Дистанционный банкинг становится востребованным. Однако чем больше безналичных операций проходит по этому каналу, тем больше становится возможный ущерб при взломе. Озабо­титься обеспечением безопасности ДБО необходимо уже на этапе его внедрения и не снижать внимание к этому аспекту в дальнейшем.

По данным компании CNews Analytics, которая провела ежегодное исследова­ние рынка систем ДБО, в 2013 году был отмечен стабильный рост уровня про­никновения систем ДБО. Исследование проводилось среди 50 и 100 крупней­ших банков, а также среди финансо­во-кредитных учреждений с участием иностранного капитала.

Согласно полученным результатам 100% банков из ТОП-50 и 96% из ТОП-100 используют системы дистанцион­ного банковского обслуживания юри­дических лиц. Самой распространенной системой ДБО юрлиц является интернет-клиент. На втором месте по популярно­сти находится система типа банк-клиент: ее предлагают пользователям 84% орга­низаций из ТОП-50 и 73% из ТОП-100.

Значительный потенциал роста пре­доставляет разработчикам сегмент реше­ний для дистанционного обслуживания физических лиц, говорится в исследо­вании. Системы ДБО физических лиц используются в 85% банков, входящих в ТОП-100. Наибольшую популярность получила система типа интернет-банк, которая внедрена в 83% организаций из ТОП-100. Выросла популярность реше­ний для мобильного банкинга, их в 2013 году используют в 64% банков из ТОП-100 против 54,1% годом ранее.

Исследование показало, что в 73% учреждений из ТОП-100 реализованы дополнительные, в том числе облачные, сервисы для пользователей систем ДБО. В 71% случаев - это возможность осу­ществлять коммерческие платежи (связь, ЖКХ, товары и услуги), в 20% случаев -возможность использовать электронный документооборот (обмен юридически значимыми документами с применени­ем ЭП). Часть банков дает доступ к госу­дарственным и муниципальным услу­гам (сервисы ГИС ГМП, оплата налогов, задолженностей и штрафов). Клиенты 3% банков из ТОП-100 имеют возможность использовать электронную бухгалтерию для юрлиц и сдавать отчетность (налого­вую, Пенсионного фонда, Росстата).

Что касается распространенности услуг ДБО для физлиц, то не так давно Национальное агентство финансовых ис­следований (НАФИ) сообщало, что 46% пользователей считают осуществление платежей через дистанционные сервисы небезопасным. На рынке циркулируют полуофициальные сведения о том, что растут объемы похищенных денежных средств у клиентов банков - физических и юридических лиц.

Последние несколько лет электрон­ным банкингом все чаще начинают пользоваться люди, не имеющие опыта работы с информационными системами: пенсионеры, а также граждане, которые стали получать зарплату на банковские карты, привязанные к ДБО. Именно поэтому наиболее слабое звено в обе­спечении безопасности электронного банкинга - клиенты. Кибермошенники переместили свои атаки с банков на их клиентов. Очень эффективными оказы­ваются не только хакерские приемы, но и механизмы социальной инженерии, про­тив которых нет технического «лома».

Пользователи ДБО часто теряют пароли или оставляют их на видном месте. Также на стороне клиента вероя­тен перехват управления вычислитель­ными ресурсами как стационарных, так и мобильных устройств, применяемых для работы с сервисами ДБО, заражение их вирусами - и это на фоне общей невы­сокой культуры пользования информа­ционными системами. Поэтому средства защиты, предлагаемые кредитными орга­низациями, не должны мешать обычным клиентам банка, иначе они станут прене­брегать защитой и пользоваться дистан­ционным банкингом с нарушением требо­ваний к информационной безопасности. Процедуры получения ключей электрон­ной подписи, их применения, разбор спорных ситуаций не должны быть обре­менительными для пользователей.

Самый сложный для решения слу­чай - подмена платежных документов на этапе их подписания. Пользователь видит и подписывает один документ, а в банк уходит подложный. Хакеры разработали вредоносные программы для атак такого типа для всех наиболее распространенных систем ДБО, а ущерб от подобных атак исчисляется десятками миллионов рублей. В прессе порой звучат рекомендации в адрес банков - исходить прежде всего из экономической целесообразности, то есть чтобы защита не обошлась дороже защи­щаемых ресурсов. Однако для банковской отрасли это неприменимо. Банк обязан обеспечить сохранность средств клиен­та, иначе под вопросом будет репутация кредитной организации. А вслед за поте­рей репутации последуют потеря доверия клиентов и их отток. Банк обязан обеспе­чить конфиденциальность, целостность и аутентичность информации, в данном случае речь идет не просто о платежных поручениях, но и обо всех операциях про­ведения платежа.

Не только клиенты являются слабым звеном - сохраняются проблемы и на сто­роне банков. Эксперты говорят об уязви­мости систем ДБО. По некоторым данным в трети систем дистанционного банков­ского обслуживания возможно получе­ние доступа к операционной системе или СУБД сервера, в ряде случаев возможно получение полного контроля над ОС или СУБД. Также многие системы ДБО позво­ляют осуществлять несанкционированные транзакции на уровне пользователей. Наи­более распространенные пробелы - сла­бая парольная политика и недостаточная защита от подбора учетных данных.

