Kitobni o'qish: «Кибербезопасность в условиях электронного банкинга. Практическое пособие»

© Коллектив авторов, 2020

Авторы и рецензенты

Авторы

Бердюгин Александр Александрович – аспирант кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, автор более 20 научных работ, включая 1 учебное пособие и 1 коллективную монографию (глава 2)

Дудка Александр Борисович – кандидат экономических наук, доцент кафедры экономики и финансовой политики Омского государственного университета им. Ф.М. Достоевского, автор более 30 научных работ, включая 3 коллективных монографии (глава 7)

Конявская Светлана Валерьевна – кандидат филологических наук, автор более 150 публикаций, включая 8 книг (4 монографии, 1 учебное пособие, 2 методических пособия, 1 коллективная монография) и 2 патента. Заместитель генерального директора ОКБ САПР (глава 10)

Конявский Валерий Аркадьевич – доктор технических наук, автор более 300 работ, включая 12 книг (в т. ч. 3 учебных пособия), 33 патента. Имеет государственные, ведомственные и общественные награды. Лауреат премии и «золотой медали» имени В.М. Глушкова, академик РАЕН, академик АЭН РФ. Научный консультант ОКБ САПР (глава 10)

Назаров Игорь Григорьевич – кандидат технических наук, старший научный сотрудник, автор более 30 публикаций, включая 9 книг (2 монографии, 7 пособий). Действительный государственный советник 3-го класса, ветеран Вооруженных сил Российской Федерации, почетный сотрудник ФСТЭК России, награжден ведомственными наградами Минобороны России, ФСБ России и ФСТЭК России. Генеральный директор ОКБ САПР (глава 10)

Неваленный Александр Владимирович – независимый эксперт в области информационной безопасности, автор 10 научных работ, включая 2 коллективных монографии (глава 3)

Ожеред Игорь Вячеславович – преподаватель кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, автор 10 научных работ, включая 2 учебных пособия (глава 2)

Ошманкевич Ксения Романовна – аспирант кафедры государственного аудита Высшей школы государственного аудита (факультет) МГУ им. М.В. Ломоносова (глава 2)

Персанов Денис Юрьевич – директор по безопасности AD Group, автор 10 научных работ, включая 3 коллективных монографии (глава 3)

Пименов Петр Александрович – полковник полиции в отставке, сотрудничает с Московским университетом МВД России имени В.Я. Кикотя, автор более 20 научных работ, включая 2 учебных пособия и 1 коллективную монографию (глава 4)

Ревенков Павел Владимирович – доктор экономических наук, профессор кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, автор более 200 научных работ, включая 3 монографии, 2 учебных пособия и 4 коллективных монографии (главы 1, 2, 5–8)

Русин Лев Игоревич – эксперт в сфере проведения финансовых расследований, направленных на выявление и пресечение противоправной деятельности, связанной с неправомерным использованием инсайдерской информации и манипулированием рынком ценных бумаг, а также с легализацией (отмыванием) преступных доходов. Занимал различные должности в Следственном Комитете, Росфинмониторинге и Банке России (глава 9)

Силин Николай Николаевич – заместитель генерального директора FinTech Lab, приглашенный преподаватель программы «МВА – управление инвестициями» Банковского института НОУ «Высшая школа экономики», член Совета по финансово-промышленной и инвестиционной политике ТПП РФ, эксперт «Клуба «Валдай». Один из ключевых разработчиков концепции Форума инновационных финансовых технологий Finopolis, автор более 20 публикаций по тематике информационных, образовательных и бизнес-технологий (глава 11)

Фролов Дмитрий Борисович – доктор политических наук, кандидат юридических наук, советник генерального директора ФГУП «Российская телевизионная и радиовещательная сеть», член экспертного совета Комитета Государственной Думы по безопасности и противодействию коррупции, заведующий кафедрой «Организация технической эксплуатации сетей телевизионного и радиовещания» МТУСИ, автор более 120 научных работ, включая 4 коллективные монографии (глава 2)

Рецензенты

Дворянкин Сергей Владимирович – доктор технических наук, профессор кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, профессор кафедры «Комплексная безопасность критически важных объектов» РГУ НГ им. И.М. Губкина, профессор кафедры защиты информации (ИУ-10) МГТУ им. Н.Э. Баумана, академик, действительный член РАЕН. Автор более 200 научных работ и 5 изобретений, в том числе монографий, учебников и учебных пособий. Член Евразийской ассоциации экспертов в области кибербезопасности

Крылов Григорий Олегович – доктор физико-математических наук, кандидат юридических наук, профессор, заслуженный работник высшей школы, профессор кафедры «Информационная безопасность» Финансового университета при Правительстве РФ, профессор кафедры «Финансовый мониторинг» Национального исследовательского ядерного университета «МИФИ», действительный член (академик) Российской академии транспорта и Академии военных наук. Автор более 300 научных работ, в том числе монографий, учебников и учебных пособий. Полковник в отставке, ветеран военной разведки, ветеран Вооруженных сил, ветеран труда

Принятые сокращения

АПМДЗ – аппаратно-программный модуль доверенной загрузки

АПО – аппаратно-программное обеспечение

АРМ КБР – автоматизированное рабочее место клиента Банка России

АС – автоматизированная система

БАС – банковская автоматизированная система

БКБН – Базельский комитет по банковскому надзору

БКИ – бюро кредитных историй

ВРБ – высшее руководство банка

ВрПО – вредоносное программное обеспечение

ГосСОПКА – Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак

ДБО – дистанционное банковское обслуживание

ДВС – доверенная вычислительная среда

ДСС – доверенный сеанс связи

ЕБС – Единая биометрическая система

ИБ – информационная безопасность

ИКТ – информационно-коммуникационные технологии

ИОК – инфраструктура открытых ключей

ИПС – изолированная программная среда

ИТ – информационные технологии

КА – код аутентификации

КИИ – критическая информационная инфраструктура

КП – ключ подписи

НКЦКИ – Национальный координационный центр по компьютерным инцидентам

НОИ – Национальный оператор идентификации

НСД – несанкционированный доступ

ОКФС – организация кредитно-финансовой сферы

ОС – орган сертификации

ПАК – программно-аппаратный комплекс

ПИБ – политика информационной безопасности

ПИН – персональный идентификационный номер

ПКО – подконтрольный объект

ПОД/ФТ – противодействие легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма

РКБ – резидентный компонент безопасности

РПВ – разрушающие программные воздействия

СБР – системный банковский риск

СВА – служба внутреннего аудита

СВК – служба внутреннего контроля

СВТ – средство вычислительной техники

СД – совет директоров

СДЗ – средство доверенной загрузки

СИБ – служба информационной безопасности

СКЗИ – средство криптографической защиты информации

СН – служебный носитель

СОДС – средство обеспечения доверенного сеанса связи

СУИБ – система управления информационной безопасностью

СФК – среда функционирования криптографии

СЭБ – система электронного банкинга

СЭДО – система электронного документооборота

СЭП – средство электронной подписи

ТБР – типичный банковский риск

УКЭП – усиленная квалифицированная электронная подпись

ЦОД – центр обработки данных

ЭБ – электронный банкинг

ЭБР – элементарный банковский риск

ЭлД – электронный документ

ЭП – электронная подпись

ЭСП – электронное средство платежа

ЭЦП – электронная цифровая подпись

AI – Artificial Intelligence

API – Application Programming Interface

CPS – Cyber-Physical Systems

DDoS – Distributed Denial of Service

DoS – Denial of Service

EBG – Electronic Banking Group

GAN – Generative Adversarial Network

GDPR – General Data Protection Regulation

IoE – Internet of Everything

IoT – Internet of Things

ISP – Internet Service Provider

ML – Machine Learning

OCC – Office of the Comptroller of the Currency

OCF – Open Connectivity Foundation

OFC – OpenFog Consortium

PaaS – Platform as a Service

PFM – Personal Financial Management

RPA – Robotic Process Automation

SCS – Social Credit Score

SWIFT – Society for Worldwide Interbank Financial Telecommunications

VPN – Virtual Private Network

XBRL – eXtensible Business Reporting Language

Вступительное слово

Банковский бизнес одним из первых начал использовать преимущества работы в киберпространстве, что обусловлено значительным сокращением затрат на осуществление операционной деятельности: нет необходимости содержать банковские офисы, а функции операциониста выполняет сам клиент с использованием компьютера, планшета или смартфона.

Однако наряду с очевидной привлекательностью такого способа проведения банковских операций появляется и немало дополнительных рисков (как у банка, так и у его клиентов), источниками которых являются виртуальный характер дистанционных банковских операций и постоянно возрастающая активность киберпреступников, ставящих основной своей целью незаконное завладение денежными средствами банков и (или) их клиентов, а также их персональными данными.

Киберпреступность, обладая высокой степенью латентности, остается одним из главных сдерживающих факторов распространения систем электронного банкинга в кредитно-финансовой сфере. В связи с этим развитие научных подходов к решению данных проблем, несомненно, будет способствовать своевременному принятию эффективных защитных мер, обеспечивающих безопасность работы в киберпространстве. Появление таких работ – это очередной шаг к детальному изучению всех особенностей предоставления как банковских, так и в целом финансовых услуг в киберпространстве.

Предлагаемая вашему вниманию книга написана профессионалами своего дела, имеющими большой практический опыт работы по обеспечению кибербезопасности как в регулирующих органах, так и в бизнес-структурах. Она может представлять интерес для студентов, аспирантов, обучающихся по специальностям «Информационная безопасность» и «Банковское дело», а также для преподавателей, работающих по данным специальностям, и всех читателей, желающих получить новые знания в области обеспечения кибербезопасности при использовании систем электронного банкинга.

Р.А. Прохоров,

Председатель Правления Ассоциации

«Финансовые инновации» (АФИ)

Предисловие

Технологии дистанционного банковского обслуживания (включая системы электронного банкинга) стали активно применяться (как в России, так и за рубежом) с начала третьего тысячелетия.

За 20 с небольшим лет системы электронного банкинга для многих людей стали привычным инструментом. Современный смартфон выступает не только как средство связи, органайзер, хранилище аудио- и видеофайлов, игровой компьютер, но и как удобное устройство, с помощью которого можно выбирать товары и услуги, заказывать билеты, а также моментально производить оплату своего выбора.

Для того чтобы любая технология получила широкое распространение, а самое главное – доверие со стороны клиентов, должны выполняться по крайней мере три условия:

– она должна быть легальной (т. е. иметь правовые основания для использования¹);

– она должна быть безопасной (иначе сложно рассчитывать на доверие к ней со стороны клиентов);

– она должна «хорошо продаваться» (т. е. быть привлекательной для бизнеса – приносить прибыль).

Применяя такой подход к технологиям дистанционного банковского обслуживания, можно сказать, что с правовой точки зрения препятствий для внедрения и использования таких технологий почти нет. Однако есть некоторое отставание нормативной базы, регламентирующей банковскую деятельность, что в ряде случаев может привести к ослаблению контроля над кредитными организациями со стороны регулирующих органов.

В рамках обеспечения безопасности многие кредитные организации стараются использовать комплексный подход, применяя различные меры на всех этапах жизненного цикла систем электронного банкинга. Однако возрастающая активность киберпреступников, которые используют различные способы получения конфиденциальной информации (в т. ч. применяя методы социальной инженерии), и недостаточный уровень финансовой грамотности и киберграмотности граждан не позволяют считать технологии дистанционного банковского обслуживания в полной мере безопасными. Минимизировать сопутствующие риски можно только за счет успешного решения всех задач, связанных с должным уровнем кибербезопасности, как на стороне банков, так и на стороне их клиентов (при непосредственном участии всех регулирующих органов).

Добавим, что сегодня для развития технологий дистанционного банковского обслуживания (включая системы электронного банкинга) складываются достаточно хорошие условия. Повсеместно растет число клиентов, которые ежедневно пользуются одним из видов электронного банкинга, заметно улучшаются качество работы и безопасность самих банковских веб-приложений.

Возвращаясь к проблеме обеспечения кибербезопасности, можно сказать, что она является основной для успешного внедрения и распространения технологий дистанционного банковского обслуживания. Именно от уровня обеспечения кибербезопасности зависит доверие клиентов как к отдельным элементам систем электронного банкинга, так и ко всей банковской системе Российской Федерации.

Обеспечение кибербезопасности (или, другими словами, безопасности в киберпространстве) включает в себя целый комплекс организационных и технических мероприятий. Но помимо этого надо минимизировать сопутствующие риски, которые возникают при использовании технологий дистанционного обслуживания.

Данная коллективная монография – это попытка рассмотреть наиболее характерные источники рисков, возникающие в условиях применения систем электронного банкинга, и предложить меры по снижению возможных негативных последствий их проявления. Также мы попытались оценить возможные сценарии развития технологий и социального поведения, существенно влияющие на природу и масштабы таких рисков. Книга не претендует на полное рассмотрение всех возможных угроз и сопутствующих рисков, связанных с внедрением в кредитных организациях систем электронного банкинга, однако может оказать помощь менеджерам банков, специалистам риск-подразделений и служб внутреннего контроля в разработке внутренних методических документов, направленных на минимизацию возможных последствий проявления источников рисков, связанных с использованием систем электронного банкинга.

П.В. Ревенков,

доктор экономических наук,

профессор кафедры «Информационная безопасность» Финансового университета при Правительстве Российской Федерации

1. Электронный банкинг и риски недостаточного обеспечения информационной безопасности

В природе ничего не возникает мгновенно и ничто не появляется в свет в совершенно готовом виде.

Александр Иванович Герцен, русский прозаик, публицист, критик и философ

Введение

Настанет время, когда наши потомки будут удивляться, что мы не знали таких очевидных вещей.

Луций Анней Сенека, древнеримский философ

Электронный банкинг (ЭБ) – один из самых динамично развивающихся видов дистанционного банковского обслуживания (ДБО)². Получив широкое распространение в Америке и Европе, ЭБ завоевывает и российский рынок.

Вот только самые известные преимущества, которые получает клиент кредитной организации, использующий для совершения своих банковских операций системы ЭБ (СЭБ):

– нет необходимости посещать банк лично и можно контролировать свои счета или управлять ими в режиме «24/7» (т. е. круглосуточно 7 дней в неделю);

– ряд кредитных организаций устанавливают продленный режим операционного дня и все платежи (зачисления и списания), поступившие в банк до 18:00 по московскому времени, исполняются банком в этот же операционный день;

– вся информация по счетам и операциям хранится на сервере кредитной организации и всегда доступна для пользователей СЭБ;

– для защиты информации используются современные средства криптографической защиты;

– разработчики большинства программных продуктов СЭБ производят обновление своих программ автоматически (не требуется обращения в кредитную организацию) [103, с. 172].

Внедрение данной услуги обходится кредитной организации относительно недорого и в дальнейшем быстро окупается только за счет абонентской платы.

Однако, несмотря на очевидную привлекательность такого способа совершения банковских операций, как у кредитной организации, так и у ее клиентов возникает немало дополнительных источников банковских рисков. Основными причинами этого являются:

– виртуальный характер дистанционных банковских операций;

– общедоступность открытых телекоммуникационных систем;

– предельно высокая скорость выполнения транзакций;

– глобальные масштабы межсетевого операционного взаимодействия;

– активное участие фирм – провайдеров услуг в проведении операций.

Таким образом, организации кредитно-финансовой сферы должны постоянно совершенствовать свои системы информационной безопасности, а специалистам риск-подразделений необходимо учитывать возможные последствия проявления рисков, связанных с работой в киберпространстве, и своевременно принимать меры по минимизации негативных последствий.

1.1. Интернет и банковский бизнес

Если новое поколение будет повторять устаревшие понятия, то как мы обеспечим быстрое движение вперед?

Иван Ефремов. Туманность Андромеды

Современный банковский бизнес невозможно представить без использования новейших достижений в области информационных и телекоммуникационных технологий. Технологии ДБО стали не только способом снижения себестоимости самих процессов выполнения банковских операций, но и основным конкурентным преимуществом любой кредитной организации на рынке банковских услуг.

Одним из условий повышения доверия к технологиям ДБО является обеспечение должного уровня информационной безопасности.

Перед тем как начать разговор о проблемах, связанных с безопасным применением различных систем ДБО (включая СЭБ), необходимо разобраться, что такое безопасность.

