Кибербезопасность в условиях электронного банкинга. Практическое пособие

Примером удачного выбора времени является хищение 25 млн руб. у одного из крупных московских акционерных обществ. Перевод был сделан 7 марта примерно в 16 часов, когда не только приближались к концу рабочий день сотрудников компании и банковский день, но и все коллективы (преимущественно женские) были заняты подготовкой к празднованию Международного женского дня. В таких обстоятельствах перевод денежных средств произошел беспрепятственно.

Момент совершения хищения при использовании автозалива зависит от настроек: хищение происходит автоматически при первой возможности либо при совершении пользователем легального перевода денежных средств на нужную сумму.

При использовании оператором по переводу денежных средств одноразовых кодов (SMS-TAN или mTAN) либо голосового телефонного уведомления заливщик заранее предпринимает меры, направленные на получение такого кода или недопущение его отправки. Это отдельная сложная задача, которая решается как техническими методами, так и методами социальной инженерии. Ее решение упрощается при использовании банковских троянов для мобильных устройств. Наиболее современные программы не только совершают переводы денежных средств в режиме автозалива, но и незаметно для пользователей принимают сообщения с одноразовыми кодами и самостоятельно подтверждают платежи.

Деятельность преступных групп существенно осложнили информирование о совершенном платеже и отправка одноразовых кодов подтверждения, в последнее время повсеместно применяемые операторами в связи с вступлением в силу положений ст. 9 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51]. Однако полной защиты от хищений не обеспечивают даже такие системы, поскольку преступниками активно вырабатываются и используются различные средства противодействия, в частности:

– отключение систем подтверждения платежей (информирования о платежах) вредоносными программами путем воздействия на интерфейсы ЭСП; убеждение владельцев денежных средств отключать такие системы с использованием методов социальной инженерии;

– предварительное накопление одноразовых кодов путем провоцирования операторов на их отправку, а пользователей – на их ввод под различными предлогами, для чего может применяться выдача фиктивных веб-страниц при использовании ЭСП;

– получение одноразового кода для подтверждения платежа от владельца денежных средств путем обмана – в ходе телефонного разговора, при котором злоумышленник представляется сотрудником оператора по переводу денежных средств;

– завладение телефонным номером владельца денежных средств непосредственно перед совершением хищения путем получения дубликата идентификационной карты абонента (SIM-карты) у оператора связи по поддельной доверенности; для этой цели привлекаются соучастники, занимающиеся подделкой документов и получением карт;

– перехват сообщений, содержащих одноразовые коды подтверждения, с использованием специальных технических средств, предназначенных для негласного получения информации (некоторое время назад было отмечено появление на тематических ресурсах объявлений о предоставлении такого рода услуг);

– использование троянской программы со специальным функционалом, который провоцирует владельцев денежных средств устанавливать под видом обновлений мобильных приложений дополнительные троянские программы на мобильные устройства, телефонные номера которых привязаны к счетам; поступающие на такие номера коды подтверждения используются для совершения хищений;

– прямое физическое воздействие на пользователей ЭСП (наиболее опасный способ подтверждения переводов денежных средств); так, например, некоторое время назад на тематических ресурсах были обнаружены сообщения об успешных хищениях денежных средств в особо крупных размерах, в ходе которых преступники, угрожая бухгалтерам компаний, заставляли их подтверждать переводы.