Однако банки осознали реальность хакерских атак на системы ДБО и прини­мают меры. «Статистика, которой мы рас­полагаем, говорит о том, что наметилась определенная тенденция к сокращению числа таких преступлений. Предпринятые действия со стороны правоохранительных органов, Банка России и кредитных орга­низаций привели к тому, что маржиналь­ность этого вида деятельности для зло­умышленников слегка снизилась. Одна­ко очевидно, что они нащупывают другие источники и слабые места в финансовой системе в целом и в банковском секторе в частности», - говорил в интервью NBJ в декабре 2013 года заместитель началь­ника Главного управления безопасности и защиты информации (ГУБЗИ) Банка России (ЦБ) Артем Сычев.

Нормой становится проведение ауди­та защищенности этих систем как перед вводом их в эксплуатацию, так и после существенных доработок и в целом на регулярной основе. Для самописных систем востребованным становится ана­лиз исходных кодов на предмет соответ­ствия их требованиям безопасного про­граммирования.

Характер уязвимостей, которыми могут воспользоваться нарушители, из­менился. Хотя многие ранее выявленные пробелы устранены, разработчики по-прежнему допускают ошибки в реализа­ции отдельных механизмов защиты. Наи­более частый сценарий результативной атаки на серверную часть системы ДБО выглядит следующим образом: получение доступа к учетным записям отдельных клиентов происходит с использованием недостатков в механизмах идентификации и аутентификации, управления сессиями, словарных паролей.

Также на стороне банков остаются такие проблемы, как недостаточный кон­троль за бизнес-процессами, отсутствие взаимодействия кредитных организаций между собой и с правоохранительными органами, а также злонамеренный инсайд со стороны банковских сотрудников, включая администраторов бизнес-прило­жений и инфраструктуры.

Угроза средствам клиентов может исходить и изнутри банка. Например, осе­нью 2013 года в Калмыкии был арестован хакер, взломавший систему ДБО москов­ского финансового учреждения. Деятель­ность преступника пресекли сотрудники Управления «К» Министерства внутрен­них дел России. Но особенность ситуации заключается в том, что 23-летний уро­женец Элисты сам являлся сотрудником московского банка. Используя обнару­женные уязвимости системы ДБО, моло­дой человек переводил принадлежащие финансовой организации денежные сред­ства на свой счет и таким образом только за одну неделю сумел «заработать» около двух миллионов рублей.

Для того чтобы запутать следы, кал­мыцкий хакер выстроил многоступенча­тую схему хищения: используя удаленный доступ к системе дистанционного бан­ковского обслуживания, он задействовал свой счет, открытый в том же банке, для перевода денег на виртуальный кошелек одной из электронных платежных систем, а впоследствии покупал товары в интер­нет-магазинах и перечислял часть средств на счета мобильных телефонов, принадле­жащих ему и его родственникам.

Похожие проблемы в сфере защи­ты ДБО характерны и для других пост­советских стран. Например, в конце 2013 года Национальный банк Украи­ны (НБУ) опубликовал рекомендации касательно дистанционного обслужива­ния клиентов. В частности, НБУ пред­ложил банкам усилить существующие и практикующиеся меры безопасности в отношении клиентских данных во время совершения операций посредством интер­нет-банкинга. Регулятор разослал пись­ма всем коммерческим кредитным орга­низациям страны с рекомендациями как можно скорее пересмотреть договоры с клиентами по открытию счетов, а также осуществление банковских операций в сети Интернет.

Национальный банк Украины пред­ложил банкам в своих договорах указы­вать максимальную планку транзакций, которые они будут осуществлять без дополнительного подтверждения совер­шения платежа. Также в договоре Нацбанк советует добавить пункт об обязатель­ном соблюдении права использования, а также хранения основной информации о клиентах. Кредитные организации, в свою очередь, обязаны периодически проверять, насколько точно соблюдаются их клиентами все пункты заключенного договора. Помимо всего прочего, регуля­тор дал рекомендацию дополнить дого­воры следующим пунктом: коммерческий банк вправе списывать со счета клиента те средства, которые были перечислены несанкционированно.

НБУ вынужден был пойти на такой шаг, поскольку с ростом популярности платежных карт в стране активизирова­лись и мошенники. В 2012 году количе­ство махинаций с банковскими платежами выросло примерно на 47%, до 11,17 тыся­чи гривен, в то время как общий объем несанкционированных банковских опера­ций вырос на 20%, до 10,92 млн гривен.

Опыт банков по всему миру показы­вает, что защита ДБО является задачей комплексной и должна реализовываться как на стороне кредитно-финансовой организации, так и на стороне клиента. Обучая клиентов пользоваться дистанци­онным банкингом, банки не могут себе позволить пренебрегать защитой соб­ственных систем ДБО.