С ростом популярности онлайн-оплаты растет и число попыток мошеннических операций. Развитие электронной коммерции вызвало всплеск мошеннической активности CNP. Новые технологии не являются панацеей, преступники очень быстро адаптируются. О ситуации на сегодняшний день, факторах риска и о возможностях  защиты от мошенников мы и поговорим.

Немного статистики и цифр:

По данным Института социологии РАН и Ассоциации российских банков (АРБ), пластиковыми картами уже пользуются 66,1% россиян, и этот показатель растет.

Россия стала лидером среди европейских стран по темпам роста убытков от мошеннических операций с банковскими картами в 2012 году. Годовое увеличение убытков в нашей стране составило 35%.

Кроме того, по данным Ассоциации российских членов Европей (АРЧЕ), в прошлом году в России произошло 250 инцидентов с банкоматами: 61 физическое нападение; 1 захват карты; 48 установок вредоносного программного обеспечения и 140 установок скимминговых устройств. Мошенники атакуют все модели ведущих производителей - никакого "лидера" по моделям банкоматов нет. По географии атак безусловным лидером является Москва (51% установки скимминговых устройств), затем Санкт-Петербург (12%), Краснодар (10%), Ростов-на-Дону (6%), Тольятти (4%), Смоленск (3%) и др.       

Первое место в мире по доле в совокупных убытков  досталось Франции (29%), Великобритания с результатом 27% опустилась на вторую строчку. На Россию пришлось 6% от общих потерь, или 91,4 млн. евро, свидетельствует статистика Euro monitor International.

По оценкам экспертов, к 2014 году мировые потери  от мошеннических операций в области электронной коммерции составят $ 1,4 трлн.

Как мы видим, ситуация не из благоприятных. Наиболее популярными ресурсами для мошенников являются сервисы по продаже авиабилетов, затем  - операции с электронными кошельками и пополнение мобильных телефонов. Все эти услуги доставляются клиенту мгновенно и не могут быть деактивированы, а контакт с самим продавцом минимален, при таких условиях риск разоблачения и  лишения украденного равен нулю.

В  соответствии с правилами МПС, в первую очередь, за действия мошенников расплачиваются банк-эмитент, либо провайдер платежа, в любом случае, не клиент. А это прямые потери,  репутационные риски, упущенная выгода и потеря клиентов (по статистике,30% клиентов, ставших жертвами мошенничества, закрывают свои счета в банке, где произошел инцидент, независимо от того, по чьей вине это случилось). 

В борьбе с мошенниками необходимо учитывать следующие факторы:

• Низкая финансовая грамотность населения. В России банковские карты и банкоматы появились, сравнительно, недавно.
• Безнаказанность. Нормы, направленные на борьбу с мошенниками, в России пока не работают, преступления,  связанные с банковскими картами, не относятся к числу  тяжких. Подобные дела очень сложно довести до суда. Россия является благоприятной зоной для использования здесь неправомерных операций по карточкам,  утверждают банкиры.
• Развитие кредитования с помощью банковских карт в России. На 1 апреля 2013 года  насчитывалось уже более 19 миллионов действующих кредитных карт. Темпы роста карточного кредитования делает этот сектор привлекательным для мошенников.
• Преобладание в России примитивных карт с магнитной полосой, которые очень легко подделываются, с них достаточно просто считать нужную мошенникам информацию, в то время как на западе преобладают чиповые карты.

Больше всего случаев мошенничества по пластиковым картам (до 45% от общего их числа) происходит при проведении платежей в интернете. Скимминг  - второй бич. Число случаев установки на банкомат скимминговых устройств уже три года держится примерно на одном уровне. Сейчас не каждый банковский специалист сможет определить наличие накладного устройства. Хотя уже предлагаются новые активные антискимминговые накладки, подавляющие работу скиммингового устройства с помощью электромагнитных волн. На сегодняшний момент они достаточно эффективны - случаев, когда мошенники изготовили накладку, которая противостояла данному антискиммингу, пока не зафиксировано. Но они очень дороги - почти 1500 евро на один банкомат.

 А вот наиболее распространенные схемы, по которым работают мошенники:

• Взлом баз данных. Мошенники взламывают сервер платежного оператора или банка, на котором хранится база данных по пластиковым картам. Взломать сервер с базами данных – очень трудная задача, это мошенникам удается редко, но может принести колоссальную прибыль. При взломе с сервера могут "уйти" данные десятков тысяч банковских карт. Причем информацию о таких случаях, как правило, найти невозможно. Пострадавшие стороны предпочитают умалчивать о взломе, чтобы не потерять доверие клиентов.
• Фишинг - обманные действия, в результате которых злоумышленники получают данные непосредственно от владельца карты. Классический вариант: мошенники создают клон известного интернет-ресурса или придумывают свой ресурс и начинают "продавать" какой-либо товар или услугу. Такой вид мошенничества может сильно подорвать репутацию того интернет-магазина, клон которого создают преступники.