Безопасность (как самостоятельный объект исследования) имеет некоторые фундаментальные свойства:

1) безопасность никогда не бывает абсолютной – всегда есть некий риск ее нарушения. Таким образом, усилия по обеспечению безопасности реально сводятся к задаче понижения уровня риска до приемлемого;

2) измерить уровень безопасности невозможно, можно лишь косвенно его оценить, измерив соответствующие показатели, характеризующие состояние безопасности банка³;

3) наступление всех рисковых событий предотвратить невозможно, можно лишь понизить вероятность наступления отдельных событий, то есть рисковые события будут наступать реже;

4) можно также понизить степень ущерба от наступления такого события, но при этом чем реже наступает рисковое событие, тем сильнее ущерб от него;

5) при любом несанкционированном вмешательстве в процесс принятия управленческих решений и обработки информации в первую очередь страдает ее безопасность.

Современный банк представляет собой комплекс, включающий в себя не только квалифицированный персонал, но и сложные автоматизированные системы, и одним из наиболее уязвимых элементов этого комплекса является банковская автоматизированная система (БАС).

Современные достижения в развитии информационных и коммуникационных технологий, в основе которых лежат возможности интернета, значительно повлияли на эволюционные процессы, связанные с формами проявления функции денег как средства платежа, и привели к формированию глобальной электронной среды для экономической деятельности за счет существенного снижения себестоимости банковских операций. Технологии ДБО можно рассматривать и как качественный аспект поступательного развития кредита⁴.

Еще в конце прошлого века эксперты в области экономики стали говорить о новой среде – сетевой экономике (networked economy)⁵. Так, например, в докладе, подготовленном Европейской комиссией⁶, глобальная сетевая экономика определяется как «среда, в которой любая компания или индивид, находящиеся в любой точке экономической системы, могут контактировать легко и с минимальными затратами с любой другой компанией или индивидом по поводу совместной работы, для торговли, для обмена идеями и ноу-хау или просто для удовольствия». Возникновение сетевой экономики приводит к эволюции современных экономических систем, развитию нерыночных механизмов регулирования и сетевых организационных структур [102, с. 539].

Новые возможности глобальной коммуникации между людьми дают им и новые инструменты для реорганизации форм их совместной деятельности.

Одним из самых эффективных способов модернизации инфраструктуры в экономике и создания сетевых институциональных структур является использование возможностей интернет-технологий.

Интернет-технологии не только быстро внедряются в политику, бизнес, государственное управление, но и трансформируют характер межличностных отношений в обществе (формируются виртуальные онлайновые сообщества, устанавливаются отношения информационного партнерства, осуществляется группировка пользователей по определенным информационным интересам). Все это приводит к тому, что общество привыкает к активному использованию современных информационных и коммуникационных технологий. Тенденция распространяется и на банковские услуги. Это свидетельствует о том, что мы имеем дело с самым быстрорастущим в истории человечества рыночным сообществом. Буквально за несколько лет все основные экономические виды деятельности были освоены интернетом: появились интернет-коммерция, интернет-реклама, интернет-банкинг и т. д.

Анализ трудов отечественных и зарубежных ученых позволил выявить ряд отличительных признаков всемирной паутины, способных существенным образом влиять на экономику:

– интернет втягивает в глобальную конкуренцию все компании и организации (в т. ч. коммерческие банки) независимо от места их расположения. Большинство кредитных организаций предоставляют одинаковый набор банковских услуг, поэтому выбор клиентов, как правило, связан с качеством их оказания и уровнем доверия к данному коммерческому банку;

– глобальная сеть значительно обострила конкурентную борьбу и потребовала от всех участников банковского рынка соответствовать международным стандартам (оформление веб-сайтов, поддержка нескольких языков, доступность и функциональность представительств в интернете и т. д.);

– целый ряд процессов, в том числе обслуживание и эксплуатацию аппаратно-программного обеспечения систем ДБО (включая СЭБ), можно передать на аутсорсинг. Веб-сайты многих кредитных организаций разрабатывали профессиональные компании, хорошо владеющие вопросами продвижения брендов и привлечения максимального числа клиентов;

– клиенты, использующие системы интернет-банкинга, более требовательны к качеству выполнения банковских операций, так как легко могут сравнить услуги банка с аналогичными услугами кредитных организаций – конкурентов (банки, значительно отдаленные друг от друга географически, в глобальной сети находятся «на расстоянии одного клика»);

– интернет позволяет выбирать коммерческие банки практически в любой стране и строить с ними взаимовыгодное сотрудничество для повышения эффективности и снижения издержек;

– стремительное развитие интернет-технологий не позволяет однозначно спрогнозировать все стратегические риски, связанные с ДБО;

– интернет ускоряет распространение новых технологий и идей. Коммерческие банки в любой стране, в том числе в развивающейся, могут с помощью глобальной сети отслеживать технологические инновации, получать информацию о новых банковских продуктах, используемых в Европе, Японии, Северной Америке, а также о новых проектах и действиях лидеров в каждом секторе банковского бизнеса – с точки зрения бизнеса национальные границы утратили былое значение;

– электронные банковские технологии требуют от коммерческих банков действовать «в режиме интернета» или «со скоростью интернета» – скорость становится одним из основных достоинств успешного бизнеса;

– технологии ДБО (включая СЭБ) позволяют оформлять первичные бухгалтерские документы намного быстрее;

– интернет является самым дешевым на сегодняшний день каналом обслуживания клиентов. Предоставление банковских услуг через интернет позволяет сократить служащих, которые ведут телефонные переговоры, оформляют банковские документы, консультируют клиентов по вопросам выполнения отдельных банковских операций, принимают различные претензии, предложения и др.⁷;

– под интернет-проекты относительно легко получить инвестиции. Во многих странах инвестиции в интернет-проекты поддерживаются государством, так как, развивая интернет-технологии во всех отраслях экономики (включая банковский бизнес), страна выходит на новый качественный уровень;

– интернет-технологиям постоянно требуется ценный ресурс – человеческий талант: как в форме технических знаний и опыта, так и в форме управленческих ноу-хау. Самые ценные в конкурентном отношении активы организации – это лидерство в разработке ключевых технологий и кадры с уникальными опытом и знаниями.

Благодаря возможностям интернета сообщество людей стало преобразовываться в новую социально-экономическую формацию – глобальное информационное общество.

На данном этапе развития общества можно говорить об информационной революции, которая постепенно охватывает все страны, невзирая на их экономическое развитие и уровень финансовой грамотности населения.

Интернет изменил мир, и эти изменения возрастают в геометрической прогрессии. Трансформировались отношения людей, их общение, мировоззрение, поиск данных, а вместе с тем методы работы институтов и организаций. Каких-то 15 лет назад еще не было таких профессий, как разработчик архитектуры социальных сетей и руководитель цифровой рекламы. В последние годы в нашу жизнь ворвались, заняв в ней доминирующие позиции, Facebook, LiveJournal, YouTube, Twitter, Skype и многие другие интернет-продукты и социальные сети. Темпы развития этих технологий стабильно растут.

Многие банки сегодня рассматривают Facebook как важный источник информации, поскольку данная социальная сеть содержит огромное количество сведений о пользователях. Эти данные могут быть применены для оценки кредитных рисков и кредитоспособности клиентов.

Отметим одну особенность в поведении людей, которая связана с появлением интернета. Все больше людей предпочитают потреблять значительное количество маленьких фрагментов информации, а не целостный блок текста⁸.

Зная об этом, западные информационные агентства на своих интернет-страницах иногда публикуют абзацы, состоящие из одного предложения. В маленьком фрагменте сложно (а чаще невозможно) передать много информации, но для совершения транзакции с помощью систем ДБО клиент и не должен читать длинные инструкции (они могут быть оформлены в виде аудио- или видеоролика).

Заметим, что информационные процессы в сознании человека, такие как обнаружение и интерпретация сенсорных сигналов, память, образы, мышление, и их изменения во времени представляют объект исследования когнитивной психологии. Поэтому серьезные компании, занимающиеся созданием программ для систем ДБО и пользовательских интерфейсов, основывают свои разработки на моделях, являющихся плодами когнитивной психологии.

По мере проникновения интернета в нашу жизнь растет популярность всевозможных мобильных устройств. Классические ноутбуки слишком громоздки, а планшеты еще не всегда обладают нужной функциональностью, поэтому и появляются все новые и новые миниатюрные лэптопы с сенсорными экранами.

Подобные устройства теперь не роскошь, а неотъемлемые компаньоны современного человека (в этом убеждаешься, когда забываешь дома мобильный телефон или планшетный компьютер).

Согласно докладу Антимонопольного центра БРИКС, количество интернет-пользователей в крупнейших странах по состоянию на март 2019 г. составило:

– 829 млн в Китае (первое место);

– 560 млн в Индии (второе место);

– 293 млн в Соединенных Штатах Америки (третье место);

– 109,5 млн в России (восьмое место)⁹.

В декабре 2018 г. Международный союз электросвязи (ITU) представил отчет, в котором сообщил, что в интернет выходят 3,9 млрд человек, или 51,2 % населения планеты¹⁰. При этом в России 81 % граждан пользуются интернетом с той или иной периодичностью. То есть:

– 65 % выходят в сеть ежедневно;

– 14 % – несколько раз в неделю или месяц;

– 2 % пользуются интернетом крайне редко;

– 19 % не обращаются ни к каким интернет-ресурсам.

В первую очередь россияне заходят в интернет, потому что им это требуется для работы и учебы (44 %). Опрошенные стали реже искать через интернет новых знакомых, людей с близкими интересами (снижение с 16 % в 2014 г. до 4 % в 2018 г.).

Покупки через интернет ежедневно оформляют 2 % опрошенных (против 7 % в 2014 г.)¹¹.

Еще одно изобретение человечества в сфере высоких технологий – это «облака». Облачные платформы все чаще и успешнее используются для решения корпоративных и операторских задач. В целом применение облачных технологий позволяет:

– создать простую абстрактную среду, в которой пользователь может получить ресурсы по требованию, а компания – легче и быстрее внедрить новые приложения и услуги;

– отвлечь организацию от рутинных задач и сконцентрировать внимание на главных направлениях, выделяющих ее из конкурентной среды и значительно повышающих эффективность работы.

Нигерийская кредитная организация Renaissance Credit, образованная в октябре 2012 г., за первые полгода расширила клиентскую базу до 3 тыс. человек. Все информационные процессы компании (составление документов, работа с электронными таблицами и почтой, а также все банковские операции) происходят в «облаке», что позволило сократить штат HT-специалистов до одного человека¹².

По мнению экспертов компании Microsoft, в богатых странах банки с помощью облачных технологий уже начали обрабатывать данные, не содержащие значимой информации о клиентах, но требующие больших вычислительных мощностей. Испанский банк Bankinter использует облачную платформу Amazon для моделирования кредитных рисков: вычисления, выполнявшиеся на оборудовании самого банка за 20 часов, теперь занимают 20 минут. Также крупные банки задействуют «облака» для тестирования своих компьютерных систем, не подвергая себя опасности сбоев. Многие банки переконфигурируют свои системы в частные облачные платформы, что позволяет подключаться к облачным технологиям, находящимся в общественном доступе.

Разумеется, у широкого применения «облаков» есть свои недостатки, связанные прежде всего с безопасностью и защитой данных. Небольшим банкам крупные информационные центры, созданные такими компаниями, как Amazon и Microsoft, обеспечивают более высокий уровень безопасности, чем они сами могут себе позволить. Крупные банки, имеющие собственные вычислительные центры, опасаются передавать клиентскую информацию в посторонние руки. Кроме того, кража информации или сбой в работе банка, пользующегося «облаком», вызовет жесткую реакцию регулирующих органов. Некоторые страны настаивают на том, чтобы данные клиентов хранились в пределах национальных границ. Компании, предоставляющие облачные услуги, будут вынуждены строить небольшие информационные центры, снижая тем самым издержки. При этом такие компании из соображений безопасности стремятся не раскрывать местонахождение своих «облаков».

Впрочем, возможность повышения рентабельности делает переход банков на облачные технологии неизбежным, а указанные выше проблемы могут повлиять лишь на скорость данного процесса.

1.2. Основные виды мошенничества в интернете

Во всех странах железные дороги для передвижения служат, а у нас сверх того и для воровства.

Михаил Евграфович Салтыков-Щедрин, русский писатель

Благодаря развитию интернета появилась возможность совершения покупок, банковских переводов и платежей в режиме реального времени (онлайн). Несомненно, это позволило улучшить жизнь граждан, предоставив им новые, более современные сервисы. Однако вместе с ними возникли и новые способы мошенничества.

Наиболее активно мошенничество в интернете осуществляется в кредитно-финансовой сфере и сфере ритейла. Это обусловлено прежде всего тем, что в указанных сферах злоумышленники могут получить наибольшую материальную выгоду.

Самым распространенным способом совершения мошенничества в интернете является фишинг (phishing). Понимание данного явления постоянно изменяется, что усложняет процесс выявления и раскрытия правонарушений.

Так, можно привести несколько распространенных и широко используемых понятий:

1. Фишинг – способ мошеннических действий, при котором злоумышленник рассылает множество сообщений по электронной почте с целью получения личной и финансовой информации о потенциальных жертвах (для дальнейшего доступа к их банковским счетам и другим важным ресурсам).

2. Фишинг – информационная система, применяемая для получения от третьих лиц (пользователей системы) конфиденциальных сведений за счет введения этих лиц в заблуждение относительно ее принадлежности (подлинности) вследствие сходства доменных имен, оформления или содержания информации¹³.

3. Фишинг – разновидность попыток несанкционированного доступа, когда жертву провоцируют на разглашение информации, посылая ей фальсифицированное электронное письмо с приглашением посетить веб-сайт, который на первый взгляд связан с законным источником¹⁴.

4. Фишинг – мошеннические веб-сайты, веб-сайты, навязывающие платные услуги на базе SMS-платежей, веб-сайты, обманным путем собирающие личную информацию¹⁵.

При анализе данного понятия можно заметить изменения в самом понимании процедуры фишинга.

Так, при применении первого понятия следует исходить из того, что фишинг осуществляется в виде сообщений, которые приходят якобы от банков, платежных систем, онлайн-аукционов, крупных и широко известных интернет-магазинов. Письмо создается, форматируется и оформляется таким образом, чтобы выглядеть как отправленное из легального источника. Причем подделываются заголовки письма, его внешний вид (включая графические и текстовые элементы), а также ссылки на реальный веб-сайт. В случае с интернет-банкингом письмо, как правило, содержит информацию о внезапно возникших технических проблемах на веб-сайте банка, в связи с чем необходима проверка учетных записей и регистрационных данных пользователей. Далее жертве предлагается открыть «регистрационную форму» и ввести интересующие мошенника данные. Так как эта регистрационная форма загружается не с веб-сайта банка, вся личная информация жертвы отправляется мошеннику (рис. 1).

Рис. 1. Регистрационная форма на веб-сайте лжебанка

Получив эти данные, мошенник распоряжается банковским счетом жертвы и кредитной картой, привязанной к этому счету, по своему усмотрению (рис. 2).

Приведем основные рекомендации для клиентов систем интернет-банкинга, помогающие определить действия интернет-мошенников¹⁶:

Рис. 2. Использование фальшивого веб-сайта для выманивания данных по кредитным картам

Данные по кредитным картам

– никогда не отвечать на запросы по электронной почте, касающиеся личной информации, данных банковских счетов, кредитных карт и паролей доступа;

– не переходить по ссылкам на интернет-ресурсы, присланным в сообщениях по электронной почте, а вводить ссылки в адресную строку веб-браузера самостоятельно;

– убеждаться, что при работе с веб-сайтом кредитной организации информация передается в кодированном (шифрованном) виде¹⁷;

– регулярно проверять состояние баланса банковского счета (кредитной карты);

– немедленно сообщать уполномоченным сотрудникам кредитной организации о всех подозрениях на несанкционированный доступ к личной информации и злоупотребление ею.

Далее представлены несколько признаков, по которым можно определить, что произошло соединение с фальшивым веб-сайтом:

– невозможно просмотреть исходный текст веб-сайта¹⁸;

– при использовании другого веб-браузера место адресной строки заметно отличается от привычного;

– при сворачивании окна веб-браузера на панель задач окно с адресом не сворачивается, а «зависает» в нижней части экрана;

– окно с адресной строкой ведет себя как самостоятельное окно Windows-задачи с возможностью перемещения по экрану монитора, но с тенденцией занять определенное место;

– адресную строку невозможно редактировать.

Второе же понимание термина «фишинг» значительно отличается от ранее рассмотренного.

При применении второго определения следует исходить из того, что данное противоправное деяние совершается с использованием домена (веб-сайта). Злоумышленник создает в интернете ресурс, который ввиду сходства информации или интерфейса должен создать у потребителя ложное представление о нахождении на легальном ресурсе. Противоправные деяния с использованием указанной схемы можно формально разделить на несколько категорий. Рассмотрим самые распространенные из них.

