Проблема мошенничества актуальна для любой организации финансового сектора, и розничные банки не являются исключением. С развитием информационных технологий активно формируются новые каналы взаимодействия с клиентом, появляются новые типы операций и способы их проведения. Наряду с этим становится проще пользоваться банковскими услугами и подключать их. С другой стороны, такое упрощение нередко приводит к повышению вероятности финансовых и имиджевых потерь кредитных организаций. Отсюда и главный вопрос: как эффективно усилить контроль над рисками, сохранив при этом удобство и доступность сервисов? На этот и другие вопросы NBJ ответил эксперт компании Wincor Nixdorf Игорь КОРОЛЕВ.

NBJ: Расскажите о масштабах мошенничества в сфере платежных операций. Какие мировые тенденции видит ваша компания?

И. КОРОЛЕВ: Если говорить о масштабах, то ежегодные мировые объемы потерь от фрода составляют десятки миллиардов долларов. При этом есть ощущение, что не все хотят официально признавать наличие мошеннических операций, а тем более афишировать конкретные цифры потерь. Так что реальные объемы, на наш взгляд, могут быть еще больше.

Если говорить о средствах защиты, то их можно условно разделить на клиентские (мы называем это первой линией) и серверные (вторая линия). Клиентские – защита банкоматного программного обеспечения от кибератак, установка антискиммеров. В случае с интернет-банком это, например, рекомендации устанавливать антивирус и требование использовать длинный и сложный пароль. Разумеется, данные средства срабатывают не всегда. Применяется и вторая линия защиты: одноразовые пароли, лимиты, ограничения на проведение операций в особых случаях и прочее. Наше решение – IRIS Fraud Prevention – представляет последнюю линию обороны, то есть срабатывает тогда, когда предыдущие барьеры оказались малоэффективными.

Здесь стоит отметить одно фундаментальное наблюдение: какие бы средства защиты ни придумывались, рано или поздно их взламывают злоумышленники. В 70-х годах, когда изобрели банковские карты, магнитная полоса и ПИН-код считались абсолютной защитой. Тогда и не задумывались, что кому-то придет в голову поставить накладку на вход картридера банкомата и камеру, подглядывающую за вами, когда вы вводите ПИН-код. Однако прошло десять лет, и технология успешно применяется мошенниками на практике. Сегодня мы наблюдаем колоссальный прогресс в этом направлении. Отличить современные скимминговые накладки от оригинальных сейчас могут только специалисты, которые ежедневно работают с банкоматами и представляют, как распознать подделку. Со временем производители банкоматов разработали технологии, генерирующие защитное электромагнитное поле вокруг входа картридера, чтобы ложная накладка вместо сигнала считывала шум. Так, сдвоенный операционный усилитель позволяет одной из головок скиммера, которая читает полосу карты, получать вместе с сигналом шум, а вторая генерирует только шум. В комплексе эти меры защиты позволяют бороться с противоправными действиями.

Вы говорите, что клиенты научились прикрывать ввод ПИН-кода ладонью? И на это есть ответ – вместо камеры мошенники устанавливают тепловизор и распознают ПИН-код по остаточному свечению на металлических кнопках. Поэтому главная и постоянная проблема – злоумышленники непрерывно адаптируют свои разработки к новым средствам защиты. То есть научились мы, например, бороться с каким-то определенным видом фрода, а преступники или взломали эту защиту, или уже придумали новый вид фрода. Очень характерный случай произошел в свое время в Австралии. Там решили, что чиповые карты – это «серебряная пуля». Запретили магнитную полосу, обязали всех выпускать и принимать к оплате только «чип». Результат: мошенничество с магнитной полосой почти исчезло, при этом в другой области – CNP, или Card Not Present – возросло так, что общий объем потерь по стране увеличился в два раза. Мошенники перестали снимать наличные, стали совершать покупки через дистанционные каналы.

Соответственно, современному банку или платежному провайдеру необходимо не только обеспечить себе защиту от текущих мошеннических схем, но и иметь решение, которое позволит оперативно реагировать на новые противоправные вызовы. Это, кстати, один из базовых принципов, на которых основано наше решение. Более того, нередко случается, что банк открывает новые каналы взаимодействия с клиентом. Все знают, в последние годы наблюдается активное развитие мобильного банкинга, виртуальных карт и электронных кошельков, а в интернет-банке разнообразие возможных операций растет ежедневно.

