Правоохранительные органы и независимые эксперты ежегодно отмечают рост числа преступлений с использованием систем дистанционного банковского обслуживания. Конечно, банки пытаются как-то контролировать ситуацию: предлагают клиентам аппаратные средства верификации и подписи платежных поручений, массово используют однократные пароли и SMS-под-тверждения платежей, внедряют системы фрод-мони-торинга. Тем не менее проблема остается.

ВПЕЧАТЛЯЮЩИЕ МАСШТАБЫ

Осенью 2012 года компания Symantec опубликовала результаты ежегодного    исследования    киберпреступлений Norton Cybercrime Report 2012. Общий ущерб пользователей от киберпреступлений в мире специалисты оценили в 110 млрд долларов, а число пострадавших в 556 миллионов участников Всемирной паутины. Такие внушительные данные свидетельствуют о глобальном несовершенстве цифрового мира.

Дороже всего киберпреступность обходится китайцам, которые, по оценке Symantec, за 12 месяцев потеряли 46 млрд долларов. Сумма ущерба в США составила 21 млрд, в Западной Европе - 16 млрд, в том числе в Германии - 3,67 млрд, во Франции - 3,25 млрд, в Великобритании - 2,9 млрд долларов. В Германии число жертв составило 15 миллионов, в Великобритании - 12,5 миллионов, во Франции - свыше 10 миллионов.

В 2012 году наша страна впервые была представлена в отчете: более 30 миллионов человек в России в той или иной степени пострадали от хакеров за исследуемый период. В пресс-релизе компании Symantec говорится, что ущерб от деятельности киберпреступников в России оценивается почти в два миллиарда долларов.

Согласно ежегодному докладу Norton Cybercrime Report пользователи из России подвергаются кибератакам чаще жителей других стран. За 2012 год 74% компьютеров в нашей стране были заражены вирусами, вредоносным ПО. Это самый большой показатель в мире. На втором месте Китай с 66%, говорится в отчете.

Опубликованное антивирусной компанией исследование констатирует увеличение количества новых форм и практических методик киберкриминала по сравнению с 2011 годом, а именно рост угроз, нацеленных на социальные сети и мобильные устройства. Согласно проведенным опросам каждый пятый (21%) интернет-пользователь старше 18 лет уже имеет печальный опыт поражений на своем поле от рук промышляющих в ИТ-сфере преступников.

Примерно в то же время, когда вышло исследование Norton Cybercrime Report 2012, МВД России опубликовало статистику преступлений в сфере высоких технологий за первое полугодие 2012 года. По данным Министерства, в России было зафиксировано 5696 киберпреступлений, что почти на 11% больше, чем за аналогичный период 2011 года. Среди них преобладают преступления, связанные с созданием, распространением и использованием вредоносных программ, а также с мошенничеством в сети Интернет.

Интернет-мошенничества, по данным правоохранительных органов, являются самыми распространенными преступлениями в ИТ, и их число продолжает расти. За первые шесть месяцев 2012 года зафиксировано 1443 таких преступления (рост на 44%). При этом, по оценкам экспертов, реальные показатели объемов киберпреступности в нашей стране могут быть на порядок выше официальной статистики, поскольку мошенничество характеризуется высоким уровнем латентности. Особо в МВД отметили увеличение числа преступлений с использованием систем дистанционного банковского обслуживания (ДБО).

ДВУСТОРОННИЕ РИСКИ

В настоящее время трудно себе представить, что какой-либо банк не использует системы дистанционного банковского обслуживания. Бурное развитие систем ДБО чрезвычайно привлекает внимание киберпреступников, в арсенале которых для несанкционированного доступа к информационным системам имеется широкий и постоянно обновляющийся набор технологического инструментария.

