Специалист по безопасности банка о махинациях с карточками

Нас приучили, что пластиковая карта — удобная и надежная. Но расплата за комфорт бывает внезапной и жестокой. Одно дело, когда в метро из кармана вытаскивают небольшую сумму наличных, и совсем другое — когда у третьих лиц появляется доступ ко всем вашим сбережениям. Какие уловки используют мошенники, почему их нельзя победить и по каким признакам банки замечают подозрительные операции, Onliner узнал у специалиста сектора фрод-мониторинга ЗАО «МТБанк» Дениса Петкевича.

«Нас все больше — значит, борьбу с мошенничеством проигрываем»
— Подозрительных операций стало больше?

— За последние пару лет количество случаев мошенничества с использованием пластиковых карточек в мире увеличилось. Платежей по карточкам становится все больше, физические деньги уходят в прошлое — скандинавские страны, например, уже практически отказались от наличных.

Запомнилась фраза спикера на IX Международном форуме «Борьба с мошенничеством в сфере высоких технологий. ANTIFRAUD RUSSIA-2018» в Москве: «Уважаемые коллеги! Как видите, нас становится все больше и больше, а значит, борьбу с мошенничеством мы проигрываем».

По данным платежных систем, ситуация с мошенничеством в Беларуси выглядит оптимистичнее. Мошеннические операции по карточкам в общей массе транзакций — капля в море. Но, по моей информации, в 2017 году в Беларуси зарегистрировано примерно 3900 случаев мошенничества. И это не считая ситуаций, о которых люди не заявляли: где-то считают, что сами виноваты, где-то влияет менталитет такой — мол, лучше промолчу, чем позориться буду.

А теперь смотрите, что в 2018 году: с января по август — уже 4500 случаев. Ситуация будет только усугубляться. К сожалению, несмотря на все меры банков (внедрение чиповых технологий, различные системы аутентификации клиентов, защита банкоматов и так далее), мошенники находят все новые способы кражи денег с карт. Зачастую по вине самих держателей карт.

— Любой банк будет уверять, что операции по картам максимально безопасны. При этом статистика становится только хуже. Как это объяснить?

— Все мошеннические операции можно разделить на несколько видов. За 2018 год примерная статистика по картам нашего банка такова: 77% мошеннических операций — операции CNP (card not present), то есть когда вы не используете карту физически: например, во время оплаты покупок в интернет-магазине.

13% — снятие наличных в банкоматах по поддельным картам. 7% — системы дистанционного банковского обслуживания: вход в интернет-банкинг и все в таком духе. И последние 3% — банальная утеря либо кража карточек. Их потом используют, например, для мелких покупок по бесконтактной технологии. Но не знаю, на что такие люди надеются: в магазинах много камер, найти человека не проблема.

Почему скимминг в Беларуси не популярен
— Мошенничество с банкоматами — это то, что называют скиммингом?

— Да. На банкоматы ставятся накладки, которые, как по мне, где-то в 90% случаев даже определить невозможно. В основном скиммеры выбирают темные места, могут лампочки разбить возле банкомата — чтобы труднее было заметить фальшивую клавиатуру. За последний год, например, зафиксировано два случая использования таких накладок в Беларуси. В 2018-м в нашей стране впервые задержали продавцов скиммеров.

Если карточка скомпрометирована в интернете, на ней может быть немного денег — люди часто используют отдельные карты для онлайн-покупок. А наличные в банкомате могут снимать с основной карты, где хранится крупная сумма. Через скиммер данные с этой карты считываются, перекидываются на «белый пластик» — болванку карточки с магнитной полосой. И потом через них снимают деньги в других странах — в основном с повышенным риском мошенничества: Индия, Непал, Индонезия. Там большинство банкоматов старые, они считывают только магнитную полосу, а не чип. В США, например, вообще беда с этим: у них карты массово появились в 1980-х годах, и обновить такое количество банкоматов сложно.

