205609
23.06.2015 Центральный банк Российской Федерации опубликовал «Обзор о несанкционированных переводах денежных средств» за 2014 год, в котором представлены данные о количестве и объеме несанкционированных операций, совершенных с использованием электронных средств платежа (включая платежные карты, системы ДБО), а также об инцидентах, произошедших вследствие нарушения требований к обеспечению защиты информации при осуществлении переводов денежных средств.
Согласно представленной статистике, в 2014 году было совершено более 300 тыс. несанкционированных операций на общую сумму более 3,5 млрд руб., из которых 1,58 млрд руб. приходится на несанкционированные операции с использованием платежных карт, эмитированных российскими кредитными организациями.
Наибольший объем несанкционированных операций зафиксирован на территории г. Москвы и Московской области, Центрального, Северо-Западного и Уральского федеральных округов.
Наибольшее число несанкционированных операций с использованием платежных карт осуществляется посредством сети Интернет и устройств мобильной связи (CNP-транзакции): на них приходится 65,8% всех операций. Количество несанкционированных операций, совершенных посредством банкоматов и платежных терминалов, снизилось на 40,4%. Однако, ущерб от таких операций сопоставим с ущербом от CNP-транзакций (37,5% и 38,5% от объема всех несанкционированных операций с платежными картами, соответственно).
За отчетный период было совершено почти 5 тысяч попыток осуществления несанкционированных операций при помощи систем дистанционного банковского обслуживания (ДБО) на общую сумму 1,64 млрд руб. Более 80% (на сумму более 700 млн руб.) попыток осуществить несанкционированный перевод денежных средств прошли успешно, т.е. денежные средства были списаны со счета клиента полностью или частично. Кроме того, 80% от количества всех несанкционированных операций с использованием систем ДБО связаны со списанием денежных средств со счетов физических лиц. В большинстве случаев подобные несанкционированные операции произошли вследствие воздействия вредоносного кода на устройство (как мобильное, так и стационарное), используемое клиентом в целях перевода денежных средств. Также распространенной причиной инцидента являлось применение методов социальной инженерии, когда при помощи электронных писем или СМС-сообщений мошенники побуждали клиентов банка добровольно сообщать информацию, необходимую для осуществления переводов денежных средств, в том числе аутентификационные данные.
В 2014 году 23 кредитные организации сообщили об инцидентах, связанных с попытками списания денежных средств на общую сумму 213,4 млн руб. с корреспондентских счетов кредитных организаций посредством внедрения вредоносного кода в корпоративную информационную систему. Проникновение во внутреннюю локальную сеть обычно осуществлялось при помощи направления на электронную почту сотрудников организации писем, содержащих вредоносные вложения. Особенностями данных инцидентов является то, что компьютерные атаки носят целенаправленный характер, учитываются особенности процессов отправки и обработки сообщений в определенной платежной системе, вредоносный код в ряде случаев не выявляется средствами антивирусной защиты с обновленными антивирусными базами.
Согласно обзору, наличие подобных инцидентов может свидетельствовать о недостаточной защищенности внутренней локальной сети кредитных организаций, о нарушении ими требований к обеспечению защиты информации, а также о возможных уязвимостях в процессе осуществления переводов через платежные системы.
Как отмечается в обзоре, с целью снижение рисков при осуществлении CNP-транзакций, банки должны применять следующие меры: доводить до клиентов информацию о возможных рисках и о разграничении ответственности банка и клиента в случае компрометации данных платежных карт, информировать клиента о совершаемых операциях по счету и о доступе к счету, внедрять технологий, направленные на подтверждение операции по альтернативному каналу связи.
Интернет-портал «Безопасность пользователей в сети Интернет»
admin@safe-surf.ru
https://safe-surf.ru
