В своей авторской колонке специально для Национального банковского журнала (NBJ) Максим Сёмов, председатель Комитета по повышению финансовой грамотности Ассоциации российских банков, руководитель направления Управления методологии бизнес-процессов Азиатско-Тихоокеанского Банка (АО), размышляет о том, как цифровая трансформация нашей жизни приводит к совершенно неожиданным результатам, и почему дропперство становится обыденным явлением в студенческой среде. 

Сегодня речь начнётся с литературы, потом пройдёт около мошенников и придёт к фантастическому итогу. Я хочу обратить внимание на развитие одного явления в области финансового мошенничества, а именно – дропа.

Назад в прошлое

Если современному человеку перенестись на сотню лет назад в своём обычном, повседневном виде, то многое в нём для тех, кому повезёт с ним там встретиться, будет непонятным и необычным.

Смартфон, беспроводные наушники, часы, пластиковые карты. Это так, среднее у каждого. А если он будет на электросамокате или еще хуже – на моноколесе? Да еще и в умных очках, с рюкзаком, в котором ноутбук, зарядные устройства, умные колонки и прочее.

Пока он будет молчать, ещё можно его как-то принять за своего, продвинутого, изобретателя. Но как только он откроет рот или умная колонка начнёт спрашивать «где это мы?», – пиши пропало.

Я недавно покупал билеты на поезд. То есть я подумал «поеду к морю» и нажал пару раз пальцем в экран смартфона. Перевод средств с моего счёта на счёт продавца, формирование и перевод мне электронных билетов, бронирование купе у перевозчика – всё это результат слаженной работы нескольких электронных систем, каждая из которых превосходит все системы расчётов, что существовали сто лет назад. Я не представляю, как можно объяснить покупку электронных билетов людям, которые только познакомились с бытовым электричеством. Но даже сто лет назад нашлись бы люди, которые сказали – «о, я об этом читал!».

Писатели

Во все времена были фантазёры, которые описывали фантастические технологии, часто не задумываясь о том, как это должно работать, да и вообще – будет ли? И что самое удивительное, впоследствии находились те, кто придуманные фантазии замечательно воплощал в жизнь.

Карел Чапек придумал роботов. Спасибо, теперь они вокруг нас. Герберт Уэллс описал много любопытного, скажем, урановые гранаты, которые сбрасывали с самолетов (он назвал их «атомными бомбами»), развитие автотранспорта, траволаторы, смартфоны, электрические приборы, да даже центральное отопление (которое, между нами, до сих пор в некоторых развитых странах является фантастикой).

Бэллами придумал оплату карточками, Хаксли – клонирование, Кларк – GPS, мобильную связь, интернет, да и планшет обрисовал так, словно на нём и писал.

Писатели описали телемедицину, вайфай, блютус и удалённую работу. И многое-многое другое. Мы живём в мире вещей, которые были придуманы сказочниками, а затем, спустя годы, созданы инженерами и конструкторами…

С этими банальностями разобрались. Теперь давайте чуть поближе к мошенникам и финансам. А именно к тому, с чем нам, судя по фантастическим повестям, скоро предстоит встретиться. Я про виртуальных дропов.

Дроп

Дроп, как мы помним, это человек, который оказывает услуги мошенникам. Сам он редко принадлежит к криминальному миру, и никаких чисто преступных задач и умыслов у него нет. Часто это студент, который искал и нашёл возможность заработать.

В поисках заработка студент натыкается (или его конкретно направляют знающие люди) на предложение «Требуется человек с банковской картой». Суть работы – переводить через карту деньги. На карту поступает 10 тысяч, студент их переводит по указанным реквизитам, оставляя себе небольшой процент. Или варианты: дроп снимает поступившие средства в банкомате или наоборот, – пополняет счёт наличными, полученными от организатора. Также за процент. Объясняются такие операции оптимизацией налогообложения, исчерпанием лимитов по снятию и тому подобными вещами.

На вопросы о законности таких операций, ответственности за них, ответ такой: вы переводите свои деньги, вы снимаете свои деньги. В чём тут нарушение закона?

Состава преступления нет.

Пояснения сопровождаются демонстрацией Уголовного кодекса, КоАП, с просьбой показать статью за обналичивание. Её нет. А за транзитные переводы? И такой нет! Так что «всё в порядке, дорогой товарищ дроп. Давай, переводи деньги – кроссовки сами себя не купят».

