В последние годы интернет-банкинг становится распространенной услугой не только среди компаний, но и среди частных клиентов. Удобство пользования этой системой неоспоримо, однако, к сожалению, это понимают и мошенники. Кражи хакерами средств с банковских счетов в настоящее время участились, отмечают участники рынка.
В прошлом году, например, хакеры получили доступ к банковскому счету французского президента Николя Саркози. Как писали СМИ, недоброжелатели каким-то образом стали обладателями логина и пароля для управления счетом президента через интернет и несколько раз снимали с него небольшие суммы. Недостачу заметил сам Саркози, после чего сообщил об этом полиции. Между тем сообщения о похищении средств с банковских счетов — не редкость. По статистике, которую приводит Украинский банковский портал (banker.ua), при обороте операций в $2 млрд кражи путем взлома пользовательских компьютеров через глобальную сеть составляют порядка 0,1%. А это — ни много ни мало — $20 млн. Недавно в Нью-Йорке была раскрыта одна из самых крупных хакерских атак в истории. Получив доступ к внутренней информации, электронной почте и данным о кредитных картах, преступники за два последних года смогли проникнуть в системы более 2,5 тыс. компаний из США и еще 195 стран.
Растущая активность интернет-мошенников вызывает беспокойство и российских регуляторов. В июне прошлого года Центробанк разослал банкам письмо, в котором сообщал о появлении в российском сегменте интернета веб-сайтов, имитирующих интернет-представительства ряда российских кредитных организаций. Доменные имена и стиль оформления таких сайтов, как правило, сходны с именами подлинных веб-сайтов банков, а содержание прямо указывает на их якобы принадлежность соответствующим кредитным организациям, говорилось в сообщении ЦБ. При этом посетителям таких сайтов сообщаются заведомо ложные банковские реквизиты и контактная информация. "Использование подобных реквизитов, а также вступление в какие-либо деловые отношения с лицами, фактически представляющими ложные банки, связано с риском и может привести к нежелательным последствиям для клиентов кредитных организаций", — говорилось в письме. В связи с этим ЦБ рекомендовал банкам подготовить и распространить среди клиентов памятку, содержащую исчерпывающую контактную информацию, рекомендации по безопасному использованию банковских интернет-технологий, а также предложения клиентам информировать кредитную организацию о самостоятельно выявленных ложных веб-сайтах банка или о полученных сведениях подобного рода по электронной почте или иным способом.
Мошенники активизируются
Как говорят сами участники рынка, в последнее время они фиксируют значительное увеличение количества атак на компьютеры клиентов систем интернет-банкинга с целью хищения денежных средств клиентов. По словам директора по информационным технологиям банка "Санкт-Петербург" Ярослава Шелина, вирусные технологии усложняются на фоне относительной стабилизации количества нового вредоносного программного обеспечения, так что глобальные эпидемии, а также появление новых схем интернет-мошенничества участились. "Программы, оснащенные руткит-функционалом (функционал программы, которая сама по себе не является вирусом, но подготавливает систему для проникновения троянской программы. — "Ъ") не только получили широкое распространение, но и значительно продвинулись в своей эволюции. В связи с этим можно утверждать, что угроза хакерских атак в последнее время существенно возросла", — говорит господин Шелин.
Конечно, наибольший интерес для мошенников представляют счета юридических лиц, так как обычно находящиеся на них суммы значительно превышают суммы на счетах частных банковских клиентов. К тому же ответственность за сохранность денег в компаниях "размыта" по широкому кругу лиц — что-то сисадмин не доделал, что-то бухгалтер не знал, директор не заметил. Что касается физлиц, то пока подавляющее их большинство предпочитает в день зарплаты перекладывать деньги из банкомата в кошелек. "С такими проще работать по старинке — в темном подъезде", — отмечают банкиры. Таким образом, основные силы направляются банками на защиту счетов корпоративных клиентов.
Чаще всего на плохо защищенный компьютер клиента внедряется вредоносная (троянская) программа, предназначенная для похищения ключей и паролей доступа клиента к системам интернет-банкинга, рассказывают в пресс-службе банка ВТБ24. Затем хакер соединяется с системой интернет-банкинга от имени клиента и пытается провести операции по переводу денежных средств со счета клиента на счета, открытые на подставных лиц. "Не последнее место в арсенале мошенников занимают и средства социальной инженерии", — добавляет господин Шелин. Злоумышленник связывается с клиентом от имени банка, убеждает его дать ему какие-либо свои учетные данные (например, имя и пароль) или просит запустить присланную от имени банка программу для того, чтобы устранить какой-то опасный вирус. На самом же деле это и оказывается вирус, который крадет данные с компьютера.