Неудивительно, что в последние годы наблюдается постоянный рост количества преступлений, связанных с использованием систем ДБО. По словам некоторых специалистов, проводящих расследования подобных преступлений, доход одной отдельно взятой преступной группировки сравним с совокупным бюджетом служб информационной безопасности всех российских банков.
Если говорить об утечке информации при ДБО, то риски могут возникать как со стороны клиентов, так и со стороны банков, и у каждого своя зона ответственности.

Примером первого вида рисков может быть ситуация, когда клиент вводит пароль в неправильном месте или оставляет его в системе сохраненным и дает возможность злоумышленникам воспользоваться им. Клиентские риски также связаны с недостаточно безопасными способами авторизации: у пользователя нет карточки паролей, либо его доступ в систему обеспечивает лишь одно слово или один пароль, который человек может записать где-то и который кто-то может увидеть. По мнению банковских экспертов, при ДБО имеют место в основном клиентские риски, связанные с тем, что банк не предусмотрел эффективную технологию защиты информации.

Второй вид рисков при ДБО - банковские риски, возникающие в случае, когда утечка информации происходит на этапе передачи данных в кредитную организацию. Эксперты банков утверждают, что в настоящее время такие случаи очень редки, поскольку финансовые учреждения располагают достаточными ресурсами для того, чтобы защитить информационные системы. Если работа, которая ведется банком в данном направлении, выстроена грамотно, такие риски минимизированы.

Конечно, зона ответственности финансово-кредитной организации гораздо шире, так как в ней находится комплексное обеспечение безопасности системы. В рамках реализации этой задачи банки делают все возможное для того, чтобы защитить ключи электронной подписи и процедуру формирования подписи для платежных документов на стороне клиента. Однако при этом, как правило, пользователь все же должен соблюдать элементарные нормы безопасности на своем рабочем месте для работы с системой «клиент-банк».

Действительно, ситуация складывается таким образом, что клиент оказывается менее защищен, нежели организация, поэтому действия мошенников сместились именно в эту зону. Преступники пошли по пути наибольшей экономической целесообразности и наименьшего сопротивления: зачем взламывать сервер «клиент-банк», что сложно и дорого, если можно просто украсть ключи, которые находятся в компьютере клиента.

Однако защита клиентской стороны постепенно повышается, считают некоторые банковские эксперты. Это происходит с помощью устройств защищенного хранения ключей ЭП и защищенной выработки электронной подписи, посредством доверенных устройств отображения по подписи платежного поручения, с помощью доверенных каналов подтверждения платежа и использования доверенной среды для работы с сервером «клиент-банк».

ОСНОВНЫЕ УГРОЗЫ

Не существует универсального средства противодействия различным атакам на системы ДБО, однако банки используют некоторые способы защиты от мошенников, минимизирующие риски работы в ДБО.

В большинстве случаев при атаках на системы ДБО применяются методы социальной инженерии, средством защиты от которых является повышение уровня осведомленности пользователей систем ДБО в вопросах информационной безопасности. В данном случае в качестве основных угроз выделяют использование методов социальной инженерии с последующим заражением клиентских рабочих станций вредоносным программным обеспечением и компрометацией идентификационных данных клиента, а также фишинг и атаки типа «отказ в обслуживании».

Одной из основных угроз дистанционного обслуживания является хищение ключей электронной подписи и закрытых ключей ЭП клиентов систем ДБО с их же компьютеров. При этом адекватный метод противодействия различного рода атакам на системы ДБО придуман - это перенос функции контроля основных параметров документа из операционной системы в замкнутую среду на внешнем устройстве. В этом случае функции защиты, целостности и неизменности документа реализуются не в операционной системе, а на отчуждаемом защищенном носителе. Такие устройства на российском рынке уже предлагают несколько компаний.