И начинает студент работать на мошенника, не понимая, что становится частью организованного преступного сообщества, в простонародье называемой «шайкой», то есть зарабатывая себе перспективы по 210 статье Уголовного кодекса со штрафами и лишением свободы до десяти лет.

Беда ещё и в том, что дроп эти перспективы имеет постоянно – то есть, если его привлекут по статье, допустим, о мошенничестве или за незаконную банковскую деятельность, то тут ещё можно отделаться условным наказанием. Однако жить в надежде, что, когда накроют всю цепочку и столкнутся с организованным сообществом, про дропа забудут – наивно. Так что «по десяточке вам, граждане. По десяточке»…

Но это не всё. Дело в том, что привлекаемый студент нужен организованному преступному сообществу как расходный материал. То есть то, что подлежит замене.

Это счёт студента будет блокироваться банками. Но на цепочку прохождения средств это не повлияет – одного студента заменит другой. Это студент будут попадать в «нехорошие» базы данных, но опять это никак не повлияет на схему проведения денег. Да, операции со счетами этого студента будут считаться подозрительными до тех пор, пока из базы их не уберут (с учётом невысоких знаний у граждан о том, как это делается, операции дропа будут блокироваться постоянно), но засвеченный дроп уже никому не нужен.

Студент будет моментально отсечён от системы при проявлении интереса со стороны правоохранительных органов. Максимум, что он сможет рассказать – это пара контактов и несколько счетов, которые также будут быстро ликвидированы ради спасения всей цепочки.



Фунт всегда сидел

«Так, – спросите вы, – а что же тут фантастического?». «А ничего», отвечу я вам. Зиц-председатели, фиктивные директоры, подставные работники – это всем известно, и это было и сто, и триста лет назад. Иногда кажется, что человек разумным-то стал из-за мошенничества. Все обезьяны как обезьяны. Сидят и ждут своего леопарда. А эти взяли в руки палки. Мамонт гонится за неандертальцем и попадает в ловушку. «Мерзкий сапиенс, – успевает подумать он, – и вымирает».
Но ведь не зря я про фантастику говорил? Не зря.

Какая проблема у тех, кто нанимает дропов ¹ ? Это риски. Как и где найти честного дропа? Маргинал, получив сто тысяч на карту, присвоил их и пропал. Благородный алкоголик, хотя и был в приличном костюме, но первый же транш снял полностью, немедленно выпил и попал в полицию за дебош и разврат. Проблема понятная.

Работоспособное население редко соглашается на сомнительные деньги.

Пенсионеры? Да, они ответственные. Но большинство не преступит закон, плюс сезонность: весной рассада, летом прополка, осенью уборочная, зимой радикулит.

Остается молодёжь. Точной статистики по дропам нет, но в 2023 году переводы средств в рамках «телефонного мошенничества» обеспечивало примерно 2 млн дропов ² . А студентов у нас по статистике – 4,5 млн. Учитывая меры, которые сообщество предпринимает для профилактики мошенничества, меры по финансовой гигиене, по финансовой грамотности вообще и ожидаемые меры по изменению схем блокировки счетов дропов, мы приходим к ожидаемому «кадровому голоду» в этой сфере. То есть реальные дропы скоро кончатся.

Человек-невидимка

Миры, в которых государственные системы не видят преступника, описаны не один и даже не сотни раз. Картина из фантастической повести: человек совершает преступление, пользуясь электронными документами другого человека, затем с помощью программного обеспечения, несколько раз меняет документы и из Джона становится Уолтером. Такая схема не требует времени и средств на изготовление реальных документов. Смена личности происходит по нажатию на экран смартфона. И вот уже государственные системы распознавания личности видят не Джона, а Уолтера. Причем не просто «видят», а распознают, как гражданина – с биографией, историей, в том числе с кредитной и вообще с банковской. Смена личности позволит избежать преследования и наказания – понять, кто именно совершил преступление, тяжело.

Мы наблюдаем стремительное развитие рынка удалённых услуг. Пожалуй, трудно уже представить услугу или товар, которые нельзя было бы получить, не вставая с дивана. Купить еду? Нажатие на экран и курьер уже в пути.

Отправить посылку? Жмите на экран.