Наше решение учитывает потребность в адаптации к постоянному развитию сервисов, появлению новых каналов и типов транзакций. Любой эксперт по безопасности в курсе, что нельзя просто так взять и настроить антифрод-систему таким образом, чтобы она закрыла все риски на долгие годы. Желательно иметь максимальную гибкость решений, которые позволяют выявлять изменения в платежной экосистеме банка. Поэтому, во-первых, мы не привязываемся к каким-то конкретным каналам, а работаем со всеми возможными вариантами. Во-вторых, при появлении новых мошеннических схем наши разработки позволяют вносить изменения в логику решения, что называется, на лету.

NBJ: Расскажите о сути вашего метода. Каким образом вы отделяете мошеннические операции от тех, что совершили сами клиенты?

И. КОРОЛЕВ: При использовании нашей системы обработка любой операции, будь то перевод средств, оплата услуг, выдача наличных, проходит следующим образом. Соответствующая банковская авторизационная система сначала отправляет все данные по этой операции в систему IRIS. Она, в свою очередь, на основании специального свода правил выдает рекомендацию о дальнейших действиях: одобрить операцию, отклонить и отправить на расследование, заблокировать карту или счет и т.д. Возможность использования различных вариантов рекомендаций для разных каналов помогает дополнительно сократить расходы наших клиентов. Например, в интернет-банкинге, помимо вариантов «отклонить» или «одобрить», можно ввести вариант «выслать одноразовый пароль на телефон и запросить его». Это обеспечивает дополнительную экономию на SMS-сообщениях. Очевидно, что злоумышленник, получив доступ к интернет-банку клиента, не станет совершать оплату услуг ЖКХ для своей жертвы. Обработка полученных данных происходит не только по сумме операций, а более тонко – на основании поведенческого анализа.

NBJ: Вы рассказали о системе правил. Вы предоставляете эти правила на основе мирового опыта или банку необходимо создавать их самостоятельно, исходя из собственной практики?

И. КОРОЛЕВ: Думаю, стоит пояснить, почему мы используем именно правила, более того, только правила. Традиционно задача выявления фрода решается применением аналитических инструментов на базе теории нейронных сетей или экспертных систем на базе правил. Оба метода имеют свои недостатки, приводящие в конечном итоге к снижению эффективности. Минусы нейронных сетей выражаются в вычислительной избыточности, долгом периоде обучения, непрозрачности алгоритма вычисления результата и других проблемах. При использовании правил, наоборот, исчезают недостатки нейронных сетей, но вместе с ними и их главное преимущество – самообучение. Значит, правила должны постоянно кем-то придумываться.

В нашей системе применяется другое решение: так называемая гибридная логика, являющаяся по сути комбинацией нечеткой логики. Перехват мошеннических операций происходит на основе правил, что избавляет нас от недостатков нейронных сетей. Правила позволяют операторам установить причины блокировки мошеннических транзакций. Главным преимуществом гибридной логики является возможность самообучения, то есть автоматического создания правил на основе исторических данных о мошеннических транзакциях. Система самостоятельно выявляет закономерности мошеннических схем и создает набор правил вида «если…, то…». Правило, которое генерируется системой может выглядеть так: если за последние 24 часа совершена покупка в интернет-магазине США на сумму не более 2 долларов, а покупки в Мексике по магнитной полосе сегодня превысили 500 долларов, то эта операция является мошеннической. 24 часа, США, 2 и 500 долларов – это результат работы алгоритмов нечеткой логики. Система подбирает такие диапазоны величин, которые обеспечивают максимальную эффективность.

Другим важным моментом является то, что изменять, удалять и добавлять правила можно без остановки системы. На обслуживание модели уходит всего лишь около получаса в день. Правила, утратившие свою эффективность, удаляются, а правила, описывающие новые мошеннические схемы, добавляются. Это позволяет, во-первых, не тратить много сил на обслуживание, а во-вторых, быть, что называется, всегда начеку. В результате создается непрерывный процесс.

NBJ: Было бы интересно узнать эффективность решения с точки зрения бизнеса. Вы можете привести некоторые цифры?

И. КОРОЛЕВ: Специалистов, особенно топ-менеджмент, в первую очередь интересует вопрос окупаемости инвестиций. При принятии решения об использовании какой-либо системы интересно, какие средства придется вложить в ее внедрение и дальнейшую эксплуатацию, а главное – в какие сроки можно будет возместить затраты.

