Новости

Банк России опубликовал статистику за 2015 год о несанкционированных переводах денежных средств, совершенных с использованием электронных средств платежа

08.04.2016
Банк России опубликовал статистику за 2015 год о несанкционированных переводах денежных средств, совершенных с использованием электронных средств платежа
Центральный банк Российской Федерации опубликовал «Обзор о несанкционированных переводах денежных средств» за 2015 год, в котором представлены данные о количестве и объеме несанкционированных операций, совершенных с использованием электронных средств платежа (включая платежные карты, системы ДБО), сведения об актуальных угрозах, реализация которых привела к несанкционированным операциям или к повышению риска их совершения.

Согласно представленной статистике, в 2015 году было совершено более 260 тыс. несанкционированных операций на общую сумму более 1,14 млрд руб., что ниже аналогичного показателя за 2014 год на 27%.

В 2015 году количество несанкционированных трансграничных операций в два раза превысило количество внутрироссийских несанкционированных операций.

Наибольшее число несанкционированных операций с использованием платежных карт осуществляется посредством сети Интернет и мобильных устройств (CNP-транзакции): на них приходится 74% всех операций. В 2014 году данный показатель составлял 66%. В качестве основных факторов, влияющих на данную тенденцию, в отчете отмечается растущая популярность сервисов оплаты товаров и услуг в сети Интернет, а также относительная простота осуществления таких операций посредством методов социальной инженерии.

Количество несанкционированных операций, совершенных посредством банкоматов и платежных терминалов, составляет менее 1%.

За отчетный период в Банк России было сообщено о 32,5 тыс. попыток осуществления несанкционированных операций при помощи систем дистанционного банковского обслуживания (ДБО) на общую сумму 5,13 млрд руб. Из них на долю операций, остановленных полностью или частично, приходится не менее 48% от общего объема денежных средств.

При этом 36% попыток осуществить несанкционированный перевод денежных средств со счетов юридических лиц были успешно осуществлены, т.е. денежные средства были списаны со счета клиента полностью или частично. В то же время число несанкционированных переводов денежных средств со счетов физических лиц составило 92%. Подавляющее большинство данных операций (91%) выявляются клиентами самостоятельно и возникают вследствие применения к клиентам методов социальной инженерии. Информация о таких операциях в кредитную организацию поступает после списания денежных средств со счета клиента.

Наибольшее количество несанкционированных операций в системах ДБО со счетов физических лиц отмечается в сегменте от 10 тыс. руб.до 50 тыс. руб., со счетов юридических лиц — в сегменте от 1 млн руб. до 5 млн руб.

Существенным фактором, влияющим на угрозу несанкционированных операций в системах ДБО, является распространенное использование мобильных устройств для осуществления денежных переводов, в частности, использование систем мобильного банкинга. Наиболее распространенным методом осуществления несанкционированных переводов денежных средств с использованием мобильного устройства является его заражение вредоносным кодом, а также использование методов социальной инженерии, когда при помощи электронных писем или СМС-сообщений мошенники побуждают клиентов банка добровольно сообщать информацию, необходимую для осуществления переводов денежных средств, в том числе аутентификационные данные.

В целях минимизации рисков осуществления несанкционированных операций при осуществлении переводов денежных средств с использованием мобильных устройств владельцу устройства необходимо соблюдать следующие рекомендации:
  • в случае изменения контактной информации, предоставленной кредитной организации при заключении договора о выдаче и обслуживании платежной карты, своевременно проинформировать об этом кредитную организацию;
  • не сообщать третьим лицам , в том числе сотрудникам кредитной организации, ПИН-код платежной карты и контрольный код, указанный на оборотной стороне платежной карты, пароли от системы Интернет-банкинга, одноразовые коды подтверждения;
  • поддерживать в актуальном состоянии антивирусные базы и антивирусное программное обеспечение, установленное на мобильном устройстве;
  • осуществлять установку программ на мобильное устройство из достоверных источников и от надежных разработчиков.

Кроме того, эффективной мерой является установка различных лимитов и ограничений на параметры операций (сумму переводов денежных средств, получателей, используемые устройства и другие).

Инциденты, связанные с целевыми атаками на операционную инфраструктуру кредитных организаций и платежных систем, в 2015 году привели к финансовым потерям в размере более 900 млн руб.

Кроме того, в течение 2015 года в Банк России было сообщено о хищениях денежных средств из банкоматов вследствие получения несанкционированного доступа к инфраструктуре кредитных организаций, с которой осуществляется удаленное управление банкоматами, а также по причине заражения программной части банкоматов вредоносным кодом. Ущерб от реализации подобных атак за 2015 год составил более 29 млн руб.

Согласно обзору, наличие подобных инцидентов может свидетельствовать о недостаточной защищенности внутренних локальных сетей кредитных организаций, о нарушении ими требований к обеспечению защиты информации, а также о возможных уязвимостях в процессе осуществления переводов через платежные системы.

Как отмечается в обзоре, с целью минимизации рисков возникновения ущерба от указанных выше инцидентов кредитным организациям, а также платежным клиринговым и операционным центрам платежных систем необходимо усилить контроль за применением организационных мер и технических средств защиты информации, обусловленных требованиями Положения № 382-П, при эксплуатации объектов информационной инфраструктуры, используемых при взаимодействии с платежными системами, включая платежные системы, в рамках которых осуществляются переводы денежных средств с использованием платежных карт, в том числе осуществлять:
  • контроль доступа к объектам лиц, осуществляющих их эксплуатацию и обслуживание, а также предоставление прав доступа к объектам исключительно для выполнения должностных обязанностей;
  • анализ схемы ЛВС кредитной организации, в том числе размещение объектов в выделенных сегментах ЛВС;
  • контроль сетевой активности, в том числе обращения к прокси-серверу, контроль конфигурации межсетевых экранов, а также, в случае наличия, технических средств обнаружения и предотвращения вторжений;
  • мониторинг появления признаков нештатного функционирования платежной инфраструктуры;
  • контроль функционирования и регулярного обновления программного обеспечения, предназначенного для защиты информации, в том числе средств защиты от воздействия вредоносного кода;
  • контроль соблюдения порядка формирования, удостоверения, передачи электронных сообщений, в том числе содержащих распоряжения о переводе денежных средств или сведения об увеличении лимитов на совершение операций.