1.2.1. Лжебанки

Это одна из самых распространенных категорий фишинговых ресурсов. Недобросовестное лицо создает ресурс фиктивного банка и начинает привлекать денежные средства граждан и юридических лиц во вклады. Пользователь не задумывается о правомерности деятельности данного лица, поскольку интерфейс иногда схож с интерфейсом ресурса, принадлежащего реально существующему банку. Представленные фиктивные документы на ресурсы, такие как сканы лицензий и доверенностей, создают у потребителя впечатление, что банк является легальным (рис. 3).

На рис. 3–7 приведены примеры фиктивных банков¹⁹.

В рамках проекта «Лжебанк» злоумышленники готовы предоставлять «лжекредиты». Потребитель обращается в фиктивный банк с просьбой предоставить ему кредит, псевдобанк якобы одобряет заявку и просит потребителя оплатить курьерскую доставку договора и перечислить страховую сумму. После внесения потребителем оплаты лжебанк, как правило, прекращает контакты с ним.

Рис. 3. Веб-сайт фиктивного банка (1)

Рис. 4. Веб-сайт фиктивного банка (2)

Рис. 5. Веб-сайт фиктивного банка (3)

Рис. 6. Веб-сайт фиктивного банка (4)

Рис. 7. Веб-сайт фиктивного банка (5)

Согласно статистике ФинЦЕРТ Банка России²⁰, за 2017–2018 гг. сняты с делегирования 489 веб-сайтов, которые выдавали себя за банки²¹. Количество ресурсов в данной категории позволяет сделать вывод, что злоумышленники активно используют наименования реальных банков и создают интерфейсы веб-сайтов, сходные с интерфейсами вебсайтов данных финансовых институтов. Необходимо отметить, что злоумышленники также активно создают сайты-клоны или сайты-двойники, что позволяет ввести пользователя в заблуждение.

Приведем перечень признаков фишинговых ресурсов данной категории:

1. Информация об организации отсутствует в справочниках/реестрах Банка России, размещенных на официальном веб-сайте Банка России.

На официальном веб-сайте Банка России (www.cbr.ru) размещены следующие информационные ресурсы, позволяющие уточнить наличие или отсутствие лицензии у банка:

– Книга государственной регистрации кредитных организаций;

– Справочник по кредитным организациям (http://www.cbr.ru/credit/main.asp).

2. Информация об организации отсутствует в соответствующих реестрах ФНС России и Роскомнадзора России.

Информацию об организации, представленной на веб-сайте, также возможно проверить в следующих реестрах:

– Едином государственном реестре юридических лиц, размещенном на официальном веб-сайте ФНС России;

– Реестре операторов, осуществляющих обработку персональных данных, размещенном на официальном веб-сайте Роскомнадзора России.

3. Веб-сайт не является официальным и не имеет никакого отношения к организации.

Третий признак – один из сложнейших. Вместе с тем данную информацию можно проверить на официальном веб-сайте Банка России с использованием Сведений об адресах веб-сайтов кредитных организаций Российской Федерации. Также отметим, что на сегодняшний день благодаря взаимодействию Банка России и «Яндекса» появилась маркировка банков и кредитных организаций, имеющих лицензию Банка России²².

Создание веб-сайтов лжебанков стало одним из самых распространенных способов мошенничества на территории России, поскольку злоумышленникам не приходится точно копировать ресурсы реально действующих кредитных организаций: достаточно оформить на вебсайте вкладки с названиями «Кредит», «Вклады» и т. д. Данные наименования позволяют ввести пользователя в заблуждение и создать у него иллюзию, что он находится на веб-сайте действующего банка.

Потребителям необходимо обращать внимание на оформление ресурса: лжебанки, как правило, не утруждают себя размещением на официальном веб-сайте соответствующей документации, в некоторых случаях даже не указывают номер лицензии на осуществление операций. Указанные обстоятельства должны насторожить потребителя и заставить его проверить данную организацию. Фиктивные банки также активно привлекают людей с помощью почтовых рассылок или звонков на номера мобильных телефонов. В данном случае потребители должны быть бдительными и не разглашать свои конфиденциальные данные, которые могут быть использованы для хищения денежных средств.

1.2.2. Лжестраховщики

Появление возможности оформлять электронные полисы ОСАГО с использованием интернета не только облегчило жизнь автолюбителям, но и спровоцировало рост мошенничества в данной сфере.

Злоумышленник в рамках рассматриваемой категории действует различными способами:

– создает копию ресурса реально действующей страховой компании с предложением оформления электронных полисов ОСАГО;

– предлагает фальшивые или необеспеченные бланки страховых организаций.

Потребитель либо оплачивает лжеполис ОСАГО, либо оплачивает доставку и покупает фальшивые бланки.

Согласно статистике ФинЦЕРТ Банка России²³, за 2017–2018 гг. сняты с делегирования 164 веб-сайта, которые выдавали себя за субъекты страхового рынка.

Веб-сайт фиктивной страховой организации позволяет создать у потребителя иллюзию, что покупка бланка не влечет за собой негативных последствий. Вместе с тем, приобретая заведомо фальшивые, пустые и недействительные бланки, потребитель теряет возможность претендовать на страховое возмещение при наступлении страхового случая.

Фиктивная страховая компания привлекает потребителей стоимостью бланков: как правило, она на 60–70 % меньше, нежели стоимость действующего полиса реально зарегистрированной страховой компании.

Вместе с тем в данной категории мошенничества активно используется метод социальной инженерии, помогающий получить доверие потребителя.

На веб-сайты лжестраховщиков потребителей завлекают различными способами, такими как:

– всплывающая реклама в поисковых системах;

– SMS-рассылки и звонки на абонентские номера клиентов различных страховых компаний;

– запросы в поисковых системах.

Псевдостраховые компании становятся достаточно распространенными в России, поскольку потребитель старается сэкономить время и денежные средства при оформлении страхового полиса в надежде на то, что страховой случай не наступит.

Также на практике встречаются случаи, когда потребитель заказывает ту или иную страховую услугу, оплачивая ее переводом на карту лжестраховщика или на его счет. Лжестраховщик обязуется передать страховой полис или предоставить иную услугу в определенное время, но потребитель так и не получает полис или услугу.

В связи с этим потребитель должен не только обращать внимание на оформление и содержание ресурса страховой компании, но и проверять данную организацию в соответствующих справочниках и реестрах (Справочнике участников финансового рынка Банка России, перечне Российского союза автостраховщиков).

Отметим, что в соответствии с перечнем Российского союза автостраховщиков и информацией, размещенной на его официальном вебсайте, не все страховые организации уполномочены на оформление электронных полисов ОСАГО. Потребитель при переходе на веб-сайт страховой компании должен проверить следующее:

– наличие организации в Справочнике участников финансового рынка Банка России (http://www.cbr.ru/finmarket/nfo/cat_ufr/);

– присутствие веб-адреса в перечне Российского союза автостраховщиков (https://www.autoins.ru/e-osago/chleny-rsa-osushchestvlyayushchie-oformlenie-elektronnykh-polisov/).

На рис. 8-10 приведены примеры веб-сайтов фиктивных страховых компаний.

Рис. 8. Веб-сайт фиктивной страховой организации (1)

Рис. 9. Веб-сайт фиктивной страховой организации (2)

Рис. 10. Веб-сайт фиктивной страховой организации (3)

1.2.3. ПсевдоР2Р-переводы

Данная категория является одной из самых привлекательных для злоумышленников. Согласно статистике ФинЦЕРТ Банка России, за 20172018 гг. сняты с делегирования 209 веб-сайтов, которые выдавали себя за ресурсы, предоставляющие услуги по переводу денежных средств с карты на карту²⁴.

Привлекательность этой категории обусловлена простотой оформления информационного ресурса для хищения денежных средств. Злоумышленники получают конфиденциальные данные как платежной карточки, так и самого потребителя.

Простота оформления информационных ресурсов, предоставляющих услуги P2P-переводов, позволяет мошенникам достаточно легко их подделывать: оформляется изображение пластиковых карт, указываются эмблемы и наименования платежных систем или кредитной организации. Данные атрибуты позволяют сформировать у потребителя ложное представление, что он находится на веб-сайте реально действующей организации.

Интересным представляется тот факт, что пользователь передает злоумышленникам не только свои персональные данные, но и данные платежной карты третьего лица, которому он осуществляет перевод.

Данные ресурсы очень заманчивы для потребителей, поскольку предлагают услуги беспроцентного перевода или перевода с низким процентом между платежными картами разных банков или платежных систем.

Чтобы не допустить использование недобросовестных ресурсов, пользователь должен проанализировать следующие критерии применительно к веб-сайту:

– наличие на веб-сайте информации об операторе платежной системы;

– наличие организации в Реестре операторов платежных систем Банка России;

– использование защищенного соединения при осуществлении перевода²⁵.

При этом если на ресурсе указано, что услуги предоставляются какой-либо кредитной организацией, то необходимо проверить ее наличие в соответствующем перечне Банка России.

Также можно убедиться в достоверности партнерских (договорных) отношений данного ресурса и кредитных организаций или платежных систем, позвонив на официальный контактный номер платежной системы или кредитной организации с просьбой подтвердить сотрудничество с ресурсом.

Проверка ресурсов потребителем позволит обеспечить безопасность его персональных и платежных данных.

На рис. 11 и 12 приведены примеры веб-сайтов мошеннических организаций, которые предоставляют услуги по осуществлению псевдоР2Р-переводов.

Рис. 11. Веб-сайт мошеннической организации, осуществляющей фиктивные P2P-переводы (1)

Рис. 12. Веб-сайт мошеннической организации, осуществляющей фиктивные Р2Р-переводы (2)

1.2.4. Схемы с использованием страхового (закрепительного) платежа

В рамках этой категории мошенничества можно выделить два подвида:

– организация проводит псевдоопросы, за которые якобы полагается выплата денежных средств;

– организация предлагает выплату несуществующей компенсации.

В первом случае пользователь проходит опрос на веб-сайте. Как правило, опрос состоит из семи-десяти простых вопросов. После прохождения опроса ресурс якобы генерирует выигрыш и предлагает пользователю перевести денежные средства на его платежную карту. Вместе с тем с целью сохранения денежных средств и оформления их вывода ресурс предлагает пользователю заплатить закрепительный платеж. Сумма платежа обычно незначительна и составляет от 250 до 1000 руб. Пользователь, воодушевленный возможностью получить крупный выигрыш, соглашается на оплату небольшой, по его мнению, суммы и переходит на страницу оплаты.

Пользователь предоставляет злоумышленникам данные карт и персональные данные, что позволяет списать денежные средства с его платежной карты.

Вместе с тем мошенники развиваются и совершенствуются. Более изощренным является второй способ мошенничества: предоставление возможности получить якобы от государства неиспользованные страховые платежи за медицинские услуги. Как правило, на ресурсе размещается фальшивая документация Правительства Российской Федерации, якобы позволяющая осуществить возврат и выплатить компенсацию населению.

На данную категорию ресурсов пользователей активно завлекают за счет звонков и SMS-рассылок, в которых граждан убеждают в том, что компенсация предоставляется в рамках одной из федеральных программ и что она не подлежит огласке общественности, поскольку существует лимит по выплатам. Злоумышленникам необходимо привлечь потребителя и убедить его зайти на ресурс. На ресурсе предлагается заполнить специальную форму якобы для определения количества денежных средств и срока уплаты в соответствующий государственный фонд. В рамках данной формы пользователь передает мошенникам свои персональные данные, в том числе иногда скан паспорта. Веб-сайт якобы генерирует компенсацию, положенную пользователю, и так же, как в ситуации с опросами, предлагает оплатить страховой (закрепительный) платеж.

На рис. 13 и 14 приведены примеры веб-сайтов организаций, которые осуществляют описанную мошенническую деятельность.

Рис. 13. Веб-сайт организации, осуществляющей псевдоопросы, за которые якобы полагается выплата денежных средств

Рис. 14. Веб-сайт организации, предлагающей выплату несуществующей компенсации

Вместе с тем необходимо обратить внимание, что опросы могут проводиться и компенсации могут выплачиваться реально действующими организациями и государственными службами. Чтобы не стать жертвой мошенников, пользователь должен обратить внимание на следующие признаки, которые чаще всего указывают на мошеннический характер ресурса данной категории:

– перечисление денежных средств третьим лицам в счет оплаты;

– отсутствие организации в Едином государственном реестре юридических лиц;

– осуществление деятельности, не предусмотренной лицензией, разрешением.

Поиск данных признаков при обращении к различным ресурсам позволит снизить риски мошеннических действий в отношении потребителей. Пользователи того или иного ресурса должны быть осмотрительными и проверять размещенную на нем информацию.

1.2.5. Схемы быстрого обогащения: «Золотой поток» (Golden Stream), «Алмазный дождь» (Diamond Rain) и др

Речь идет о всевозможных пирамидах. Как правило, все начинается с того, что на электронный адрес потенциальной жертвы приходит письмо с предложением заработать большие деньги, участвуя в игре. Например, перечислив 100 руб. (такое предложение было в игре «Золотой поток»), можно заработать 1 млн руб. всего за 90 дней²⁶. В ответ на пересылку 100 руб. жертва получает какую-нибудь дополнительную информацию или программу. Далее, как обещают организаторы, все зависит только от активности игрока: чтобы заработать свой миллион, он должен искать новых «участников», и чем быстрее, тем лучше.

Вариантов писем, которые начинаются с просьбы обязательно дочитать до конца и не сравнивать эту игру с другими, много. Однако принцип во всех этих схемах один: в начале игры жертва теряет некоторую сумму денег и все дальнейшие усилия тратит на компенсацию своих потерь, подыскивая новых «участников».

1.2.6. «Нигерийские письма»

Афера с «нигерийскими письмами»²⁷ – это современный вариант известного сотни лет назад мошенничества «Испанский узник», когда самозваные графы Монте-Кристо XVIII в., используя обычную почту, выманивали деньги у доверчивых людей, обещая им несметные сокровища, зарытые где-то в дальних странах.

Мошенники рассылают письма (в нашем случае по электронной почте, хотя может использоваться и обычная почта или факс), в которых содержится очень выгодное деловое предложение по переводу значительной суммы денег с африканского континента за рубеж под солидные комиссионные (до 40 %)²⁸. От жертвы требуется совсем немного – предоставить свои личные данные в качестве гарантии сохранности денег и расчетный счет в банке для размещения средств [65].

Сценарии дальнейшего развития сюжета похожи на описанные выше. Под каким-либо предлогом мошенники просят перечислить незначительную сумму за оказание услуг. Это могут быть просьбы внести деньги на оплату услуг юриста, компенсировать стоимость пересылки каких-либо документов и т. д. Дальше злоумышленники, если у них есть необходимая информация для снятия денег со счета жертвы, опустошают ее счет, а могут и пригласить в какую-нибудь страну, где также, но уже с применением силы, отнимают все деньги.

Существует много разновидностей «нигерийской» аферы, но идея везде одна: требуется оказать помощь по переводу значительной суммы денег под очень высокий процент²⁹ (рис. 15).

Рис. 15. Пример «нигерийского письма»

1.2.7. Опасные инвестиции

Сущность данных афер заключается в предложениях инвестировать денежные средства в какое-нибудь дело (выпуск дорогостоящего продукта, ценные бумаги и т. д.). Проценты (очень высокие), как правило, начисляются каждый день (об этом инвестор может узнать на веб-сайте инвестиционного фонда). Но как только инвестор захочет взять свои деньги, у него, как и во всех перечисленных выше случаях, возникают проблемы: веб-сайт инвестиционного фонда исчезает или становится недоступен, а адрес электронной почты (зарегистрированный на одном из бесплатных почтовых серверов) оказывается безответным (рис. 16).

Рис. 16. Пример лжеинвестиционной компании

1.2.8. Виртуальная медицина

«Хватит переплачивать за лекарства – посетите наш магазин», – примерно такие сообщения с указанием веб-сайта приходят на многие адреса электронной почты. Практически все лекарственные препараты (более 97 %), которые реализуются через интернет-сайты, рекламируемые в спаме, являются контрафактными. Фальсифицированные таблетки производятся без надлежащего контроля качества и с нарушениями технологического процесса (при этом внешний вид и упаковка практически неотличимы от настоящих). Очевидно, что ничего кроме вреда такие препараты принести не могут.

Другой исход при обращении в подобные виртуальные аптеки – потеря денежных средств, отправленных в виде предоплаты за лекарства и доставку.

По статистике, на подобные веб-сайты заходят от 500 тыс. до 2 млн посетителей в месяц. Помимо опасности отдать преступникам свои деньги и приобрести контрафактные и некачественные лекарственные препараты здесь существует еще одна опасность. Открывая такие спам-письма, можно загрузить на компьютер вредоносную программу (червя³⁰, трояна³¹ и др.), и в дальнейшем придется заниматься не только своим лечением, но и лечением компьютера.