Но в нашей стране скиммеры ставят минимально. Это намного популярнее в Украине и России, особенно в Санкт-Петербурге. Здесь несколько факторов: достаток населения, законодательство.

В некоторых странах за скимминг или кражу небольшой суммы могут дать штраф и отпустить, у нас же все жестче — сразу тюрьма. Поэтому мошенники скорее выберут соседние страны — там если и попадутся, то последствия будут не такие суровые.
— Бывают карты-болванки с чипами?

— О таких случаях ни разу не слышал. Где-то читал, что это можно сделать, но процесс очень затратный. Преступники только в фильмах будут так заморачиваться. Важный момент: скиммеры — не всегда мошенники. Часто они просто перекидывают данные на болванки и продают их оптом в даркнете. Да, для покупателя это лотерея: не факт, что на картах будут деньги, или что они все еще действуют — ведь данные скомпрометированных карт могут храниться годами. Но есть шанс, что из всей пачки попадется несколько с реально крупными суммами и затраты окупятся.

— Можно ли по виду банкомата определить, считывает он данные по магнитной ленте или по чипу?

— К сожалению, никак. Но можно определить скимминг-накладку: детали выпирают, установлены неровно, кнопки залипают. Хотя если делают качественно, отличить очень сложно.

Многие банки ограничивают снятие наличных через банкомат со считыванием через полосу. В случае с потенциально опасными странами, например, по картам нашего банка установлен лимит в 100—150 рублей в сутки.

— Клиент ведь может вернуть деньги в случае мошенничества?

— Банки возвращают средства по так называемому правилу нулевой ответственности. У клиента есть 30 дней на написание заявления в свой банк. Если мошенничество имело место в Беларуси — банк вернет деньги за 45 дней, если за рубежом — за 90 дней. Но есть случаи, когда банк не возмещает клиенту сумму мошеннической операции. Например, если операция прошла после ввода PIN-кода, по технологии 3D-Secure [протокол защиты, при котором клиент на номер телефона получает SMS с одноразовым кодом подтверждения операции. — Прим. Onliner] или с входом в интернет-банкинг либо любую другую систему дистанционного банковского обслуживания. Если банк предупредил клиента о мошенничестве, но он все равно решил не блокировать карту и транзакция прошла — ему тоже откажут в возмещении средств. Отказ в возврате средств может быть и тогда, когда банк обнаружит причастность клиента к операции, которую он заявляет как мошенническую.

О «чистых» и подозрительных операциях
— Как выглядит цепочка по выявлению подозрительной операции?

— Есть специализированная программа. Из всех миллионов транзакций она отсеивает маячки, которые реагируют на правила — мы их сами настраиваем. Алгоритмов много: операции в разных странах в течение часа, например, вызовут подозрение. Программа это видит и сообщает нам. Потом смотрим: где клиент был раньше, каким способом прошла оплата — по чипу или магнитной полосе. Если чип, то сомнений нет — операция «чистая». А вот магнитная полоса вызывает подозрения.

Когда все факторы сходятся и операция проходит в стране с высоким риском мошенничества, мы можем заблокировать карту и связаться с клиентом. Да, это доставит клиенту неудобства, но лучше перестраховаться.
— То есть от наличных все равно никуда не деться?

— Да, за границу лучше брать с собой небольшую сумму наличных. И желательно подключить SMS-оповещение об операциях по карточке и роуминг: при подозрениях банки в первую очередь звонят клиентам. Если связаться не выходит, отправляют письма на почту. Как ни странно, около 70% клиентов отвечают в течение часа.

— Значит, алгоритм такой: замечаете подозрительную операцию, звоните клиенту…

— Смотря что за операция. Если с присутствием карточки, то проверяем: когда клиент был в той стране и был ли вообще, каким способом совершили транзакцию. Если операция в интернете, смотрим, была ли подвязка с 3D-Secure — уже многие торговые площадки работают с ней.