Получить посылку? Нажатие на экран. Вы торгуете обувью? Мебелью? Нефтью? Сидите ровно – наши сервисы только и ждут вашего движения рукой. Вы хотите учиться? Пожалуйста. Оформить доверенность? Зарегистрировать недвижимость? Открыть вклад? Взять кредит? В каком банке? Выбирайте скорее – мы ждём! Условия вклада? На экране. Цифровая подпись уже готова – вам остаётся только кивнуть в камеру.

Простите, вы что-то сказали? Традиционное обслуживание? Это вот когда идти в отделение? Глаза в глаза и обсуждение услуг, сидя в кресле перед работником банка? Это теперь стоит отдельных денег и называется private-banking и скоро будет доступно не всем. Да и зачем, если все данные о вас уже у нас? Вот учётная запись. В ней всё. Цифровая личность. А кто будет спорить, что это неудобно, – останется без кредита! Но довольно лозунгов и абстракций.

Ограбление по…

Проблема, конечно, не новая (вспомним, например, SSN ³ ). Но позвольте пояснить, почему я завёл речь об этом.

Давайте представим, что десять лет назад нам срочно понадобилось снять деньги со счёта соседа. То есть ограбить его. Для этого нам нужно было заявиться в офис банка, представиться соседом, снять деньги и дело в шляпе. Для этого необходимо: 

• убедиться, что сосед хранит деньги на счёте в банке (например, подкупить работника банка);

• украсть у соседа паспорт или другой документ, удостоверяющий личность;

• стать похожим на соседа (либо гримироваться под него, либо подделывать фотографию в паспорте);

• прийти в банк и, сыграв роль соседа, снять наличные.

И всё это нужно сделать быстро, пока сосед не обратится в банк с информацией о потерянном паспорте.

А сегодня? Что нужно для этого сегодня?

Нам нужен только код смены доступа в личный кабинет.

Причём, даже не в личный кабинет конкретного банка. Да и не банка вообще. Нас устроит доступ к личному кабинету в Госуслугах, в котором можно оформить заём в любой МФО страны. Нам не нужна информация о счетах и остатках на них. Не нужны затраты на подкуп и проверки. Наша задача – пройти аутентификацию. А для этого нам нужен только доступ в аккаунт. Который, с учётом невысоких знаний в области информационной безопасности и жажды приключений, относительно легко можно получить у наших граждан ⁴ .

Только без рук!

Тем не менее, кража аккаунта несёт риск получения от владельца этого аккаунта вопросов, а может даже и увечий.

Гораздо спокойнее не воровать аккаунт цифровой личности, а сделать саму личность.

Это я. Автор статьи.



А это варианты цифровой личности, которые созданы из моей фотографии за пару минут на смартфоне с помощью бесплатного мобильного приложения ⁵ .

Они могут говорить, отвечать на некоторые вопросы, смешно петь и вообще выглядят, как обычные люди. Я могу заставить их петь голосом любого вокалиста, произносить любые тексты и совершать почти любые действия.

Мечта Электроника становится реальностью – он хотел стать человеком, ну вот, пожалуйста. Сделанные мной персонажи ничем не хуже реальных людей. Тем более, что жизнь части наших современников менее активна, чем у этих виртуальных личностей. Я написал, что они могут совершать почти любые действия. «Почти» – потому что дело за малым.

Нужно дать этим персонажам документы. А в случае использования их как дропов – банковские счета или карты. Чем и занимаются в настоящее время специалисты «тёмной стороны». Созданием виртуальных синтетических личностей.

Пока вы читаете эти строки, работа над созданием таких персонажей идет полным ходом: 

• Виртуальная синтетическая личность с вымышленными документами и с созданными изображениями. При этом документы не содержатся в государственных информационных системах;

• Виртуальная синтетическая личность с документами другого гражданина. Документы официально зарегистрированы и отмечены во всех государственных системах, как действующие. А вот изображение личности принадлежит конкретному мошеннику. Мошенник может быстро менять набор документов, оставляя своё изображение на них;

• Виртуальная синтетическая личность с документами нескольких граждан. Компиляция различных действующих документов от разных граждан в один комплект с одним изображением конкретного мошенника.