1.2.9. Виртуальное трудоустройство

Организации, осуществляющие фиктивное устройство на работу, привлекают пользователей возможностью получить «легкие деньги». Пользователи, рассчитывая на быстрый заработок, передают злоумышленникам персональные данные, в том числе карточные, якобы для перечисления заработной платы. Нередки случаи, когда для «устройства на работу» предлагается оплатить страховой взнос для предоставления заказов или фиксирования выплат либо оплатить доставку трудового договора.

Интерфейс ресурсов данной категории, как правило, идентичен интерфейсу реальных ресурсов, что позволяет ввести пользователя в заблуждение относительно получения дохода (рис. 17).

Рис. 17. Веб-сайт организации, осуществляющей фиктивное устройство на работу

Один из вариантов схемы – предложения работы в интернете (на дому), например «виртуальным бухгалтером». Будущему работнику предлагают заниматься определенными посредническими услугами не больше 2–3 часов в день и получать заработную плату около 400 долларов. Чаще всего работать предлагают с системой WebMoney Работодатель открывает для работника счет (кошелек) и получает для него аттестат. Владельцем счета является работодатель. Работа заключается в том, чтобы осуществлять денежные переводы (WMZ³²). Все переводы (их бывает от 30 до 50 в день) нужно совершить в течение суток. В среднем на один перевод затрачивается 2–3 минуты. Предложение достаточно заманчивое (как, впрочем, и все те, которые были описаны выше), только работодатель просит перевести 7 долларов (7 WMZ) на получение аттестата (своего рода компенсация затрат работодателя на случай отказа работника продолжать сотрудничество).

Конечно, 7 долларов – не такая уж большая сумма, но на это и рассчитана данная афера. После того как жертва перечислит деньги на получение аттестата, связь с ней прекратится.

Кстати, если потенциальный работник представится опытным пользователем интернета, знакомым со всеми платежными системами, и сообщит, что имеет счет в платежной системе, в которой предстоит работать, а также персональный аттестат и хорошо знает, как работать с денежными переводами, то, скорее всего, мошенники сразу оставят жертву в покое. Такие «кадры» им не нужны.

Ниже приведены несколько признаков, по которым можно определить, что работу, скорее всего, предлагают мошенники:

– расплывчатые описания вакансий;

– неясные требования к работникам;

– бесплатное обучение;

– слишком высокая заработная плата;

– обширный социальный пакет;

– анонимный абонентский ящик или адрес электронной почты в качестве реквизитов;

– гарантия трудоустройства.

1.2.10. Горячие торговые точки

Интернет-магазины сегодня привлекают покупателей своими ценами (за счет экономии на аренде помещений), а также возможностью удобной доставки. Но и среди них бывают магазины с такими низкими ценами, что это выделяет их из общего ряда. Причем продавец обосновывает эти цены, иногда совсем не скрывая таких фактов, как «товар краденый», «товар конфискованный» и т. п.

Поэтому если жертва и решит купить такой товар, то вряд ли потом пойдет жаловаться, так как по сути является соучастником преступления (скупка краденого).

Схема мошенничества в данном случае прежняя: как только покупатель переводит деньги на счет продавца, связь с ним прекращается (веб-сайт магазина перестает работать, электронная почта не отвечает).

В общем случае все мошеннические интернет-магазины можно разделить на два вида:

– магазины, которые продают несуществующий товар;

– магазины, которые доставляют не тот товар, который представлен на веб-сайте.

Оформление и содержание ресурса заставляют пользователя думать, что данный веб-сайт принадлежит действующей организации (рис. 18).

Рис. 18. Веб-сайт фиктивного интернет-магазина

Для того чтобы обезопасить себя, потребителю необходимо проверить информацию об организации, указанной на веб-сайте, которая предоставляет товары или услуги. Данную информацию можно проверить на официальном веб-сайте ФНС России в разделе «Единый государственный реестр юридических лиц».

1.2.11. Сетевое попрошайничество

Если раньше большинство попрошаек можно было встретить на городских площадях и вокзалах, то теперь появился целый класс сетевых попрошаек, которые обращаются за помощью посредством интернета, выпрашивая деньги под разными предлогами: на срочную и дорогую операцию, чтобы избавиться от угроз вымогателей, погасить кредит и т. п.

Можно встретить сообщения о внезапно возникших проблемах в платежной системе WebMoney³³, для решения которых администратор просит перечислить какую-то сумму на свой кошелек. Причем если клиент, к которому обращается администратор, не перечислит деньги, в дальнейшем он не сможет воспользоваться своим кошельком (т. е. своими деньгами).

К сожалению, есть случаи, когда люди, особо не вдумываясь в суть происходящего, перечисляют свои деньги и потом узнают, что обращение поступило от мошенника, а не от администратора системы WebMoney.

Пользователям можно порекомендовать ни в коем случае не перечислять свои деньги до тех пор, пока не пришло подтверждение достоверности полученного сообщения.

Пример мошеннического сообщения приведен на рис. 19.

Рис. 19. Пример мошеннического сообщения

Одним из способов попрошайничества является отправка SMS якобы от родственников с просьбой перечислить денежные средства (рис. 20). В данном случае мошенники играют на чувствах потерпевших, вводят их в заблуждение. Часто в таких SMS сообщается о сложной жизненной ситуации, аварии или смерти кого-либо. Потерпевший должен быть бдительным, не поддаваться эмоциям и все проверить. При наличии возможности необходимо самостоятельно связаться с родственником, от которого якобы пришло сообщение. Следует также известить оператора связи о получении такого SMS.

Рис. 20. Пример мошеннического сообщения, поступившего якобы от родственника

Другим распространенным видом SMS-мошенничества является направление сообщения о том, что якобы на счет мобильного телефона жертвы ошибочно перечислена некая сумма, которую необходимо вернуть (рис. 21). Потенциальный потерпевший должен проверить баланс телефона, позвонить оператору связи и уточнить данные.

Рис. 21. Пример мошеннического сообщения о якобы ошибочном пополнении баланса телефона

1.2.12. Ботнеты³⁴

Термин «бот» появился намного раньше, чем его стали использовать для обозначения компьютерного вируса и инструмента для атаки на компьютеры и сети. В IRC-сетях он до сих пор обозначает специальную программу, которая замещает собой живого человека и может поддерживать активность на IRC-канале даже в то время, когда к нему не подключен ни один из пользователей. Бот может контролировать и модерировать содержание бесед на канале, удалять посетителей, которые нарушают принятые правила поведения, и т. д. Это своего рода вариант искусственного разума.

Однако бот в арсенале хакера способен доставить серьезные проблемы. Хакеры могут находить через интернет незащищенные компьютеры и загружать на них специальные программы, которые будут по их команде выполнять различные действия (такие как рассылка спама или участие в DDoS-атаке³⁵).

В качестве защиты от подобного заражения можно порекомендовать хороший мощный анализатор сетевого трафика, который позволит выполнять диагностику, идентификацию и перенаправление всего подозрительного интернет-трафика. Можно также использовать программное обеспечение для фильтрации пакетов, комбинируя его со специальными техническими и аппаратными средствами, которые устанавливаются между маршрутизаторами и межсетевыми экранами.

Достаточно эффективный способ решения этих проблем разработало правительство Австралии. Во взаимодействии с пятью крупнейшими интернет-провайдерами страны оно создало технологию и программу для своевременного обнаружения компьютеров-зомби и принятия оперативных мер по их блокировке. В большинстве случаев владельцы своих компьютеров даже не представляли, что участвовали в DDoS-атаке или что с их IP-адреса рассылался спам.

1.2.13. Сетевые банды

Одной из тенденций сегодняшнего дня является заметный рост числа новых компьютерных вирусов, червей и троянских программ. Троянские программы не могут рассылать себя по интернету самостоятельно, подобно компьютерным вирусам, так что масштабы их распространения должны быть меньше, чем у вирусов. Но на самом деле троянских программ и пораженных ими компьютеров с каждым годом становится все больше. Специалисты компании Sophos³⁶ сделали вывод, что такая ситуация стала следствием активности профессиональных преступников.

Криминальные группы, которые ранее занимались исключительно мошенничеством с банковскими картами, начали объединяться и все более тесно сотрудничать с создателями компьютерных вирусов, спамерами и группами безжалостных хакеров.

Приведенные примеры мошенничества в интернете ни в коем случае нельзя считать исчерпывающим перечнем ухищрений компьютерных злоумышленников.

К сожалению, во всемирной паутине, которая по своей сути является неуправляемой средой, постоянно возникают все новые и новые угрозы со стороны хакеров.

И от того, насколько своевременно будет построена защита от этих угроз, зависит доверие клиентов кредитных организаций к технологиям ДБО (включая СЭБ).

В условиях ДБО кредитные организации вынуждены существенно повышать уровень обеспечения информационной безопасности, так как основные атаки киберпреступников направлены именно на тех клиентов банков, которые осуществляют свои операции удаленно (т. е. вне офиса).

Очевидно, что абсолютной защиты от угроз для ДБО не существует. Компьютерные злоумышленники в состоянии взломать практически любую систему³⁷.

Однако непрерывная работа по поддержанию достаточного уровня информационной безопасности может сильно осложнить и (или) свести к минимуму возможности кибермошенников.

Масштабы кибермошенничества заставляют серьезно относиться к данному виду преступлений. Так, например, в июне 2012 г. новостные агентства распространили информацию о задержании преступной группы, включая ее организатора³⁸, который вместе со своими сообщниками похитил из систем ДБО более 150 млн руб.

По словам генерального директора компании Group-IB³⁹ Ильи Сачкова, принимавшего участие в расследовании деятельности данной преступной группы, это самая большая по численности участников киберпреступная группировка в России из тех, о которых известно специалистам по информационной безопасности⁴⁰. В течение 2011 г. работала целая группа технических специалистов: заливщиков (распространителей вредоносного программного обеспечения), специалистов по шифрованию, администраторов, обслуживавших бот-сети, и других.

На протяжении последних нескольких лет, по данным Group-IB, мошенники использовали зарекомендовавшую себя в хакерских кругах троянскую программу Carberp⁴¹.

Обобщая наиболее распространенные схемы совершения киберпреступлений в системах ДБО, можно выделить два способа.

Если сумма украденного составляет не более 1–1,5 млн руб., то деньги выводят сразу на пластиковые карты так называемых дропов (специально нанятых владельцев банковских карт, которые занимаются обналичиванием похищенных денег). Обычно в течение 15 минут после того, как деньги поступили на карточные счета, дропы обналичивают их через банкоматы и затем отдают своим нанимателям (рис. 22).

Рис. 22. «Простая» схема – примерно до 1,5 млн руб.

Если суммы крупнее, используются более сложные схемы обналичивания. Они применяются обычно при хищении средств в объеме от 1 до 5 млн руб.

В этом случае деньги предварительно переводят на счет юридического лица. Дальше сумму могут раздробить и распределить по другим счетам, чтобы сильнее запутать следы (рис. 23).

Группы мошенников, специализирующиеся на обналичивании, оставляют себе минимум 50 %.

Такой большой процент объясняется тем, что хищению предшествует длительный период подготовки. «Обнальщики» и похитители договариваются заранее.

К моменту хищения у «обнальщиков» уже все готово: создано подставное юридическое лицо, открыт счет в банке и выпущены карты, которые раздали дропам.

Современные условия позволяют любому юридическому лицу удаленно создать «зарплатный проект». Условно говоря, представитель компании сообщает в банк: у нас работает 15 человек, нам нужны зарплатные карты.

Рис. 23. «Сложная» схема – примерно до 5 млн руб.

Далее банку предоставляются паспортные данные «сотрудников», и тот выпускает карты. Паспортные данные берутся у тех же дропов или покупаются на хакерских форумах.

Кибермошенники чаще прибегают к помощи «обнальщиков», чем самостоятельно разворачивают дроп-проекты⁴².

В последнее время участились кражи из электронных платежных систем. Схемы примерно те же, только деньги выводятся либо на другие кошельки, либо опять же на банковские карты.

Исходя из проведенного нами исследования, можно сформулировать следующие общие рекомендации для граждан:

– быть бдительными и проверять не только веб-сайты организаций, предоставляющих финансовые услуги, но и информацию, получаемую в SMS;

– не сообщать свои персональные данные, в том числе карточные данные, неизвестным третьим лицам;

– не переводить денежные средства в пользу третьих лиц без соответствующей проверки информации;

– если денежные средства все-таки похищены, незамедлительно сообщить в уполномоченные организации (в полицию, банк, оператору связи и т. д.).

Только бдительность и применение мер безопасности могут уберечь от хищений денежных средств.

1.3. Актуальные направления регулирования в условиях электронного банкинга

Никакой транспорт не будет попутным, если не знаешь, куда идти.

Эдгар Аллан По, американский писатель, поэт, эссеист, литературный критик и редактор

Распределение ответственности в сфере применения технологий ДБО в связи с вступлением в действие ст. 9⁴³ Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] – наиболее острый вопрос, требующий доработки и четкого понимания обеими сторонами (банками и их клиентами). В действующей редакции большая часть ответственности переходит на кредитные организации, поэтому становятся понятны их многочисленные обращения к регулятору с просьбой выстроить сбалансированную справедливую систему, в которой все участники защищены и имеют возможность получить необходимую информацию.

Суть обращений сводится к тому, что каждая из сторон должна нести ответственность за свои действия (или бездействие) в пределах, не превышающих ее физические возможности, а также не должна допускать неотвратимого и безнаказанного причинения ущерба другой стороне.

Напомним, что коммерческие банки, работая в условиях жесткой конкуренции, не заинтересованы расходовать на обеспечение информационной безопасности больше средств, чем конкуренты. Информационная безопасность всегда связана с затратами для кредитных организаций, неудобствами для банковского персонала и клиентов. Что касается клиентов, то они обращают больше внимания на удобство банковских услуг, чем на их безопасность.

Поэтому кредитным организациям нужен разумный компромисс, который строится на нескольких базовых принципах организации информационной безопасности:

– стоимость защиты не должна превышать стоимости защищаемых информационных ресурсов;

– банк и клиент должны выйти на такой уровень защиты транзакций, когда для клиента защита еще удобна и приемлема по стоимости, а злоумышленнику уже невыгодно совершать преступление из-за высоких расходов на преодоление защиты.

Наряду с очевидными преимуществами СЭБ принесли в банковский бизнес дополнительные риски (рис. 24). А если говорить точнее, то количество типичных банковских рисков⁴⁴ осталось прежним, а вот их техническая составляющая значительно возросла.

Рис. 24. Дополнительные источники банковских рисков в условиях применения СЭБ

Непрерывность выполнения банковских операций стала во многом зависеть:

– от различных сбоев в аппаратно-программном обеспечении (АПО) СЭБ;

– качества и надежности каналов связи;

– наличия резервных источников электропитания;

– качества архивации данных об операциях с использованием СЭБ;

– недостатков в обеспечении информационной безопасности конфиденциальных сведений.

Однако необходимо хорошо понимать, что, применяя современные технологии и средства, мы можем осуществить те или иные процедуры удобнее, быстрее и в гораздо больших объемах, но при этом не надо рассчитывать на чудеса – за все надо платить. И если регулирование в области ДБО (включая услуги ЭБ) будет отставать от появления и распространения новых источников типичных банковских рисков, то «удобнее, быстрее и в больших объемах» в целом будет дороже. В первую очередь возрастают затраты на обеспечение безопасности данного способа оказания банковских услуг, так как кредитные организации будут вынуждены учитывать не только внутрибанковские риски, но и риски, возникающие на стороне клиента и различных провайдеров (например, интернет-провайдеров в случае интернет-банкинга, сотовых операторов в случае мобильного банкинга)⁴⁵.

По мнению авторов, на сегодняшний день есть четыре причины, по которым применение СЭБ нуждается в дополнительном регулировании:

1) расширение профиля операционного риска в условиях ЭБ;

2) значительный рост числа киберпреступлений в финансовой сфере (включая хищения денежных средств в СЭБ);

3) использование СЭБ в схемах, направленных на легализацию преступных доходов (или, другими словами, отмывание денег);

4) недостаточная подготовка сотрудников коммерческих банков по вопросам обеспечения информационной безопасности и управления сопутствующими рисками в условиях ЭБ.

Рассмотрим каждую из выделенных проблем более подробно.