Двумя основными денежными метриками эффективности систем противодействия мошенничеству являются так называемый процент попаданий и коэффициент ложных срабатываний. Первый отвечает за прямую экономию: сколько фрода удалось предотвратить и тем самым сократить прямые потери. Второй – за экономию лишних расходов на обработку ошибочно заблокированных операций, ведь по каждому такому случаю придется по крайней мере позвонить клиенту и уточнить, сам он совершал транзакцию или же имеет место мошенничество. Телефонный центр, как известно, тоже не бесплатно работает, среднюю стоимость подобных звонков рассчитать относительно просто.

В таком популярном сегменте обслуживания, как банковские карты, мы блокируем 60–75% фрода, при этом генерируются до трех ложных срабатываний на одну выявленную мошенническую операцию. Однако и здесь есть крайне интересный момент. Гибридная логика позволяет задавать ключевые характеристики работы модели. Генератор правил создает модель, эффективность которой максимально приближена к заданной форме. Конечный потребитель системы вправе самостоятельно решить, что важнее: максимально отсекать мошенничество, минимизировать ложные срабатывания или все в совокупности.

Возможность баланса между показателями эффективности крайне важна для бизнеса. В США, например, в среднем на одного совершеннолетнего жителя приходится пять банковских карт, и почти все они кредитные. Американским банкам необходимо максимально ограничить поток фродовых операций. Клиент понимает, что если карта заблокирована по ошибке – ничего страшного, у него в кошельке еще четыре «пластика». Так что американские пользователи нашего решения поставили рекорд: 86% случаев посягательства. Возьмем другой пример – Францию. Там уже 1,2 карты на человека, и почти всегда они дебетовые. В такой ситуации банк, ошибочно блокируя операцию, фактически ограничивает клиенту доступ к его же собственным средствам. Логично, что во Франции мы имеем рекордный показатель коэффициента ложных срабатываний – 0,65 к 1.

NBJ: Будет ли работать ваше решение на конкретном портфолио транзакций? Наверняка банки перед внедрением желают получить некие гарантии.

И. КОРОЛЕВ: Да, такая возможность есть. При наличии серьезных намерений мы проводим так называемый слепой тест. Мы берем архивные данные с пометками о том, какие операции действительно были мошенническими, строим модель и проверяем ее уже на других материалах, без отметок. Дальнейшее сравнение наших отметок и реальных данных позволяет получить абсолютно ясную для бизнеса картину: сколько средств надо вложить в систему и сколько она позволит сэкономить.

NBJ: Хотелось бы узнать и об опыте внедрения вашего решения, интересных проектах.

И. КОРОЛЕВ: В большинстве случаев мы не имеем права разглашать имя клиента, так называемый white label product. Решением IRIS пользуется 90% рынка Западной Европы. Именно это и послужило причиной экспансии в другие страны. В России в течение  полугода мы успели внедрить решение в двух компаниях, одна из которых – QIWI.

Наверное, можно было бы самому рассказать о результатах этих проектов, но мне кажется, что это лучше меня сделают участники процесса. Так, по словам профессора, доктора наук, управляющего директора и основателя компании IRIS Analytics Константина фон Альтрока, представителям группы QIWI было необходимо решение по безопасности, способное анализировать миллиарды финансовых транзакций и десятки миллиардов статусных сообщений за год. Это решение, как подчеркивает фон Альтрок, нужно было реализовать в самые короткие сроки. Процесс тестирования и внедрения IRIS во все сервисы QIWI занял рекордные пять недель. Это решение включает все известные модели фрод-мониторинга и специальные фильтры, разработанные с учетом специфики бизнеса QIWI.

Внедрение в QIWI весьма интересно с совершенно разных точек зрения. Решение используется буквально во всех каналах взаимодействия с клиентом: платежи, переводы, электронные деньги, эмиссия и эквайринг карт. Универсальность разработки иллюстрирует применение IRIS для решения нестандартных задач, таких как определение фактов воровства терминалов оплаты, внесения поддельных банкнот, использования электронных кошельков для оплаты противозаконных услуг или продукции.

Помимо анализа транзакций, IRIS проверяет и другие процессы. Например, по определенным признакам можно понять, регистрируется электронный кошелек с мошенническими целями или нет. Такие кошельки массово оформляются злоумышленниками для запутывания следов. Средства, собранные на исходном кошельке, перебрасываются на несколько десятков или сотен других, а затем обналичиваются. Таким образом, IRIS не только ограничивает подобные активности, но и не дает им возникнуть еще при процессе регистрации.