Мёртвые души

Верные идеям Чичикова, отдельные граждане уже покупают, воруют документы и аккаунты пожилых людей, чтобы затем использовать их в своих целях. Ключевое слово тут «затем» – украденные данные будут использоваться после смерти жертв. И в итоге мы получим не только радость от информации об увеличении среднего возраста в отдельных частях страны, но и печаль от действий активных столетних граждан, создающих фирмы, обналичивающих средства и проводящих транзитные платежи через свои банковские карты. Для чего искать и нанимать дропов, если можно использовать виртуальную цифровую личность? В отличие от дропа, она несёт меньше рисков, полностью управляемая и при необходимости быстро исчезает, испаряясь за миллисекунды.

Кроме использования украденных данных, нас ждёт и создание виртуальных цифровых личностей «с нуля». Причём создание личностей останавливает сегодня не технические сложности, а информационная безопасность. И если будет найден обход средств защиты, то будет создана не одна, а миллиард виртуальных цифровых личностей за один заход.

Фантастика? Увы, реальность

Уже сейчас существуют сервисы в сети, использующие нейросети и искусственный интеллект для создания виртуальных цифровых личностей, обладающих полными пакетами документов. Есть информация, что виртуальные цифровые личности проходили проверку KYC ⁶  в ряде криптовалютных бирж. Причем сервисы способны генерировать не только документы виртуальным цифровым личностям, но и селфи с ними.

Эта иллюстрация многим известна ⁷ .

Этот несуществующий паспорт прошел KYC-проверку на криптовалютной бирже. Получив фотографию документа и селфи, биржа подтвердила личность. В дополнение к паспорту сервис создал водительское удостоверение, которое используется на многих сайтах в качестве удостоверения личности. Хотя владельцы сервиса и заявили, что они против мошенничества и не представляют, как с помощью предлагаемых ими инструментов можно кого-то обмануть, иное использование услуги придумать сложновато. Подобные сервисы уже активно используются для кардинга ⁸ , создания фальшивых банковских счетов, а также для разблокировки своих крипто-аккаунтов там, где запрашивают подтверждение личности.

Конечно, это пока экзотика. И глядя на верификацию аккаунта по таким документам, можно говорить, что это не про нас. В общем да, это было не про нас, однако на этих сервисах появилась возможность генерации документов РФ.




Кстати, а что наши заклятые друзья?

А у них потери в 2021 году от «синтетики» (официальное наименование проблемы использования виртуальных цифровых личностей) составили 20 млрд долларов США ⁹ .

В основном это связано с формированием кредитной истории на основе реальной информации, совмещённой с поддельной (например, SSN умершего человека и вымышленный адрес), на основании чего злоумышленники обманывают финансовое учреждение при получении кредита. Кредит обналичивается, а фальшивая личность исчезает.

Отмечается, что финансовая история виртуальных цифровых личностей создаётся постепенно: мошенники могут годами ждать и в процессе создавать законную финансовую историю, прежде чем совершать какие-либо мошеннические действия. Поэтому одно из направлений пресечения такого мошенничества связано с выявлением спящих виртуальных клиентов в уже существующих базах.

Итоги

Как я сказал в начале, цель статьи – обратить внимание на то, что один из способов реализации мошенничества тихонько трансформируется. И к трансформации нужно готовиться сейчас. Разрабатывать и запускать такие механизмы, как расширенный анализ данных клиента с изучением «цифрового следа клиента», более глубокое взаимодействие с государственными информационными системами и оценка изменений в них, и тщательное управление обработкой персональных данных клиентов в процессах.

Некоторое время назад, когда био-идентификация только начиналась, мы, как и многие, интересовались у одного из разработчиков оборудования, можно ли обмануть систему, заменив живого человека перед камерой на видео? Тогда это было маловероятно и тем более сейчас, – но система будет ломаться там, где это возможно. Беда в том, что не все видят границы системы: для чего обманывать её сегмент, который сравнивает живое лицо с виртуальным слепком, если можно заменить мастер-копию? Лицо может быть одно – документов может быть много.

Использование дропов продолжается, несмотря на совершенствование процедур выявления и блокировки счетов. Цели у мошенников не изменились и не изменятся. Транслируемое в обществе мнение о том, что вывод средств из криптовалюты возможен только с использованием дропов, также никуда не денется. Дроп как инструмент достижения целей будет совершенствоваться и меняться, в том числе по пути, который я описал.

Завершая, я задам вопрос: кто-нибудь уверен, что в базе вашего банка не спят виртуальные клиенты?


Материал также опубликован в печатной версии Национального банковского журнала (апрель 2024)