1.3.1. Управление операционным риском

Причиной повышенного внимания к операционному риску стал выход соглашения Базельского комитета по банковскому надзору (БКБН) «Международная конвергенция измерения капитала и стандартов капитала: новые подходы» – Basel II. Соглашение Basel II является одним из наиболее актуальных нормативных актов, регулирующих банковский сектор. Оно предъявляет требования к минимальному размеру банковского капитала, на основании которых кредитные организации обязаны оценивать операционные, рыночные и кредитные риски, а также резервировать капитал на их покрытие.

Basel II трактует операционный риск как риск убытков, возникающий в результате неадекватных или ошибочных внутренних процессов, действий сотрудников и систем или в результате внешних событий.

В качестве возможных проявлений операционного риска можно выделить следующие типы событий:

– внешние воздействия (наводнения, пожары, аварии и т. п.);

– внутренние и внешние мошенничества;

– ошибки персонала;

– сбои в реализации бизнес-процессов и обслуживании клиентов;

– физический ущерб активам;

– сбои информационных систем;

– нарушение процессов обработки и хранения данных.

Требования, предъявляемые документами Basel II, были дополнены в документах Basel III, в том числе и в отношении операционного риска.

Отметим, что БКБН рекомендует привлекать к процессу управления рисками, возникающими при внедрении СЭБ в кредитных организациях, не только риск-подразделения, но и совет директоров, высшее руководство банка, а также топ-менеджеров банка.

Операционный риск является одним из основных типичных банковских рисков, на который в большей степени оказывают влияние СЭБ.

Он определяется как вероятность образования убытков и (или) неполучения прибыли вследствие сбоев в выполнении каждодневных, рутинных банковских операций. Применительно к ЭБ выделяются три главные зоны операционного риска:

1) функционирование системы безопасности;

2) привлечение сторонних организаций к предоставлению некоторых видов электронных банковских услуг (аутсорсинг);

3) освоение новых технологий сотрудниками банка [78, с. 499].

В первом случае речь идет о том, что возможны нарушения в процессах электронного хранения, передачи и обработки информации (искажение, уничтожение, перехват данных или злоупотребление ими в результате технических неполадок, действий хакеров, ошибок или мошенничества персонала и клиентов) и отказы в функционировании банковских информационных систем (возникновение перегрузок из-за недостаточной мощности аппаратно-программного обеспечения и целенаправленных DoS-атак на веб-серверы банка).

Вторая потенциально подверженная операционному риску сфера становится в последнее время весьма значимой. Предоставление банковских услуг в области информационных технологий посредством специализированных фирм (в первую очередь банки сотрудничают с компаниями по разработке прикладных программ) позволяет сократить инвестиционный бюджет и избежать найма дорогостоящих специалистов, что особенно важно для небольших финансовых учреждений. В то же время банки оказываются в определенной степени зависимыми от подобных партнеров, а общий уровень банковского обслуживания начинает определяться результатами работы нескольких, нередко никак не связанных между собой, компаний, сотрудники которых могут и не обладать достаточными знаниями о специфике банковского дела.

Наконец, ускорение процесса модернизации информационных систем повышает требования к адаптационным способностям персонала банков и увеличивает опасность возникновения трудностей при переходе ко все более сложным интегрированным электронным решениям. Довольно часто внедрение более «умной» и производительной технологии оборачивается для работников и клиентов банков значительными проблемами⁴⁶.

Смысл управления операционным риском заключается в прогнозе периодичности различных сбоев и нарушений непрерывности функционирования аппаратно-программного обеспечения СЭБ и оценке величины вероятных убытков. Отметим, что у потерь есть и положительная сторона – они вскрывают слабые места и открывают новые возможности. Поэтому самая большая ошибка – сокрытие нежелательного инцидента. Даже после того, как устранены рисковая ситуация или последствия неблагоприятного события, нельзя оставлять произошедшее в тайне: гораздо лучше использовать инцидент в качестве наглядного урока для других сотрудников.

Формы проявления операционного риска в условиях ЭБ могут быть самыми разнообразными. Однако все они вызваны, как правило, несоответствием определенных процедур требованиям законодательства, несоразмерностью технических возможностей СЭБ и объема бизнеса, техническими сбоями и отказами оборудования, непреднамеренными или умышленными действиями персонала и внешних субъектов, что отвечает классическому определению операционного риска.

Минимизировать операционный риск в условиях ЭБ можно с помощью общепринятых стратегий:

– принятие риска (отказ от превентивных мероприятий, воздействие на источники риска, самострахование (в т. ч. через кэптивные страховые компании), диверсификация активов и т. д.);

– полная или частичная передача риска (страхование, хеджирование, синдицирование и т. п.);

– избежание риска (отказ от применения конкретной системы, профилактика как устранение источников риска и пр.).

1.3.2. Противодействие киберпреступлениям в финансовой сфере

Следующая проблема связана с возрастанием активности киберпреступников, чьи усилия направлены на хищение денежных средств клиентов банков, использующих для выполнения своих операций СЭБ.

На конец 2019 г. было известно об активности 38 групп, кампании которых затрагивают все регионы мира. Аналитики Group-IB изучают в основном группы из России, Северной Кореи, Пакистана, Китая, Вьетнама, Ирана, США, ОАЭ, Индии, Турции, региона Южной Америки. К 2022 г., по прогнозу Всемирного экономического форума, сумма планетарного ущерба от кибератак вырастет до $8 трлн⁴⁷.

По статистике компании Group-IB, объем российского рынка киберпреступности во второй половине 2018 г. – первой половине 2019 г. составил почти 510 млн руб. (примерно $8 млн; снижение на 85 % к прошлому периоду)⁴⁸. Из отчета МВД России «Состояние преступности в России»⁴⁹ следует, что за январь-октябрь 2019 г. в стране было зарегистрировано 2376 преступлений в сфере компьютерной безопасности.

Компьютерные злоумышленники сегодня совсем не похожи на тинейджеров, получивших первоначальные знания с хакерских веб-сайтов, а представляют собой специалистов с достаточно высокой подготовкой в области информационных технологий и в финансовых вопросах. Причем большинство из них действуют в составе организованных преступных групп. Сегодня доходы от компьютерных преступлений значительно превышают доходы, получаемые от продажи оружия и наркотиков.

Очевидно, что в будущем угрозы не станут проще. Уже сегодня многие атаки – это комбинации различных методик. Использование только традиционных систем, таких как сигнатурные антивирусы, не дает возможности адекватно защищаться от современных типов атак. Кредитные организации, которые защищаются только от известных угроз, всегда рискуют, поскольку атакующие продолжают создавать новые техники атак.

1.3.3. Противодействие использованию систем электронного банкинга в схемах, направленных на легализацию преступных доходов

Следующая проблема, связанная с применением СЭБ, заключается в активном привлечении данных систем к процессу легализации преступных доходов. В последнее время отмывание денег стало одной из основных международных проблем, к решению которой привлечены ведущие страны мира. Процедура отмывания денег имеет решающее значение для функционирования практически всех форм транснациональной и организованной преступности. Различные меры экономического характера, призванные исключить или ограничить возможность использования преступниками полученных незаконными путями доходов, представляют собой важнейший и действенный компонент программ по борьбе с преступностью. Приведем лишь некоторые факторы, способствующие отмыванию денег:

– высокая доля неофициальных доходов населения и бизнеса (существование параллельной экономики и (или) «черного рынка»);

– несовершенство механизмов контроля и мониторинга деятельности кредитных организаций;

– несоблюдение международных стандартов регулирования финансовой деятельности, разработанных специализированными международными организациями;

– распространение коррупции в различных органах власти;

– законодательное закрепление тайны финансовых операций;

– широкое использование предприятиями и банками операций с вовлечением офшорных компаний и др.

Как правило, в процесс отмывания денег включается целый ряд операций, направленных на сокрытие источника финансовых активов, но все они входят в одну из трех составляющих (стадий) обобщенной модели отмывания денег: размещение (placement), расслоение (layering) или интеграцию (integration). Указанные стадии могут быть пройдены одновременно или частично накладываться друг на друга в зависимости от выбранного механизма легализации и от требований, предъявляемых преступной организацией.

На стадии размещения необходимо изменить форму денежных средств с целью сокрытия их нелегального происхождения. Например, поступления от незаконной торговли наркотиками чаще всего представляют собой мелкие купюры. Конвертирование их в более крупные купюры, чеки или иные финансовые документы часто производится с помощью предприятий, имеющих дело с большими суммами наличных денег (рестораны, гостиницы, казино, автомойки) и используемых в качестве прикрытия.

На стадии расслоения лица, отмывающие деньги, стараются еще больше скрыть следы, по которым их могут обнаружить. Для этого одни сложные финансовые сделки наслаиваются на другие. Например, для отмывания больших денежных сумм создаются фиктивные компании в странах, отличающихся строгими законами о банковской тайне или слабыми механизмами обеспечения соблюдения законодательных положений, касающихся отмывания денег. Затем «грязные» деньги переводятся из одной фиктивной компании в другую до тех пор, пока не приобретут видимость законно полученных средств [100, с. 106].

На этой стадии активно используются СЭБ (рис. 25).

На стадии интеграции преступник пытается трансформировать доходы, полученные от противозаконной деятельности, в средства, внешне имеющие легальное происхождение (деньги обычно вкладываются в бизнес, недвижимость, драгоценности и др.).

Рис. 25. Обобщенная схема отмывания денег с использованием СЭБ

Поскольку процесс отмывания денег в определенной степени базируется на используемых преступником финансовых системах и операциях, выбор конкретных механизмов ограничивается лишь его изобретательностью. Деньги отмываются через валютные и фондовые биржи, торговцев золотом, казино, компании по продаже автомобилей, страховые и торговые компании. Частные и офшорные банки, подставные корпорации, зоны свободной торговли, электронные системы и торгово-финансовые учреждения – все эти структуры могут скрывать незаконную деятельность. Далее приведем наиболее распространенные негативные последствия отмывания денег:

1. Удар по репутации банков. Бесконтрольное отмывание денег способно негативно влиять на курсы валют и процентные ставки вследствие высокой интеграции фондовых рынков. Эти деньги могут поступать в глобальные финансовые системы и подрывать экономику и валюту отдельных стран. Нужно учитывать, что проведение банковских операций через интернет позволило значительно сократить время на осуществление различных платежей.

2. Подрыв целостности финансовых рынков. Кредитные организации, полагающиеся на доходы от преступных деяний, сталкиваются с дополнительными трудностями. Например, крупные суммы отмытых денег могут поступить в банк и затем внезапно бесследно исчезнуть через электронные переводы в ответ на такие нерыночные факторы, как операции правоохранительных органов.

3. Утрата контроля над экономической политикой. В некоторых странах с формирующейся рыночной экономикой незаконные доходы могут намного превосходить государственные бюджеты, что приводит к утрате правительственного контроля над экономической политикой. В ряде случаев огромная база активов, накопленная за счет отмытых денег, может использоваться для спекулятивной скупки рынков или даже целой экономики небольшой страны.

4. Экономические деформации и нестабильность. Лица, отмывающие деньги, заинтересованы не столько в извлечении прибыли, сколько в защите доходов, поэтому направляют свои средства в области, не обязательно приносящие экономическую выгоду той стране, в которой они размещены.

5. Потеря доходов. Отмывание денег снижает налоговые доходы правительства и тем самым наносит косвенный ущерб честным налогоплательщикам (затрудняется государственный сбор налогов). Такая потеря доходов означает более высокие ставки налогообложения по сравнению с нормальной ситуацией, при которой доходы были бы законными и облагались налогами.

6. Риск для программ приватизации. Отмывание денег угрожает стремлению многих стран реформировать свою экономику путем приватизации. Преступные организации располагают финансовыми средствами, позволяющими приобретать по более высоким ценам предприятия, прежде находившиеся в государственной собственности.

7. Социальные издержки. Отмывание денег ведет к росту государственных расходов на правоохранительные органы (создание специализированных подразделений) и здравоохранение (например, лечение наркотической зависимости).

В целом отмывание денег ставит перед мировым сообществом сложную задачу, постоянно приобретающую новые формы. Характер процессов требует разработки глобальных стандартов и международного сотрудничества для уменьшения возможности преступников осуществлять свою деятельность.

Регулирующие органы рекомендуют банкам эффективнее использовать все ресурсы для выявления сомнительных операций, направленных на отмывание денег. Меры по предотвращению отмывания денег предпринимаются банками не только в соответствии с требованиями законодательства, но и в собственных интересах [97, c. 32].

В рамках проведения процедур идентификации клиентов кредитным организациям следует:

– разработать и внедрить комплексные процедуры, связанные с открытием счетов, установлением кредитных и других деловых взаимоотношений, а также совершением операций с лицами, не имеющими счетов;

– иметь данные о действительной личности клиента, пользующегося услугами банка, в том числе о подлинном владельце счета, открытого на другое имя;

– подвергать проверке данные, удостоверяющие личность, во избежание открытия счетов фиктивным пользователям;

– располагать данными о роде занятий или профессиональной деятельности клиента, об источниках его доходов, состояния или активов, а также о конкретном источнике денежных средств, вовлеченных в совершаемые через банк операции;

– знать цель, с которой открывается счет, и иметь представление о типах операций, в которые обычно вовлечен данный клиент. При открытии счета сотрудники банка должны понимать, нужно ли отнести клиента к категории высокого риска, требующей повышенного внимания.

В рамках выполнения процедуры мониторинга кредитным организациям следует:

– иметь внутренние системы для идентификации и мониторинга операций, вызывающих подозрения;

– оценивать риск, исходя из конкретных видов счетов, регионов и операций;

– обращать внимание на случаи превышения установленного денежного порога депозитов при открытии счета, а также на ежемесячные телеграфные переводы, операции с наличностью, дорожными чеками, получение кредитов и заключение сделок (включая покупку и продажу валют, опционов и драгоценных металлов) и т. п.;

– обращать внимание на усиление активности по банковским счетам, особенно тем, которые могут стать объектами сомнительных операций (офшорные и корреспондентские счета, счета небанковских финансовых институтов, политических деятелей и др.);

– установить пороговые размеры сделок и время от времени проверять их адекватность.

Отдельно следует отметить роль топ-менеджеров кредитных организаций. Они должны стремиться к постановке и практической реализации задач в области предотвращения незаконных операций и демонстрировать, что банк как субъект корпоративной культуры заботится о своей репутации не меньше, чем о прибылях, маркетинге и качестве обслуживания клиентов.

Топ-менеджерам кредитных организаций необходимо хорошо представлять, что клиенты коммерческих банков, использующие для выполнения своих операций СЭБ и занимающиеся противоправной деятельностью, могут не только нанести удар по репутации банка, но и создать для него серьезные осложнения во взаимоотношениях с регулирующими органами, вплоть до отзыва лицензии на осуществление банковских операций.

1.3.4. Подготовка сотрудников коммерческих банков по вопросам обеспечения информационной безопасности

Четвертая область связана с совершенствованием профессиональной подготовки персонала банка (включая сотрудников служб внутреннего контроля) по вопросам обеспечения информационной безопасности. Учитывая заметное увеличение источников банковских рисков, основу которых составляют особенности функционирования СЭБ, специалистам коммерческих банков, в чьи функции входит управление рисками, необходимо иметь не только экономическое или юридическое, но и техническое образование, позволяющее достаточно уверенно ориентироваться в особенностях функционирования различных технологий ДБО.

Ненадлежащее обеспечение информационной безопасности СЭБ (в частности, продажа населению слабо защищенных финансовых услуг) ведет к созданию предпосылок для хищения денежных средств и финансирования криминала. Существующая динамика развития современных процессов, связанная с ростом технических возможностей, способна многократно увеличить объемы финансирования криминала. Если допустить рост хищений в больших объемах (что приведет к соизмеримости объема хищений с объемами денежных средств в госсекторе), это может быть серьезной угрозой экономической безопасности страны.

2. Кибербезопасность в условиях применения систем электронного банкинга

Кольчуга не слишком защищает от стрелы, особенно если та нацелена вам между глаз.

Терри Пратчетт, английский писатель

2.1. Парадигмы построения системы кибербезопасности

Добрые нравы имеют большую силу, чем хорошие законы.

Публий Корнелий Тацит, древнеримский историк

В современном обществе интернет и сотовая связь стали привычными каналами предоставления информационных услуг. В банковской сфере эти два способа связи легли в основу ЭБ, который является лидером среди технологий ДБО. СЭБ фактически переместили весь процесс взаимодействия кредитных организаций с клиентами в виртуальное пространство, или, другими словами, киберпространство.

Внедрение СЭБ не только значительно сокращает операционные издержки, но и является одним из основных конкурентных преимуществ кредитных организаций. В то же время, перенося бизнес в киберпространство, кредитные организации не освобождаются от ответственности за качество предоставления финансовых услуг и должны в полной мере осознавать, что сегодня компьютерные атаки кибермошенников направлены в первую очередь на СЭБ с целью кражи денег со счетов как банков, так и их клиентов.