Владелец карты переходит на фейковый сайт, выбирает товар и оформляет заказ. Далее он вводит данные своей карты и, ничего не подозревая, отправляет их прямо в руки злоумышленникам. Для привлечения новых "клиентов", могут использоваться sms или e-mail-рассылки и активная рекламная компания в интернете.

• Атака "Человек посередине" ("Man in the middle"). В такой ситуации мошенник-хакер "встает" между клиентом и сервером (банка или провайдера). Он может удалить, исказить информацию или запустить ложную. При этом клиент распознает мошенника как сервер, а сервер принимает мошенника за клиента. Клиент совершает платеж, и его средства утекают на мнимый сервер – к злоумышленнику.
• Атака "Человек в браузере" ("Man in the browser"). Мошенник путем введения вредоносного ПО в браузер получает возможность менять параметры транзакции в режиме реального времени.

Борьба с  фродом — сложный и многопрофильный  процесс, требующий совместных усилий банка, платежных и аналитических систем.

В целом, у проблемы есть решения, технологии не стоят на месте, и помимо использования систем интернет-эквайринга Технологии 3DSecure и MasterCard Secure Code, предлагаемые сейчас компаниями VISA и MasterCard соответственно, можно выделить ряд свойств эффективной системы безопасности.

1. Система должна быть «самообучаемой». Набор интеллектуальных “самообучаемых” фильтров для контроля транзакций подразумевает гибкую систему, адаптирующуюся под определенный вид бизнеса клиента. Если инцидент зафиксирован с помощью скоринга, и аналитик вручную отметил, что эта операция легальная и ее можно пропустить, то система это запомнит и в дальнейшем будет сама пропускать такие транзакции. Модули самообучения позволяют минимизировать количество ложных срабатываний, а модули ответного реагирования и оповещения клиентов — автоматизировать процесс блокирования мошенничества. Чем больше транзакций проходит через конкретного мерчанта, тем больше система адаптируется к специфике рисковых транзакций.

Хорошая антифродовая система выполняет задачу классификации транзакций (легальная или фродовая) несколькими способами: параметры транзакции пропускаются через определенный набор статических правил, эти же параметры анализирует экспертная система, основанная на механизмах ассоциативной логики и нейронных сетей.  Желательно использование двухстадийной проверки, автомат + человек, в результате чего конверсия по платежам с использованием карт может варьироваться от 80 % до 90 %.

2. Наличие «черных списков», доступных для разных стран.

Есть так называемые блэк-листы, по сути состоящие из скомпрометировавших себя ранее номеров электронных карт, телефонных номеров, IP адресов, стран и т.п. Любая антифродовая система просто обязана обладать подобными «черными списками», сформированными при информационной поддержке банка.

3. Более ста  различных фильтров и их сочетаний.

Очевидно, что чем больше количество настраиваемых фильтров, тем большая точность при проверке транзакций (до 99%), а также гибкость настройки под  определенный бизнес. 

4. Глобальный мониторинг транзакций.

Глобальность наблюдения за транзакциями позволяет анализировать практически весь поток платежей, идущий через международные платежные системы, таким образом, позволяя эффективнее выявлять мошеннические транзакции и отслеживать случаи, когда одной и той же карточкой воспользовались, к примеру, одновременно в России и в Нигерии.

5. Безопасность при передаче конфиденциальной информации.

Речь о шифровании данных по SSL - протоколу для установления безопасного канала связи и предотвращения перехвата критических или конфиденциальных сведений в сети и по другим каналам связи. Шифрование SSL позволяет клиенту и серверу выполнить взаимную проверку подлинности. После проверки подлинности шифрование SSL обеспечивает зашифрованное соединение между участниками канала для безопасной передачи сообщений.

6. Наконец, один из важнейших моментов  – это мощные аналитические системы, установленные в процессинговом центре и анализирующие транзакционный поток. Такие решения создаются многими разработчиками самих процессинговых систем и специализированными компаниями.

В завершение добавим, что спасение утопающего, как известно, зависит от него самого. Каждый владелец банковской карты должен быть  надлежащим образом проинформирован о правилах безопасного проведения платежа; тщательно выбирать банкомат для снятия наличных со своей карты; при обнаружении скиммингового устройства немедленно сообщать о нем представителям банка. Также полезно перед совершением оплаты в интернет-магазине поискать отзывы о нем в поисковых системах.

Юлия Овчаренко, директор по маркетингу компании PayU