В последнее время внимание сообщества специалистов по информационной безопасности сконцентрировано на проблеме несанкционированных платежей, которые создаются мошенниками посредством украденных ключей электронной подписи, удаленного управления компьютером с ключом ЭП, либо с помощью подмены реквизитов платежного поручения на ПК клиента в момент подписи. Соответственно, основные усилия  сосредоточены на защите клиентских ключей ЭП и процесса создания электронной подписи для платежного документа. При этом, к сожалению, в тени оказываются вопросы защиты сетевого периметра, ИТ-инфраструктуры и автоматизированных банковских систем, безопасности самого приложения «клиент-банк». Если, например, веб-интерфейс «клиент-банка» написан без учета технологий безопасного программирования, без контроля его качества, то он может содержать уязвимости, которые, соответственно, используются для атаки. Также для атаки на «клиент-банк» могут быть использованы слабые стороны операционной системы сервера, на которой несвоевременно устанавливаются обновления и патчи безопасности.

ПРЕСТУПЛЕНИЯ И НАКАЗАНИЕ

Эксперты считают, что в России Фемида слишком терпимо относится к кибер-преступникам, нарушая старое доброе утверждение о том, что вор должен сидеть в тюрьме. К тому же следственные органы, как правило, стараются не возбуждать дел примерно в 80% случаев кибермошенничества.

Терпимость к компьютерным мошенникам иллюстрирует такой пример: российский хакер, похитивший из Королевского банка Шотландии около 10 млн долларов, был осужден на пять лет условно. А его «коллега» по ремеслу, ограбивший магазин на гораздо меньшую сумму, получит реальный срок. Эксперты отмечают, что средний возраст киберпреступников - 25-26 лет и многие из них -долларовые миллионеры, управляющие теневым Интернетом.

Можно привести в качестве примера еще один случай, о котором сообщалось в сентябре 2012 года, когда фигуранты дела о хищении около 13 млн рублей у клиентов банка ВТБ24 были осуждены условно. Суд назначил им наказание в виде шести лет лишения свободы условно с испытательным сроком - пять лет, а также штраф в пользу государства в размере 450 тыс рублей с каждого, говорилось в пресс-релизе МВД. Потерпевшими по данному уголовному делу признаны более 170 граждан из 46 регионов России. По информации МВД, это было первое уголовное дело в России о компьютерном фишинге. Преступники создали копию оригинальной вебстраницы ДБО. После этого приобрели набор вредоносного программного обеспечения, задачей которого после активации на зараженном компьютере являлось изменение или подмена некоторых параметров, задействованных в функционале «банк-клиент». В результате любые обращения клиентов банка к официальному банковскому сайту перенаправлялись на серверы, принадлежащие мошенникам, где последние разместили поддельную веб-страницу. На ней, по данным МВД, клиенты банка вводили свои персональные данные, и эти сведения получали мошенники. Получив доступ к счетам, преступники различными способами обналичивали деньги.

В отличие от России на Западе кибер-мошенники получают реальные сроки, и примером тому является множество дел, возбужденных в 2012 году. Так, окружной суд Лос-Анджелеса приговорил 26-летнюю жительницу Калифорнии к пяти годам лишения свободы за соучастие в организации массовой кражи денежных средств со счетов Bank of America и Wells Fargo с помощью фишинга. Британский суд присяжных приговорил преступника к 6,5 годам тюремного заключения за взлом студенческих кредитных счетов посредством фишинга. А летом 2012 года Федеральное бюро расследований (ФБР) сообщило об успешном завершении двухлетней операции по ликвидации мошеннической группировки «Operation Card Shop», которая занималась торговлей данными по кредитным картам. В результате проведенной работы было произведено 24 ареста в восьми странах мира, в том числе в США.

СЕТЬ ГРАНИЦ НЕ ИМЕЕТ

В начавшемся 2013 году уже произошло событие, которое призвано объединить мировых экспертов вокруг проблемы информационной безопасности в сети Интернет. 11 января в Гааге начал работу Европейский центр по борьбе с киберпреступностью.