Если рассматривать информационный контур банковской деятельности, формируемый в условиях применения СЭБ, то наиболее слабым звеном является клиент. АПО СЭБ достаточно хорошо защищено на стороне банка, но не на стороне клиента. Поэтому взломать современные системы защиты, используемые кредитными организациями, намного сложнее, чем получить доступ в личный кабинет клиента.

К основным факторам, сдерживающим развитие ДБО, можно отнести отсутствие доверия клиентов к технологиям ДБО из-за роста компьютерных атак на СЭБ (в т. ч. с использованием социальной инженерии) и низкий уровень финансовой грамотности клиентов (включая недостаточную информированность о возможностях современных технологий ДБО и способах обеспечения кибербезопасности).

Повышение уровня финансовой грамотности населения – это задача, которая должна решаться комплексно. Во многих странах с основами кибербезопасности начинают знакомить еще в начальной школе, а в университетах этот предмет является обязательным – в информационный век не может быть другого подхода.

Следует принимать во внимание, что уровень финансовой грамотности населения всегда будет уступать уровню и скорости развития мошеннических технологий. Поэтому разработчики АПО СЭБ изначально должны ориентироваться на «среднего» пользователя и обеспечивать максимальную защиту от внешних воздействий.

Минимизировать риски «успешного» воздействия компьютерных атак можно с помощью построения комплексной системы кибербезопасности в кредитно-финансовой сфере.

В основе такой системы безопасности может лежать одна из двух парадигм: парадигма защищенности или парадигма развития.

Парадигма защищенности предполагает, что основу обеспечения безопасности составляет борьба с опасностями (угрозами). Менталитет защищенности приводит к отождествлению безопасности с жизнедеятельностью, вследствие чего идея безопасности ставится во главу угла всей деятельности.

Необходимой предпосылкой обеспечения безопасности в рамках данной парадигмы является определение угроз безопасности, на устранение которых и направляется соответствующая деятельность, прежде всего специальных служб⁵⁰.

Парадигма развития базируется не столько на борьбе с опасностями, сколько на развитии собственных внутренних сил. И потому опасность представляет собой не только то, что отрицает существование объекта, но и прежде всего то, что угрожает его самоутверждению [69, с. 154].

В настоящее время наблюдается устойчивая тенденция смещения акцентов в деятельности по обеспечению безопасности с парадигмы защищенности на парадигму развития. Появилось понятие «безопасность через развитие». Его суть заключается в том, что обеспечение безопасности все в большей степени осуществляется через развитие и все в меньшей – через защиту⁵¹.

Система не может быть жизнеспособной, только сохраняя достигнутое, без изменений и развития, поэтому следование исключительно парадигме защищенности в действительности не укрепляет безопасность, а постепенно разрушает объект, так как он не развивает свои внутренние силы, а лишь противостоит опасностям. И наоборот – только самоутверждение, постоянное изменение без сохранения основы системы ставят под удар существование последней. Таким образом, парадигмы защищенности и развития должны не исключать, а дополнять друг друга. Именно такого подхода необходимо придерживаться при построении комплексной системы кибербезопасности в кредитно-финансовой сфере.

Очевидно, что большая работа должна быть проведена регулятором. Как минимум он должен обеспечить определение необходимых условий ведения банковского бизнеса в киберпространстве и разработать рекомендации по снижению рисков для кредитных организаций.

В условиях применения СЭБ в ряде случаев в пользу киберпреступников работают:

– стремительная скорость устаревания техники. Именно поэтому многие успешные компьютерные атаки реализовываются при запуске новых банковских сервисов (речь идет об атаках «нулевого дня» – когда атака уже реализуется, а противоядие еще не найдено; такие атаки наносят самый большой вред);

– безграничность интернета и неадекватность нормативно-правовой базы, регулирующей информационные потоки. В связи с этим чрезвычайно сложно идентифицировать киберпреступников (особенно если они находятся на территории офшорных государств, где действует запрет на выдачу определенной информации).

Очевидно, что в будущем угрозы не станут проще. Уже сегодня многие атаки – это комбинации различных методик. Использование только традиционных систем обеспечения информационной безопасности (ИБ), таких как сигнатурные антивирусы, не дает надежной защиты от современных типов атак. Кредитные организации, которые защищаются только от известных угроз, всегда рискуют, поскольку атакующие выдумывают и создают все новые технологии и схемы.

2.2. Методология анализа рисков недостаточного обеспечения кибербезопасности

– Есть новости. Хорошая и плохая, – сказал Сэм. – С какой начать?

– С хорошей.

– Девяносто процентов, что торпед внизу нет…

– А плохая?

– Всего девяносто процентов, что торпед внизу нет.

Клайв Касслер, Грант Блэквуд.

Золото Спарты

Основными причинами повышенного внимания регулирующих органов к технологиям ДБО (включая СЭБ) являются «виртуальная» форма совершения банковских операций (когда каждая проводка выражается в мгновенном изменении содержания центральной базы банковских данных), снижение надежности и устойчивости кредитных организаций, а также банковской системы в целом, так как любые высокотехнологичные нововведения повышают и усложняют банковские риски.

В условиях применения СЭБ возникают ранее не учитываемые источники угроз, которые способны создать дополнительные проблемы, связанные со снижением уровня надежности банковских автоматизированных систем и угрозами безопасности информационных ресурсов (в т. ч. АПО, находящегося на стороне провайдеров). Для перехода на новый качественный уровень управления рисками, возникающими в условиях применения СЭБ, не следует ограничиваться только выявлением причин и определением размеров возможных финансовых потерь. Необходимо шире рассматривать проблемы, связанные с использованием СЭБ, выходить за рамки привычных методов учета рисков. В качестве итоговых оценок следует рассматривать риски, связанные с системными характеристиками и показателями (риски системного уровня): возможность продолжения функционирования банка и выполнения им функций финансового посредника в неизменном или измененном масштабе, временный запрет на выполнение определенного вида банковских операций, введение временной администрации, отзыв лицензии на банковскую деятельность.

Иерархию рисков можно представить в виде трех уровней: системный банковский риск (СБР), типичный банковский риск (ТБР) и элементарный банковский риск (ЭБР). Они имеют разную природу. Каждый ЭБР отражает некий выявляемый факт, каждый ТБР – какое-либо событие в банке, образуемое совокупностью фактов и связанное с финансовыми потерями, а СБР описывает некоторую итоговую рисковую ситуацию (рис. 26). Количество источников ЭБР для каждого ТБР различно.

Поиск источников ЭБР и дальнейшее выстраивание причинно-следственных связей представляют собой наиболее сложную задачу для адекватной оценки. Поэтому специалисты, входящие в риск-подразделения и службы внутреннего контроля, должны хорошо представлять особенности функционирования СЭБ и возможные последствия проявления сопутствующих рисков (включая воздействие компьютерных атак на информационные ресурсы банка). Очевидно, что реализованные компьютерные атаки значительно расширяют профили типичных банковских рисков.

Рис. 26. Иерархическая схема для выявления, анализа и мониторинга банковских рисков

Примерная схема анализа возможного влияния нарушения кибербезопасности в условиях ДБО на деятельность кредитных организаций представлена на рис. 27, влияние компьютерных атак на устойчивость и стабильность банковской системы показано на рис. 28. Например, в случае реализованной компьютерной атаки на системы ДБО банка вполне вероятно, что многие клиенты откажутся от услуг данной кредитной организации. Следовательно, сумма остатков на их счетах и будет возможной суммой единовременного снятия средств клиентами (риск ликвидности). Далее такие клиенты могут быстро распространить отрицательные отзывы о банке, и вполне вероятно, что их знакомые, которые также являются клиентами банка, могут последовать их примеру и закрыть свои счета (репутационный риск и возрастание риска ликвидности).

Рис. 27. Взаимосвязь кибератак на АПО БАС и возможных последствий для банка⁵²

Рис. 28. Влияние компьютерных атак на устойчивость и стабильность банковской системы

Добавим, что некоторые клиенты могут обратиться в суды за возмещением не только похищенной суммы, но и суммы упущенной выгоды (например, в случае временной неплатежеспособности при взаимодействии с выгодным клиентом, деловым партнером и т. п.). Судебные издержки, негативная информация об этих судебных решениях в СМИ могут серьезно повлиять на репутацию организации (правовой и репутационный риски).

Для многих кредитных организаций существует управленческая задача, обусловленная несоразмерностью мер по информационной безопасности (включая обеспечение кибербезопасности) основным целям и общему уровню принимаемых рисков. Это говорит о нехватке качественного управления рисками и о том, что кибербезопасность обеспечивается постфактум, по итогам уже совершившегося события, а должна носить превентивный характер и работать на опережение.

К основным причинам появления рисков недостаточного обеспечения кибербезопасности в условиях применения СЭБ можно отнести:

– наличие множественных уязвимостей АПО СЭБ, отсутствие должной реализации процедур контроля за соответствием СЭБ требованиям информационной безопасности;

– низкую эффективность проводимых кредитными организациями мероприятий по внедрению и использованию документов Банка России в области стандартизации обеспечения информационной безопасности;

– отсутствие правовой основы для распространения нормативных требований к обеспечению защиты информации, устанавливаемых Банком России, на все процессы в деятельности кредитных организаций;

– отсутствие должной достоверности контроля выполнения технических требований, реализуемого, как правило, в форме самооценки [107, c. 118].

Банк России выделяет следующие ключевые направления деятельности для минимизации последствий проявления рисков недостаточного обеспечения кибербезопасности:

– проработка вопроса о законодательном закреплении права Банка России совместно с ФСТЭК России и ФСБ России осуществлять нормативное регулирование и контроль всех вопросов, связанных с обеспечением информационной безопасности в кредитных организациях, в том числе вопросов защиты информации, отнесенной к категории банковской тайны;

– законодательное закрепление основ деятельности по реализации системы противодействия хищениям денежных средств (системы антифрода) и создание такой системы на базе ФинЦЕРТ Банка России;

– обеспечение скорейшей разработки и ввода в действие национальных стандартов, регулирующих технические вопросы обеспечения информационной безопасности в организациях кредитно-финансовой сферы;

– создание совместно с ФСБ России и ФСТЭК России системы для подтверждения соответствия обеспечения информационной безопасности кредитно-финансовых организаций требованиям национальных стандартов;

– пересмотр технологических требований, связанных с осуществлением переводов денежных средств, внедрение безопасных технологий, в том числе для участников платежной системы Банка России;

– пересмотр технологии контроля со стороны Банка России за соблюдением участниками платежной системы Банка России требований к обеспечению информационной безопасности;

– реализация системы надзорных мер, учитывающей результаты контроля информационной безопасности в рамках системы подтверждения соответствия национальным стандартам.

В ближайшей перспективе из-за развития технологий ДБО количество «физических» банковских офисов в России будет постепенно уменьшаться. Наличие собственного кабинета в киберпространстве станет таким же распространенным явлением, как сегодня наличие мобильного телефона.

Активное использование СЭБ в банковском бизнесе создает не только новые общие возможности, но и общие уязвимости, формируя при этом общую ответственность. Создание системы кибербезопасности и соблюдение культуры кибербезопасности всеми участниками информационного обмена в условиях применения СЭБ являются залогом доверия клиентов не только к конкретной кредитной организации, но и ко всей банковской системе в целом.

2.3. Информационное общество и кибербезопасность

Кто хочет, чтобы его не поглотила пучина, должен уметь плавать.

Генрик Сенкевич, польский писатель, лауреат Нобелевской премии

Средства информационного обмена непрерывно развиваются и совершенствуются, что делает наш мир все более взаимосвязанным. Информатизация общества берет свое начало во второй половине XX в. и к XXI в. охватывает практически все сферы человеческого бытия. Психологи говорят об угрозах интеллектуальной деградации личности из-за чрезмерно длительного пребывания в сети, игромании, мании преследования, боязни (фобии) потерять свой коммуникатор, нарушениях памяти (способности запоминать числа и факты). В самом деле, активному пользователю киберпространства ничего знать (запоминать) не надо: ему достаточно иметь доступ к информационно-поисковым системам и уметь ими пользоваться. Подобно тому, как постоянное использование калькуляторов буквально подавляет навыки «счета в уме», систематическое получение искомых сведений без присущих человеческому мозгу мысленных усилий (например, логических ассоциаций) истощает его, подрывает интуицию, что в целом может привести к ослаблению интеллектуального потенциала человека. Вдобавок регулярное использование внешних приспособлений снижает уровень счастья (Международный индекс счастья – Happy Planet Index) населения. Это, пожалуй, стоит считать фундаментальными проблемами, возникающими вследствие развития информационно-коммуникационных технологий (ИКТ) и интернета вещей⁵³.

Решением является повышение общего уровня грамотности населения и конкретного человека, в том числе с помощью интернета вещей. Ведь интернет вещей уже оказывает влияние на здравоохранение, образование, экологию и общую жизнедеятельность, причем возможности дальнейших IoT-взаимодействий практически безграничны.

Отсюда следует, что в целом интерес со стороны организаций к технологиям и платформам интернета вещей есть, но пока окончательно не сформировался⁵⁴. Тем не менее, повсеместное применение ИКТ непрерывно расширяется и человеческая жизнь уже немыслима в отрыве от этого процесса.

Развитие виртуальных взаимоотношений между людьми и организациями создало и новый класс преступников, специализирующихся на правонарушениях в области высоких технологий, – киберпреступников, а для борьбы с ними – киберполицейских и кибербезопасность.

Под кибербезопасностью в широком смысле понимают состояние защищенности в новой виртуальной сфере, достигаемое за счет набора средств, стратегий, принципов обеспечения безопасности, подходов к управлению рисками, действий, профессиональной подготовки, страхования и технологий, которые используются для защиты виртуальной среды, ресурсов организаций и пользователей сервисов от целенаправленного деструктивного воздействия.

Кибербезопасность направлена на защиту компьютеров, сетей, программ и данных от случайного или преднамеренного несанкционированного доступа, изменения или уничтожения [63].

Инструменты хакерских атак доступны не только правительствам⁵⁵, но и агрессивным политическим группировкам и террористическим организациям. Западные страны, в том числе члены НАТО, вынуждены пересматривать свои военные доктрины.

Российские и западные организации умеют защищать деньги и информацию. Но кибертеррористам сегодня важнее создать хаос, а еще лучше – вызвать массовую гибель людей. Их цели – АЭС, объекты ЖКХ, транспорт и другие объекты, где сбои в информационных системах могут привести к катастрофам. Недооценка угрозы кибертерроризма напоминает недооценку фашизма в период между мировыми войнами.

Что касается интернета вещей, то его возможности позволят злоумышленникам удаленно управлять автомобилями, персональными медицинскими системами или заставить «умный холодильник» совершать покупки, которые не входили в планы хозяина. Вспомним атаку на Иран в 2010 г., которая остановила обогащение урана и отбросила национальную ядерную программу Ирана на два года назад. Вирус Stuxnet, запущенный на IoT-устройствах ядерного комплекса, был использован для дистанционной агрессии одного государства против другого. Поэтому IoT-инциденты не ограничиваются хищением информации и денег, а могут использоваться, чтобы нанести физический вред и значительный ущерб.

Современные теоретики, говоря о будущих кибервойнах, обычно имеют в виду не столько противоборство между компьютерами, управляющими оружием, сколько войну, цель которой состоит в захвате контроля над информационным пространством противника. Разработано множество методов и приемов для защиты IoT-пространства, и все же задачу обеспечения кибербезопасности усложняет ряд неблагоприятных факторов развития информационной инфраструктуры:

– чрезмерная скорость устаревания техники;

– безграничность интернета и неадекватность нормативно-правовой базы, регулирующей информационные потоки;

– чрезвычайная сложность (а в ряде случаев – невозможность) идентификации киберпреступников;

– ограниченные ресурсы обеспечения кибербезопасности.

2.4. Электронные финансы – в интернет вещей

Лучший способ предсказать будущее – это изобрести его.

Сэмюэл Грингард.

Интернет вещей. Будущее уже здесь

Рост объема информации предопределил развитие инфраструктуры хранения данных в последние десять лет, в том числе в финансовой сфере. На протяжении пяти веков в основе работы розничных банков был оборот наличных денег. Всего лишь за полвека эта модель трансформировалась в направлении электронного оборота, который к концу первой декады нового тысячелетия достиг зрелости и уже прошел проверку практикой. Для банков сейчас самое время сконцентрироваться на электронных платформах.

«Носимый» банкинг (для так называемых Wearable Technology – очков, часов, браслетов и прочих гаджетов) сейчас вызывает немало надежд и восторга.