Еще, например, ежемесячно списывается абонентская плата за сервисы Apple, Amazon и другие. Бывает такая ситуация: у клиента недостаточно денег на карте, начинают «биться» одинаковые операции. Программа видит большое количество отказов, распознает это как проблему и сообщает нам.

— Допустим, у клиента на протяжении года транзакции внутри Беларуси и вдруг — операция в Токио или Нью-Йорке. Система отреагирует на такое?

— Если по магнитной полосе — да, подозрение может вызвать. И дальше все как я говорил: смотрим историю клиента и либо связываемся с ним, либо наблюдаем за дальнейшими операциями. У многих людей несколько карточек. Если и по второй прошла транзакция через «магнитку» на одном банкомате или терминале — 99%, что операция совершена клиентом.

Плюс играет роль статистика: если в течение года операций не было и вдруг начали «биться» транзакции на разных сайтах — оперативно связываемся с клиентом или блокируем карту.

— Сам тип карты влияет на вашу подозрительность? Допустим, крупная операция по премиальной Visa или Mastercard — это в порядке вещей, а транзакция на пару тысяч долларов через обычную карту — что-то странное?

— Нет, суть одна. У премиальных карт привилегии в виде скидок и так далее, но в плане безопасности они ничем не отличаются от менее статусных карт. Мы даже не ведем статистику, через какой тип карт чаще совершают мошеннические операции — просто не разделяем их.

Поддельные группы в соцсетях и другие «разводы» мошенников
— Запомнившиеся истории есть?

— Год или два назад одна клиентка снимала в банкомате крупную сумму, но забрала не все — достала из середины выданной стопки денег только несколько купюр. А если на протяжении 20 секунд вы не забираете деньги, банкомат втягивает их обратно. Собственно, так и произошло. Клиентка с деловым видом пошла в отделение и стала ругаться, что банкомат не выдал все деньги, написала заявление на возврат средств. Непонятно, на что она надеялась: в банкоматах стоят камеры, все контролируется. Но это скорее хитрость, а не мошенничество.

Было много случаев с розыгрышем iPhone за один доллар. Привязываешь на сайте свою карточку, списывается $1 — и ты участвуешь в конкурсе. Потом оказывается, что с карты начинает регулярно сниматься около $20. Клиенты не знают, как отвязать карту: сайт-то на португальском. Там был личный кабинет, и после привязки карты операции проходили как списания абонентской платы.

Также сейчас много случаев мошенничества через социальные сети: взламывается страница пользователя, его друзьям идет рассылка сообщений с просьбой перевести деньги или назвать данные карты, пароль от интернет-банкинга, пароль 3D-Secure и так далее. Клиенты передают все эти данные мошенникам.

В одной компании вообще уникальный случай был: у руководителя структурного подразделения, отвечающего за противодействие мошенничеству, была скомпрометирована карта. Как видите, «разводят» даже специалистов. Поэтому не бойтесь обращаться в милицию, в вашей ситуации ничего неловкого нет.
Иногда мошенники готовятся серьезно. За рубежом были случаи, когда злоумышленники заводили фейковую группу банка, ставили фотографии реальных сотрудников в форме. Люди — в основном клиенты этого банка — подписались. Когда набралось достаточно пользователей, им пришло сообщение: «Предоставьте данные карточки для проверки». И клиенты повелись на это. Также встречается обзвон клиентов от лица банка.

Надо понимать, что наглость мошенников безгранична — бывают совершенно невероятные ситуации. Нам сообщали о случае в Украине, когда злоумышленники позвонили на кассу и представились заместителем директора этого же банка. Просили подчиненных отправить деньги якобы на его счет под каким-то предлогом. Ну, здесь как в армии: поручения не обсуждаются, а исполняются. Сотрудники взяли и перевели средства.

Часто клиенты заявляют о мошеннических операциях, а потом