«Киберпреступники проникают в наши компьютеры, взламывают банковские счета и манипулируют финансовыми транзакциями, - отметила комиссар ЕС по внутренним делам Сесилия Мальмстрем. - Мошенники совершенствуют методы подделок кредитных карточек и кражи личных данных. Они узнают имена и пароли клиентов online-банкинга, взламывают наши смартфоны и профили в социальных сетях».

С киберпреступностью борются все страны Евросоюза, однако они делают это отдельно друг от друга, и успех при этом не всегда гарантирован. А ведь сеть не имеет границ, поэтому для борьбы с интернет-мошенниками необходимо объединить усилия, считает еврокомис-сар Мальмстрем.

Государства, которые не входят в Евросоюз, но сотрудничают с европейцами в этой области, тоже выиграют от создания единого центра, уверена евро-комиссар. В качестве примеров она назвала США, Канаду и Австралию. А вот Россия пока на этом поприще с ЕС взаимодействует мало, посетовала Сесилия Мальмстрем. Брюссель выражает надежду, что Москва изменит свою позицию, в чем, кстати, заинтересованы как Россия, так и Европа, ведь именно российский сегмент сети на сегодняшний день - один из крупнейших рассадников киберпреступности в мире.

МНЕНИЕ ЭКСПЕРТА
Николай СМИРНОВ, начальник отдела научных исследований и развития продуктов ОАО «ИнфоТеКС»
Масштаб хищений и махинаций на рынке ДБО в среднесрочной перспективе растет семимильными шагами. Стоит отметить, что рост числа атакующих обусловлен позицией ряда банков в отношении безопасности информационных коммуникаций ДБО. Имеющиеся на рынке средства защиты информации (СЗИ) и средства криптографической защиты информации (СКЗИ), разработанные и подготовленные экспертами информационной безопасности, длительное время вовсе не использовались или применялись бессистемно и фрагментарно.

Компания «ИнфоТеКС» имеет в своем продуктовом портфо-лио три продукта, реализующие три варианта обеспечения защиты данных и каналов коммуникаций ДБО, причем первый продукт ViPNet CSP еще и бесплатен.

Но никакие СКЗИ не помогут, если не соблюдать правил пользования данными средствами. Оставленный без присмотра компьютер с ключом-криптотокеном эквивалентен оставленным вне сейфа учредительным документам и печати организации!

Безопасный доступ к системам финансово-кредитных учреждений - это строго авторизуемый терминальный доступ по строго защищенным каналам связи. Эта фраза звучит страшно, однако в данном случае задача решается элементарно: готовым продуктом ViPNet Terminal, простым даже для домашнего использования, в достаточной степени гарантирующем отсутствие несанкционированного доступа к важной для клиента информации, перехвата и искажения передаваемой информации. Основным средством защиты является концепция продукта - отсутствие локальной обработки информации делает бессмысленным большой пул атак, а надежная защита каналов связи - возможность перехвата или навязывания информации.

Сергей КОТОВ, эксперт по информационной безопасности компании «Аладдин Р.Д.»
По статистике 70% атак на клиентскую часть современных систем ДБО происходит при хранении закрытых ключей аутентификации и электронной подписи на незащищенных носителях, поэтому многие банки переходят на технологии строгой многофакторной аутентификации  с формированием  и хранением закрытого ключа электронной подписи (ЭП) в неизвлекаемом виде на USB-токене или смарт-карте.

Для обеспечения корректного использования электронной подписи в работе с банковскими интернет-сервисами при отсутствии гарантии «чистоты» операционной среды на компьютере пользователя мы разработали технологию JC-WebClient. Решение обеспечивает взаимодействие web-приложений с USB-токеном или смарт-картой в контексте браузера. JC-WebClient включает в себя кросс-платформенный мультибраузерный плагин, программные библиотеки вызовов криптографических функций с защищенного внешнего носителя и USB-токен.

Использование технологии гарантирует обеспечение взаимной строгой двухфакторной аутентификации пользователя и провайдера web-сервиса, а также квалифицированной электронной подписи web-форм и документов.