Например, MasterCard развивает программу, которая позволит превратить любой аксессуар, гаджет или предмет бытовой техники в устройство с функцией оплаты. На техновыставке Consumer Electronics Show (CES) специалисты компании представили сразу два таких решения. Одно из них – это приложение Groceries для покупок прямо на дисплее холодильника, которое связывает покупателей с ведущими продуктовыми магазинами. Кроме того, MasterCard объявила о партнерстве с компанией Coin, которое предполагает встраивание платежных технологий MasterCard в фитнес-браслеты, смарт-часы и другие носимые устройства⁵⁶.

Компания Microsoft 20 августа 2019 г. представила исследование IoT Signals, посвященное динамике внедрения интернета вещей в компаниях из разных индустрий и стран. Согласно его результатам, 85 % организаций уже имеют как минимум один бизнес-проект в данной сфере, а к 2021 г. эта цифра вырастет до 94 %. Цели внедрения IoT-решений отображены на рис. 29.

Рис. 29. Цели внедрения IoT-решений в работу организаций⁵⁷

При этом 97 % опрошенных беспокоит безопасность систем интернета вещей. Наиболее перспективными превентивными мерами для обеспечения безопасности могут быть:

– создание надежной системы аутентификации пользователей (43 %);

– отслеживание и управление устройствами интернета вещей (38 %);

– защита конечных точек интернета вещей (38 %)⁵⁸.

Одной из недавних неприятностей, связанных со смарт-устройст-вами, стал взлом «умных» кормушек для домашних животных с краудфандинговой площадки Xiaomi, открывший хакеру доступ ко всем таким кормушкам в мире. Российский ИТ-специалист получил возможность легко накормить до отвала всех котиков и собачек или, наоборот, напрочь лишить их еды и воды, пока хозяин в отпуске⁵⁹.

Распределение кибератак по целям представлено в табл. 1.

Таблица 1

Распределение кибератак по целям⁶⁰

Интересно, что в России разработано одно из самых эффективных противоядий – антивирус Касперского, до недавнего времени использовавшийся даже в американском министерстве обороны – Пентагоне⁶¹.

Отождествляя финансовые отношения с IoT-технологиями, не стоит забывать о распространении хищений денежных средств, сбоях в работе СЭБ и, как следствие, снижении доверия к использованию IoT-услуг кредитно-финансовых организаций (возрастании операционных и репутационных рисков). В России уже сегодня применяется следующая схема кражи: чтобы снять деньги со счета, мошенники прикладывают устройство беспроводного терминала к карману или сумке. Считыватели бесконтактных карт работают на расстоянии до 20 см, а ведь, как известно, злоумышленники находятся в местах массового скопления людей. К тому же мобильные терминалы не являются редкостью, достать их проблем не составляет. Считыватель карт можно даже собрать кустарным способом с помощью нехитрых радиокомпонентов, которые легко заказать онлайн⁶².

Цифровой банк станет банком расширенного финансового обслуживания, поскольку будет учитывать транзакции «человек-человек», «человек-машина» и даже «машина-машина». Взаимодействовать можно будет со всем, от одежды до эскалаторов, с помощью чипов радиочастотной идентификации – RFID⁶³, встроенных повсюду. Это означает, что все будет взаимодействовать со всем, разумно и без проводов, с помощью интернета вещей: он являет нам новый дополненный мир виртуальной реальности и вместе с тем несет множество новых угроз как для самих устройств, так и для платформ, на которых они работают. Финансовым организациям понадобятся технологии защиты от хакерских атак и непосредственного физического взлома «девайсов». Проблема усугубляется тем, что с целью снизить затраты потребителей большинство IoT-устройств создают с применением простейших операционных систем и процессоров, не поддерживающих сложные средства защиты.

Поэтому банки сегодня должны попытаться продумать, какого рода операции они будут предлагать и осуществлять в условиях, когда все устройства соединены между собой, могут взаимодействовать друг с другом и участвовать в торговле. Вот часть вопросов, на которые необходимо ответить:

1. Каким образом будут предоставляться IoT-услуги?

2. Кто будет выступать провайдерами?

3. Как будут обеспечиваться безопасность и аутентификация?

4. Когда банки начнут вводить продукты и услуги, использующие новые возможности [77, с. 285]?

Самые очевидные угрозы, вызванные тем, что устройства общаются посредством интернета, – это воровство данных, получение доступа к «умным» устройствам и блокирование устройств (например, с помощью DDoS-атаки). Оптимизация финансовых отношений на основе внедрения IoT-технологий будет осуществляться посредством СЭБ. И самый большой потенциал повышения безопасности СЭБ с помощью технологий кроется в использовании биометрических данных клиентов. Наиболее очевидный вариант – отпечатки пальцев или система распознавания лиц для удостоверения личности пользователя.

Применение биометрических данных имеет два преимущества. Первое – оно не позволит преступникам подобрать пароль или PIN-код, воспользоваться украденной картой или скопировать ее. Второе – это ускорение и улучшение обслуживания клиентов. Нам нужно помнить и вводить так много личных номеров и паролей, что распознавание биометрических данных кажется весьма привлекательной перспективой. Затраты на встраивание функции распознавания биометрических данных в СЭБ обязательно окупятся благодаря своей результативности. С учетом повсеместного использования технологии распознавания отпечатков пальцев в IoT-устройствах и мобильных телефонах признание новшества клиентами не будет проблемой. В зависимости от качества АПО, используемого в технологиях распознавания биометрических данных, угроза кражи денег и конфиденциальной информации у клиентов организаций кредитно-финансовой сферы может быть снижена или вовсе сведена к минимуму.

Хотя само биометрическое оборудование стоит недешево, модификация программного обеспечения и соответствующего процесса идентификации потребует от банков значительных инвестиций. По этой причине сегодня только две страны – Колумбия и Япония – внедрили в банкоматы систему распознавания биометрических данных.

Распознавание биометрических данных очень привлекательно для растущих рынков, особенно в бедных, менее развитых странах, где банкоматы появились сравнительно недавно. Расширение их применения тормозится распространением PIN-кодов и необходимостью хранения карт и PIN-кодов отдельно. Это относится в первую очередь к бедным регионам, где людям непросто запомнить PIN-коды, а их использование небезопасно.

Более интересна «биометрическая интеграция» с IoT-технологиями (распознавание лиц при приближении), которая позволит узнавать клиента и показывать подготовленные специально для него послания, основанные на портфеле продуктов этого клиента или его недавних финансовых операциях. Цифровые видеостены⁶⁴ уже используют технологию распознавания лиц и могут «сказать», какого пола клиент, стар он или молод, расстроен или доволен.

Для создания позитивного опыта самообслуживания банкам будет очень важно найти правильное сочетание персонификации, отклика на нужды отдельно взятого клиента, правил конфиденциальности и безопасности. Это позволит сделать использование цифровых технологий более личным и человечным.

2.5. Кибербезопасность в условиях развития интернета вещей и электронного банкинга

Мудрец будет скорее избегать болезней, чем выбирать средства против них.

Томас Мор, английский гуманист, государственный деятель и писатель

Проблема интернета вещей в том, что IoT-системы создают новые точки доступа для хакеров. Входом в систему может стать сетевой принтер, предоставляющий хакерам маршрут доступа к компьютерам в сети финансовой организации, или мобильное устройство, которое имеет доступ к системе радиосвязи высокотехнологичного автомобиля. Стоит признать, что киберпреступники всегда на шаг впереди, они нападают внезапно и могут использовать нешаблонные способы атак. В связи с этим производители средств защиты вынуждены постоянно обороняться, то есть искать защиту в условиях жесткого лимита времени, поскольку самый большой вред причиняют именно атаки «нулевого дня» (когда «противоядие» еще не найдено). В некоторых случаях защищаться приходится от того, о чем есть крайне поверхностное представление: отсутствуют данные о количестве подобных атак на банки, произошедших ранее, о способах заражения программного обеспечения, о действиях злоумышленников в определенных ситуациях и т. п.

При отсутствии взаимодействия противостояние осуществляется практически вслепую. Это все равно что вести войну, не имея сведений о численности и дислокации врага, об используемом им вооружении и источниках подкрепления.

Кибербезопасность организаций кредитно-финансовой сферы должна базироваться на готовности подразделений безопасности противостоять новым кибератакам, понимании всего спектра угроз в отношении организации в целом и распределения приоритетов между активами организации и их защитой⁶⁵.

К факторам, повышающим уровень воздействия кибератак, относятся:

– отсутствие отлаженного правового и организационно-технического обеспечения законных интересов граждан, государства и общества в области кибербезопасности (в т. ч. в условиях применения СЭБ);

– высокая латентность⁶⁶ киберпреступлений и недостаточное осознание органами государственной власти на федеральном и особенно региональном уровне возможных политических, экономических, моральных и юридических последствий компьютерных преступлений;

– слабая координация действий правоохранительных органов, суда и прокуратуры в борьбе с киберпреступлениями, неподготовленность их кадрового состава к эффективному предупреждению, выявлению и расследованию таких действий;

– несовершенство системы единого учета правонарушений, совершаемых с использованием средств информатизации;

– отсутствие у Банка России подразделений по надзору за применением IoT-технологий в организациях кредитно-финансовой сферы (ОКФС) и обеспечением кибербезопасности;

– существенное отставание отечественной индустрии средств и технологий информатизации и кибербезопасности от мирового уровня;

– ограниченные возможности бюджетного финансирования научно-исследовательских и опытно-конструкторских работ по созданию правовой, организационной и технической баз кибербезопасности.

Безопасность всего пространства интернета вещей должна обеспечиваться еще на уровне создания архитектуры (тем более для ОКФС). Иными словами, необходимо выстроить защиту от любых вредоносных действий еще при разработке протоколов и устройств интернета вещей. Поэтому эффективные решения по безопасности должны быть найдены на этапе развертывания инфраструктуры банковских сервисов.

Учитывая тот факт, что кредитно-финансовая сфера становится одной из самых привлекательных для киберпреступников (о чем свидетельствует значительный рост числа киберпреступлений и целевых атак на банки), а также важность оптимизации финансовых решений в условиях интернета вещей, необходимо оперативно принять меры для обеспечения повышенного уровня кибербезопасности (особое внимание должно быть обращено на СЭБ). Ведь мир, где все соединено со всем и каждая вещь потенциально участвует в торговле, предоставляет огромные возможности не только банкам, но и киберпреступникам. Например, только за четвертый квартал 2015 г. в России со счетов клиентов кредитно-финансовых организаций были похищены денежные средства на сумму, превышающую 1,5 млрд руб.⁶⁷

Пожалуй, единственный способ защитить все устройства, объединенные интернет-сетью, – это надежная защита единого центра управления интернетом вещей [91, c. 271].

Учитывая, что финансовый и банковский сектора наиболее восприимчивы к внедрению новейших достижений в области ИКТ, рассмотрим три основных направления совершенствования кибербезопасности в условиях применения СЭБ и интернета вещей (рис. 30).

По мнению авторов, это далеко не полный перечень мероприятий, которые следует реализовать в рамках обеспечения кибербезопасности в условиях применения интернета вещей. Ведь на практике каждое направление будет включать в себя гораздо больше задач. В перспективе нужно стремиться не только создать систему надзора в виртуальном пространстве, но и повысить культуру поведения в нем всех участников информационного обмена. Компании должны хорошо понимать, что за рекламой различных IoT-систем стоит их ответственность за качество предоставляемых услуг. Финансовым институтам необходимо использовать защищенные программные продукты для IoT-систем, иметь квалифицированный обслуживающий персонал, способный оперативно и грамотно реагировать на кибератаки, а также готовый всегда прийти на помощь клиентам, оказавшимся в трудной ситуации.

2.6. Типовые атаки на организации кредитно-финансовой сферы

– Как ты думаешь, в этом лесу есть что-нибудь съедобное?

– Да, – горько отозвался волшебник. – Мы.

Терри Пратчетт.

Безумная звезда

Кредитные организации в соответствии с п. 3 ст. 27 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] обязаны обеспечивать защиту информации при осуществлении переводов денежных средств в соответствии с требованиями, установленными Банком России и согласованными с федеральными органами исполнительной власти. Требования к обеспечению защиты информации при осуществлении переводов денежных средств установлены Положением Банка России от 09.06.2012 № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» [21] (далее – Положение № 382-П).

Рис. 30. Направления совершенствования кибербезопасности в условиях применения СЭБ и интернета вещей

Необходимо отметить, что именно соблюдение кредитными организациями указанных требований позволит существенно снизить вероятность успешного исхода при проведении злоумышленниками атакующих действий. Векторы атак злоумышленников не всегда одинаковы, однако их можно классифицировать по основным группам и «точкам приложения».

2.6.1. Целевые атаки на кредитные организации

В последние три года эксперты ФинЦЕРТ Банка России отмечают увеличение количества целевых атак на ОКФС. При компрометации информационных систем и сетей используются инструменты, предназначенные для проведения тестов на проникновение.

К таким инструментам можно отнести Metasploit Framework и основанные на Metasploit решения: Cobalt Strike, Armitage, Empire. Например, в 2017 г. ущерб от атак с использованием набора программ Cobalt Strike, разработанного американской компанией Strategic Cyber, LLC, согласно Обзору основных типов атак в кредитно-финансовой сфере, превысил 1 млрд руб. Данные инструменты, разработанные с применением техник, затрудняющих их обнаружение в системе, предоставляют простой механизм удаленного управления зараженными компьютерами, а также включают в себя утилиты, предназначенные для сбора информации о сети организации и хищения данных (паролей, документов и пр.).

Особенностью указанных атак является то, что они не требуют от атакующих особых технических знаний. Большинство компонентов уже соответствующим образом подготовлены производителями программного обеспечения.

Типовая схема целевой атаки на кредитную организацию выглядит следующим образом:

– производится массовая рассылка на адреса ОКФС электронных писем, содержащих вредоносные вложения;

– в случае запуска вредоносного вложения происходит скрытое внедрение программ (чаще всего загрузчика) в компьютер неосторожного получателя;

– после скачивания загрузчика на компьютере устанавливается компонент Beacon (основной инструмент из набора Cobalt Strike) и атакующий получает возможность удаленного доступа к зараженному компьютеру;

– атакующий проводит исследование доступных с зараженного компьютера сегментов сети и пытается открыть доступ к контроллеру домена сети для последующего получения паролей администраторов. Чтобы получить пароль, могут быть использованы возможности специальных инструментов (например, Mimikatz);

– после получения доступа к контроллеру домена и администраторских паролей атакующий ищет в сети интересующие его серверы и компьютеры. Прежде всего проводится поиск компьютера или сервера, с которого есть доступ в подсеть, где находятся банкоматы или иные сегменты сети (например, сегмент процессинга платежных карт);

– на банкоматах устанавливается программное обеспечение, действующее предположительно через программный интерфейс XFS и обеспечивающее выдачу денежных средств по команде, подаваемой удаленно. После получения контроля над банкоматами к процессу привлекаются соучастники, занимающиеся получением денежных средств. Их задача – присутствовать около банкоматов в заранее оговоренное время. После успешной выдачи денежных средств программное обеспечение с банкоматов, как правило, удаляется;

– в случае получения доступа к процессингу платежных карт привлекаются соучастники, занимающиеся оформлением на подставных лиц платежных карт атакованной организации. Карты консолидируются в руках лиц, которые получают денежные средства. Их задача – обеспечить снятие денежных средств в банкоматах непосредственно после того, как балансы и лимиты карт будут повышены в системе процессинга. В ходе получения денег соучастниками оператор может продолжать поднимать лимиты снятия или увеличивать балансы карт;

– в случае получения доступа к компьютерным средствам сегмента платежной системы Банка России (АРМ КБР) или системы переводов SWIFT осуществляются платежи на заранее подготовленные счета. Далее денежные средства переводятся с этих счетов и обналичиваются по стандартным для компьютерной преступности схемам.

Схемы атак, направленных на банкоматы и процессинг, представлены на рис. 31 и 32.

2.6.2. Атаки с применением методов социальной инженерии в отношении сотрудников банка

Начиная с 2017 г. ФинЦЕРТ Банка России сообщает в публикуемых им материалах о так называемой атаке с применением методов социальной инженерии в отношении кассиров кредитных организаций. Суть атаки заключается в том, что на кассиров оказывают психологическое воздействие, вынуждая их совершить перевод денежных средств на платежные карты злоумышленников. В общем виде указанная атака выглядит следующим образом.

