Представим себе типичную ситуацию: человек приобретает авиабилет в интернет-магазине с online-оплатой по банковской карте, вводит требуемые реквизиты на платежной странице и нажимает кнопку «оплатить»... Если средства уйдут не по адресу или данную операцию совершит не владелец карты, то картхолдеру достаточно объявить фрод, и МПС вернет средства. Предположим, что после нажатия кнопки «оплатить» начнется процедура верификации плательщика по одноразовому паролю, которая будет им успешно выполнена. Но вместо авиабилета за 30 тыс рублей он получит картинку из неизвестного ему интернет-магазина. Вопрос: какова вероятность возврата картхолдеру его средств? Ответ: практически никакой.

Актуальность данной проблемы стремительно растет. По итогам 2011 года 34 млн пользователей ежедневно и 13,6 млн клиентов еженедельно используют банковские карты для интернет-платежей.

1 января 2013 года вступает в силу статья 9 161-ФЗ «О национальной платежной системе». Это, несомненно, приведет к существенному изменению структуры online-мошенничества. Кроме «привычных» хакеров у банков появятся интернет-угрозы уже со стороны недобросовестных клиентов, которые могут отдать реквизиты своего счета или карты своим знакомым, чтобы те сняли деньги, а затем потребовать от банка возврата средств, так как они были похищены.

С целью предотвращения возможных мошеннических действий недобросовестных клиентов банки активизируют внедрение систем верификации пользователей, в том числе совершающих online-транзакции в системах ДБО и с банковских карт в интернет-магазинах.

Как правило, внедряемые схемы способны верифицировать только самого пользователя, а не всю процедуру платежа в целом, так как верификационные пароли не зависят от параметров самого платежа. Они либо формируются генераторами ОТР, либо отправляются по CMC, либо считыва-ются со стрейч-карт, заранее полученных в банке.

Основной архитектурной особенностью данных систем является то, что они защищают сам банк, подтверждая выполнение данной транзакции именно пользователем, а не посторонним лицом. Однако возможности систем принципиально не способны предотвратить интернет-атаки на online-платежи клиента.

Активное внедрение систем верификации приведет к структурным перераспределениям интернет-угроз. Атака, направленная на хищение реквизитов, трансформируется в угрозу фальсификации платежа, совершаемого верифицированным пользователем.

Атака класса «Man-in-the-Browser (Box)» на незащищенном компьютере пользователя способна изменить все параметры online-платежа с перенаправлением вводимых данных на фальсифицированный вирусом платеж (фрод). Организация данной атаки не представляет особой сложности, особенно в системах оплаты по банковской карте в интернет-магазинах.

Проведение данного типа атаки в сочетании с процедурой верификации плательщика (картхолдера) приводит к принципиальной невозможности опротестовать фальсифицированный платеж. Так как пользователь успешно прошел верификацию, для банка подлинность самого клиента и совершенного им платежа не вызывает никакого сомнения. Следовательно, любые аргументы пользователя о том, что он выполнял принципиально иной платеж, будут полностью игнорированы банком.

Развитие ситуации по данному сценарию, несомненно, нанесет не только финансовый ущерб конкретным клиентам, но и имиджевый ущерб банкам в целом.

С учетом всего вышеизложенного становится актуальным применение систем, способных обеспечить защиту банков и их клиентов от активно развивающегося нового класса интернет-угроз.

С этой целью компания «Safesystems 24» разработала ряд решений, направленных на эффективную защиту всех участников online-платежей. Данные разработки защищают банки от репутацион-ных рисков, а также от возможного мошенничества со стороны плательщиков. А клиентов банка - от возможных денежных потерь в системах ДБО и при осуществлении online-платежей по банковской карте в интернет-магазинах.