Антихакерские технологии
Чтобы защитить клиентов, банки совершенствуют свои системы безопасности. Так, в ВТБ24 внедрили дополнительную защиту для юридических лиц на основе одноразовых паролей, предаваемых клиентам в SMS-сообщениях. Для физических лиц банк сделал обязательным использование переменных кодов, вводимых со скрэтч-карт. "В дальнейшем планируем внедрение системы аутентификации клиентов, работающей с токенами различных видов, EMV-картами, USB-токенами с криптографическими функциями и другими средствами аутентификации, а также внедрение системы фрод-мониторинга", — сообщили в пресс-службе банка. Банк "Санкт-Петербург" постоянно работает над совершенствованием системы защиты информации в системе "Банк-Клиент" и "Интернет-Банк". По словам господина Шелина, система включает в себя идентификатор — уникальную числовую последовательность, позволяющую однозначно идентифицировать пользователя; пароль и SMS-код для входа в систему, отправляемый на номер мобильного телефона, указанный пользователем в заявлении на подключение. Доступ к системе осуществляется в сети интернет через защищенное соединение по протоколу SSL (Secure Socket Layer). В системе "Интернет-Клиент" для юридических лиц дополнительно используется стойкое шифрование и электронно-цифровая подпись (ЭЦП) всех данных, которыми клиенты обмениваются с банком. Шифрование защищает данные от перехвата злоумышленником, ЭЦП однозначно удостоверяет авторство данных. Подобные же средства защиты включает и подсистема "Банк-Клиент".
В банке "ВТБ Северо-Запад", кроме криптографической защиты, применяются специализированные устройства защиты периметра корпоративной вычислительной сети с модулями обнаружения вторжения, рассказали в его пресс-службе. Клиентам предоставляется возможность использования USB-ключа, защищенного от взлома, а также возможность доступа из сети интернет по фиксированным IP-адресам, что предотвращает мошенничество в случае кражи ключей.
В BSGV Direct, системе управления счетами физических лиц через интернет, для обеспечения конфиденциальности пользовательских данных применяются средства по стандартам Банка России, рассказывает Елена Шевелева, генеральный директор петербургского филиала банка "Сосьете Женераль Восток" (BSGV). Для обеспечения более высокого уровня конфиденциальности и безопасности личной информации в ноябре 2009 года банк внедрил виртуальную клавиатуру для входа в BSGV Direct.
Предупрежден — значит вооружен
Между тем никогда не стоит пренебрегать инструкциями, которые дают и сами банки. Прежде всего нужно обязательно пользоваться антивирусной программой и своевременно ее обновлять. Это касается и частных, и корпоративных пользователей. Программное обеспечение должно быть лицензионным. Не стоит соединяться с компьютера, предназначенного для работы в системах интернет-банкинга, с сайтами сомнительного содержания, а также открывать без проверки файлы, полученные в почтовых сообщениях и на съемных носителях от неизвестных лиц, советуют специалисты ВТБ24. И вообще лучше ограничить доступ в интернет с компьютера, где установлена система online-банкинга, оставив возможность подключения только к серверам банка системы. Доступ ко всем другим сайтам с этого компьютера компании должен быть закрыт, так же как и доступ к данному компьютеру из интернета.
Файлы с ключами ЭЦП нужно хранить на флешках и подключать их к компьютеру только на время работы с системой. А сами флешки в нерабочее время лучше прятать в сейф, рекомендует господин Шелин. Хорошо бы дублировать такие файлы, ведь во время работы с системой на зараженном компьютере ключи могут "уплыть" с флешки так же легко, как если бы они лежали на жестком диске. Если в выписке обнаружены несанкционированные расходные операции, утерян или похищен ключевой носитель с закрытым ключом ЭЦП или компьютер, на котором был установлена система "Банк-Клиент", необходимо срочно обращаться в банк, отмечают в пресс-службе банка СИАБ. Для более надежной защиты ключей в банке также рекомендуют пользоваться специальными устройствами — USB-токенами. Это аналог смарт-карты с разъемом USB, обеспечивающий надежное хранение ключей ЭЦП. Секретный ключ ЭЦП находится в защищенной памяти токена и не может быть скопирован из токена без ведома его владельца.
Необходимо использовать сложные пароли и периодически их менять. "Нельзя использовать в качестве пароля числа, которые легко угадать, например, дату рождения", — говорит госпожа Шевелева. Она также советует не пользоваться интернет-банком в общественных местах и каждый раз проверять соответствие дизайна и наполнения привычному виду сайта банка, так как иногда мошенникам удается с точностью воспроизвести содержимое сайта, обновлять новости и поддерживать все имеющиеся страницы. Если при вводе логина и пароля для входа в систему дополнительно запрашиваются конфиденциальные сведения — это является вероятным признаком, что вы работаете с "чужой" страницей, отмечает госпожа Шевелева.