимулировав к определенным действиям по ужесточению контроля и внутренней безопасности.

В принципе, лично я практически все сделала верно, за исключением обращения в полицию. Что, вероятно, и придется мне сделать в ближайшее время.