Як з карткових рахунків українців вкрали 120 мільйонів
За словами директора департаменту платіжних систем та інноваційного розвитку НБУ Сергія Шацького, в інтернеті було зафіксовано понад 43 тис. шахрайських операцій на суму майже 95 млн грн., у банкоматах — 9,4 тис. на 15,2 млн грн., а в торгових мережах — 4,7 тис. на 13,9 млн грн. Від дій шахраїв в 2015 р. постраждали 47 фінустанов. При цьому збитки банків склали 0,0147% (або 181 млн грн.) від загального обсягу операцій з використанням платіжних карток (у 2014 р. — 0,007%).
Нові схеми
Досить популярною стала нова різновид вішинг (дзвінки банківським клієнтам для виманювання реквізитів платіжних карток). Тепер жертві дзвонить не сам злочинець, а робот, запрограмований через систему IVR (інтерактивних голосових відповідей). Шахраї програмують автовідповідач, створюючи видимість дзвінка з банку, який нібито збирає інформацію про клієнта. Для уточнення або перевірки інформації" робот запитує дані карт, логіни-паролі для входу в " інтернет-банк, CVV-коди, PIN-коди. Іноді він каже, що збирає інформацію, оскільки стався "збій системи".
Ще одне кримінальне нововведення — виманювання даних у громадян через соціальні мережі та месенджери.
Так аферисти отримують дані платіжної карти, або відразу гроші від довірливого "соціального френда". Часто буває, що злочинці встигають повністю спустошити картковий рахунок, перш ніж людина додумується передзвонити одному і запитати, чи дійсно прохання виходила від нього.
Інша складна схема, яка поки що використовується нечасто, стосується карток з технологіями безконтактної оплати, таких як PayWave (Visa) і PayPass (MasterСard). Шахраї навчилися красти з них гроші за допомогою спеціальних пристроїв, які перехоплюють електромагнітний сигнал з карти. Це роблять за тим же принципом, що і викрадачі автомобілів, перехоплюючі сигнали електрозамків. Рідер, здатний сканувати банківські картки з чіпами, досить наблизити на відстань 5-20 см, щоб вважати всю необхідну інформацію. В принципі, прочитуючим пристроєм може служити навіть звичайний смартфон, оснащений чіпом NFC. Провести шахрайську операцію можна де завгодно — в будь-якому людному місці, і людина навіть не помітить, що в нього вкрали інформацію. Отримані дані кіберзлочинці записують на карти-клони, щоб надалі красти кошти з просканированной банківської карти, проводячи транзакції через підставні інтернет-майданчики. До речі, найчастіше при розрахунках безконтактною карткою не потрібно вводити PIN-код. Цим і користуються злочинці. В Україні безконтактні картки поки що не дістали широкого розповсюдження — у нас їх налічується близько 1 млн штук. Але в Європі такі карти і цей вид злодійства вже стали дуже популярними.
"Щоб уберегтися від розкрадання грошей, держателям карток краще встановити ліміти за операціями з карткою (ліміт на розрахунки) та ліміти на кількість таких операцій", — говорить начальник служби інформаційної безпеки Укрсиббанку BNP Paribas Group Андрій Моршнєв. Актуальним методом боротьби з картковим шахрайством також є використання технології 3D Secure, яка передбачає підтвердження одноразовим паролем кожного платежу в інтернеті.
І старі прийоми...
"Безумовним лідером серед шахрайських схем в 2015 р. стало застосування методів соціальної інженерії, коли клієнт самостійно розкриває шахраєві дані своєї платіжної картки", — розповідає заступник директора департаменту роздрібного банку "Південний" Олександр Стельмах. За даними Української міжбанківської асоціації членів платіжних систем "ЕМА" сьогодні найпоширеніші схеми кібершахрайства — це фішинг, вішинг, скіммінг і кеш-трепінг.
Фішинг — це створення спеціальних сайтів (часто дублікатів відомих інтернет-майданчиків, наприклад, з продажу мобільних телефонів або побутової техніки). Їх головна мета — збір реквізитів платіжних карток банківських клієнтів. "Збільшилася кількість підроблених сайтів, через які люди намагаються оплатити послуги, не відаючи, що шахраї отримують дані банківської картки", — говорить заступник голови правління ПАТ "Ощадбанк" Ірина Князєва. У 2015 р. ЕМА було виявлено 38 таких сайтів.
Кеш-треппінг (дослівно перекладається як "захоплення грошей") також надзвичайно популярний. В основі цього способу — установка в банкоматі спеціальної накладки, яка блокує "шторку" пристрої, що видає купюри. Клієнт не може отримати гроші і, думаючи, що банкомат несправний, відходить від терміналу. Тим часом зловмисники забирають застряглі банкноти. За даними асоціації ЕМА, в 2015 р. в Україні було зареєстровано 989 таких випадків — в 10 разів більше, ніж в 2014 р.
Хоча і не так часто, але злочинці все ж використовують скіммінг — копіювання даних магнітної смуги платіжної картки та ПІН-коду до неї з допомогою мікрокамер в момент, коли клієнт намагається зняти готівку через банкомат. Шахраї також користуються методом копіювання даних карт при використанні банкоматів, встановлюючи накладки на клавіатуру, крихітні відеокамери, вставки і накладки на приймач карток і т. п.
З'явився і новий метод зчитування даних картки — так званий ивсдроппинг. Зловмисники висвердлюють в банкоматі отвір під карт-рідером, прикривають його наклейкою з логотипом банку і підключаються до комунікаційним каналам банкомату. При цьому візуально користувач ніяких пошкоджень виявити не може.