Рис. 31. Атака, направленная на банкоматы

Рис. 32. Атака, направленная на процессинг

Сотруднику банка (кассиру) на внутренний телефон звонит злоумышленник, представляясь сотрудником этого же банка. После непродолжительной беседы мошенник сообщает о необходимости протестировать автоматизированную систему банка, при этом для осуществления тестирования ему якобы нужно, чтобы кассир перевел определенную сумму денежных средств с расчетного счета банка на свою собственную платежную карту. Затем злоумышленник сообщает кассиру, что система работает нормально и денежные средства можно возвращать обратно на расчетный счет. Преступник называет кассиру иные реквизиты (например, номер своей карты или своего расчетного счета), что в итоге приводит к перечислению денежных средств не на счет, с которого они были списаны, а на счет мошенника. После совершения всех процедур кассир начинает осознавать свою роль в атаке.

Следует отметить, что реализация подобных схем атак происходит в результате нарушения кассиром внутренних процедур контроля (мониторинга) соблюдения установленной технологии подготовки, обработки, передачи и хранения электронных сообщений и защищаемой информации на объектах информационной инфраструктуры.

2.6.3. Атаки на системы дистанционного банковского обслуживания, используемые юридическими лицами

Согласно Обзору несанкционированных переводов денежных средств за 2018 г., почти половина хищений совершается в результате получения злоумышленниками доступа к управлению счетами организации в системе ДБО путем установки на компьютере версии вредоносного программного обеспечения (ВрПО), предоставляющего следующие возможности:

– получение удаленного доступа к зараженному компьютеру;

– кража учетных данных, используемых в системах ДБО;

– перехват и подмена реквизитов в платежных поручениях, направляемых через системы ДБО;

– создание подложных платежных поручений и отправка их в кредитную организацию.

Распределение причин несанкционированных списаний со счетов юридических лиц в 2018 г. представлено на рис. 33.

Рис. 33. Причины несанкционированных списаний со счетов юридических лиц в 2018 г. (%)

Перечислим следующие основные каналы попадания вредоносного программного обеспечения на компьютер клиента кредитной организации:

– массовая рассылка на адреса клиентов ОКФС электронных писем, содержащих вредоносные вложения;

– массовая рассылка на адреса клиентов ОКФС электронных писем, содержащих ссылки на ресурс, на котором размещено вредоносное программное обеспечение;

– использование техники watering hole, которая заключается во взломе популярных веб-сайтов заданной направленности (в случае с сотрудниками финансовых подразделений – СМИ и порталов бухгалтерской или экономической тематики) с последующим размещением на них вредоносного программного кода, предназначенного для загрузки на средства вычислительной техники при посещении взломанного ресурса пользователями – объектами атаки;

– установка клиентом на средства вычислительной техники программного обеспечения из недоверенных источников.

Стоит отметить, что даже новые экземпляры вредоносного программного обеспечения обычно имеют высокий уровень детектируемости популярным антивирусным программным обеспечением. При этом первичное проникновение часто осуществляется за счет эксплуатации уязвимостей, информация о которых давно опубликована (как и в случае с атаками непосредственно на кредитно-финансовые организации), либо с использованием программ-контейнеров, детектирующихся эвристически почти всеми распространенными антивирусными программами. Таким образом, наиболее эффективный метод противодействия подобным атакам зачастую заключается в поддержании актуального состояния антивирусных баз и своевременном обновлении программного обеспечения – как системного, так и прикладного.

2.6.4. Атаки на клиентов – физических лиц

Для получения денежных средств клиентов мошенники используют различные способы атак. При этом главной особенностью атак на клиентов – физических лиц является именно эксплуатация уязвимости, связанной с человеческим фактором, то есть использование методов социальной инженерии. Беспечность, любопытство, доверчивость или стремление сэкономить – основные черты, которые используют злоумышленники для того, чтобы получить доступ к платежным реквизитам граждан или побудить их добровольно (в юридическом смысле) расстаться с деньгами.

Согласно Обзору несанкционированных переводов денежных средств за 2018 г., методы социальной инженерии применяются злоумышленниками при распространении информации (например, с использованием услуг, предоставляемых операторами связи, ресурсов в интернете, в т. ч. электронной почты), побуждающей клиента сообщать сведения, необходимые для осуществления переводов денежных средств от его имени, в том числе аутентификационные данные (97 % всех атак на клиентов) (рис. 34).

В основе атак, связанных с телефонным мошенничеством и рассылкой SMS с текстом наподобие «ваша карта заблокирована», лежат базовые принципы психологического воздействия на субъекта, в частности так называемого «мягкого» воздействия. Задача злоумышленников сводится к попытке преодолеть недоверие и побудить жертву сообщить платежные реквизиты или совершить перевод самостоятельно. Указанной атаке подвергаются практически все сегменты платежеспособного населения, однако наиболее часто преступники стремятся воздействовать на наименее защищенных граждан, для которых характерен низкий уровень финансовой грамотности и киберграмотности (пенсионеров, лиц с особыми потребностями, жителей удаленных от федерального центра регионов и небольших городов).

Рис. 34. Причины совершения несанкционированных операций с использованием платежных карт в 2018 г. (%)

Для экономически активной части населения, пользующейся интернетом, актуальны другие способы установления контакта. В первую очередь это спам-рассылка писем, содержание которых рассчитано на разные категории получателей. Это сообщения о скидках, компенсациях, предложения знакомства и другие заманчивые предложения, содержащие вредоносные файлы или ссылки на фишинговые веб-сайты, которые сами по себе также являются способом коммуникации мошенников с жертвами. Получив такое письмо, человек открывает файл или переходит по ссылке, результатом чего становятся заражение устройства и компрометация платежных данных его владельца.

Распространенным методом осуществления несанкционированных переводов денежных средств с использованием мобильного устройства является его заражение вредоносным кодом. Применение методов социальной инженерии (ссылки в SMS, реклама на веб-сайтах) существенно повышает вероятность заражения мобильного устройства. При этом злоумышленник получает возможность составлять распоряжения об осуществлении переводов денежных средств, а владельцу телефона уведомления о совершении операций могут быть недоступны.

Кроме того, следует отметить случаи взлома аккаунтов в социальных сетях с целью рассылки по списку контактов их владельцев просьб о материальной помощи от их имени. Таким образом, наименее квалифицированными преступниками монетизируется наиболее дешевый «материал», возникающий как результат работы индустрии компьютерной преступности. Доступы к аккаунтам в социальных сетях продаются на закрытых ресурсах оптом. Единица измерения этого товара – тысяча, а цены – от нескольких долларов за единицу (т. е. за тысячу). Реквизиты доступа попадают в распоряжение взломщиков в процессе эксплуатации обширных бот-сетей. Из непригодных к чему-либо другому ботов – зараженных компьютеров «выжимают» хотя бы доступы к каким-либо сетевым ресурсам, которые потом продают. И это доступы не только к социальным сетям, но и к электронной почте, файловым хранилищам, веб-серверам. Монетизацией такого «материала» занимаются скупающие его преступники, зачастую начинающие, которые не нашли себе другой криминальной профессии. В то же время нужно ожидать, что по мере снижения доходов от хищений преступность будет уделять все больше внимания компьютерам и аккаунтам простых обывателей, изыскивая любые новые возможности извлечения дохода, даже если для этого потребуются тщательный поиск и анализ компрометирующей информации, перехват переписки, шантаж, угрозы, вымогательство, продвинутые схемы мошенничества.

2.6.5. Атаки на устройства самообслуживания (отмена транзакции)

В 2018 г., согласно данным, которые указывает Банк России в Обзоре несанкционированных переводов денежных средств, были зафиксированы следующие способы воздействия на банкоматы:

– прямое подключение к банкомату технических устройств, позволяющих им управлять;

– удаленное управление банкоматом, платежным терминалом, в том числе вследствие заражения вредоносным кодом;

– физическое воздействие на банкомат, платежный терминал (взрыв, взлом и т. д.).

В качестве основных способов воздействия на банкомат следует указать атаку типа blackbox и проникновение в банкомат изнутри локальной сети банка для загрузки программного обеспечения, взаимодействующего с диспенсером и обеспечивающего выдачу наличных денежных средств. Основное различие в фиксируемых атаках типа blackbox и атаках изнутри сети кредитной организации – в способе доставки вредоносного программного обеспечения.

Атака blackbox обычно начинается со вскрытия передней панели банкомата и подсоединения стороннего устройства. Чаще всего такое устройство представляет собой переходник – конвертер интерфейсов, например USB-RS485. Переходник через USB-кабель подключается к портативному компьютеру. Как правило, это недорогие, бывшие в употреблении ноутбуки, которые злоумышленникам не жалко бросить на месте проведения атаки. На компьютере установлена программа удаленного администрирования, например TeamViewer. С ее помощью подключается находящийся на удалении сообщник (либо организатор), запускающий программу, которая взаимодействует с диспенсером банкомата. От подобного рода воздействий может дополнительно защитить включение шифрования данных, передаваемых между диспенсером и системным блоком банкомата, однако на старых банкоматах или банкоматах, расположенных в удаленных от федерального центра регионах, такое шифрование применяется не всегда.

Вторая из наиболее популярных атак на устройства самообслуживания получила название TRF-атаки (transaction reversal fraud – мошенничество с отменой транзакций). Можно выделить два основных способа осуществления TRF-атаки: первый использует конструктивный недостаток отдельных моделей банкоматов, которые подготавливают денежные средства к выдаче, но держат их за закрытой шторкой шаттера («пре-кэш»); второй направлен на нарушение логики работы процессингового программного обеспечения.

В первом случае злоумышленник осуществляет «стандартный» съем наличных денежных средств, но не забирает карту из картоприемника. За время, пока банкомат не изъял карту, злоумышленник взрывает шторку шаттера, повреждая механизм шторки, и забирает подготовленные денежные средства. При этом банкомат прекращает клиентское обслуживание («out of service») и считает, что денежные средства не выданы, в результате чего происходит восстановление баланса на счете клиента.

Во втором случае эксплуатируется некорректность настроек некоторых процессинговых систем. Ошибка заключается в последовательности обработки запросов банка-эквайрера и банка-эмитента при выполнении операции возврата денежных средств на платежную карту отправителя, когда денежные средства переводятся от клиента к клиенту. Банк возвращает денежные средства на платежную карту отправителя, а от банка – эмитента платежной карты получателя приходит отказ в списании денежных средств, при этом с карты получателя деньги не списываются. В максимально короткое время после проведения такого рода операции происходит обналичивание обеих платежных карт во избежание блокировки денежных средств.

Упрощенно данный вид TRF-атаки выглядит следующим образом:

– в банкомате выбирается тип операции – Р2Р-перевод (от клиента к клиенту), указывается номер карты получателя;

– банк-инициатор одновременно направляет два авторизационных сообщения: банку получателя и банку отправителя;

– банку-инициатору практически одновременно приходит одобрение от обоих банков (в случае если операция возможна: имеется необходимое количество денежных средств на балансе карты отправителя и т. д.);

– выполняется фактический перевод: увеличивается сумма на карте получателя, одновременно такая же сумма холдируется у отправителя. Сценарий Р2Р-перевода в банкомате при этом еще не закончен;

– банкомат «спрашивает» у отправителя согласие на списание комиссионных за операцию;

– отправитель не соглашается, поэтому банк-инициатор отправляет в банк отправителя и банк получателя сообщение о возврате денежных средств;

– холд со счета отправителя снимается, вместе с тем денежные средства уже выведены получателем.

Согласно данным, представленным в отчете ФинЦЕРТ Банка России за 1 сентября 2017 г. – 31 августа 2018 г., в отчетном периоде отмечено отсутствие атак вида cash trapping. Суть атаки заключается в установке на банкомат специального устройства, удерживающего выдаваемую наличность для ее хищения после того, как клиент, пытавшийся снять денежные средства, отойдет от банкомата. Типовая конструкция таких «ловушек» позволяет захватывать до четырех купюр. По всей видимости, низкая распространенность таких атак обусловлена именно тем, что сумма денежных средств, получаемая злоумышленником в результате успешного проведения атаки, небольшая [18, с. 33].

Кроме того, в последнее время эксперты по информационной безопасности отмечают существенное снижение числа атак типа skimming и shimming, которые заключаются в копировании данных платежной карты с магнитной полосы и микропроцессора соответственно. Такая тенденция обусловлена тем, что копирование данных с магнитной полосы платежной карты – занятие бесперспективное, поскольку кредитные организации обязаны осуществлять переводы денежных средств с применением платежных карт, оснащенных микропроцессором (п. 2.19 Положения № 382-П), а копирование данных с микропроцессора платежной карты с последующей корректной обработкой клона карты банком-эмитентом в Российской Федерации бесполезно.

3. Влияние «теневого интернета» на безопасность электронного банкинга

Опыт – самый лучший учитель, только плата за обучение слишком велика.

Томас Карлейль, английский философ

Введение

Опасность тем страшней, чем она маловероятней.

Джон Голсуорси, английский прозаик и драматург

Конец XX и начало XXI вв. олицетворяют собой быстрое развитие информационных технологий, которые существенно упрощают жизнь людей и позволяют им вести более динамичный образ жизни, сосредоточив свои усилия на организации решения той или иной задачи, а не на ее самостоятельном решении. Жизнь человека уже не представляется возможной без мобильных устройств, компьютеров, технологий «умного дома», корпоративных систем, систем электронного правительства, электронных денег, ЭБ и, конечно же, локальных и глобальных сетей.

Специфика интернета размывает такие привычные понятия, как государственные границы, начало и конец совершения преступления, традиционная идентификация индивидуума и т. д. Однако специфичность виртуальной среды не отменяет законы и признанные правила реального мира. Свобода слова, неприкосновенность жизни человека, защита прав физических и юридических лиц, интеллектуальной собственности, легальность денежной эмиссии, обеспечение защищенного перевода денежных средств по-прежнему остаются актуальными проблемами, в связи с чем повышается значимость вопросов информационной безопасности.

Работа ведется на всех уровнях: от защиты пароля персонального компьютера владельцем до противодействия кибертерроризму и кибершпионажу со стороны органов государственной безопасности. И чем активнее повседневные процессы переносятся в виртуальное пространство, тем острее становятся вопросы безопасности. Это обусловлено неизменностью человеческой сущности, которая может породить действия как хулиганского характера (пример: молодой человек, который создает дома вредоносное программное обеспечение и распространяет его посредством электронной почты), так и идеологического характера (пример: применяемая в КНР практика подготовки хакеров, которые в дальнейшем атакуют серверы государственных служб других стран)⁶⁸.

Технологии обхода защитных средств и технологии защиты развиваются в совместном противоборстве, и бывает так, что одни технологии переходят в другие. Хорошим примером являются технологии так называемого «теневого интернета» (примером могут служить системы TOR и I2P).

«Теневой интернет» представляет собой часть интернета, которая скрыта от непосвященных людей, не имеющих идентификатора для работы со скрытыми сервисами. Эти технологии предположительно были созданы спецслужбами Соединенных Штатов Америки для обеспечения конфиденциальности работы агентов⁶⁹. В итоге «теневой интернет» стал решать задачи совершенно иного характера, в том числе связанные с незаконными сделками по продаже наркотиков, вооружения, организацией заказных убийств, а также взаимодействием террористических и радикальных ячеек по всему миру с целью организации акций устрашения. «Теневым интернетом» пользуются и различные хакерские группы, например Anonymous, цель которых – отстаивание свобод человека и неприкосновенности его жизни. Такой феномен, как группа Anonymous, вызывает общественный резонанс, потому что действия группы, с одной стороны, не направлены на извлечение прибыли, а с другой – являются незаконными, поскольку обычно влекут за собой порчу чужого имущества (визуального представления официального веб-сайта, оборудования и т. д.).

В условиях размытости границ в интернете, а также плотного взаимодействия индивидуумов одна и та же группа лиц зачастую может по заказу выполнять действия как мошеннического, так и террористического характера, что обостряет необходимость поиска и нейтрализации злоумышленника, какие бы цели он ни преследовал.

Банковский сектор как основной поставщик услуг ЭБ является одной из приоритетных целей злоумышленников. Это связано с намерениями мошенников незаметно украсть электронные денежные средства клиентов банка или самого банка.

Несмотря на повышенную угрозу хищений электронных денежных средств, а также возможные санкции со стороны контрольно-надзорных органов, руководство кредитных организаций не всегда в должной мере осознает необходимость увеличения расходов на обеспечение информационной безопасности, а иногда и вообще идет по пути максимального сокращения сотрудников информационной безопасности в целях уменьшения расходов. Сотрудникам профильных подразделений бывает трудно убеждать руководство, пытаясь «на пальцах» объяснить модель угроз и рисков и подкрепить свои доводы статистикой инцидентов. Сказывается инерция высшего образования: вузов, в которых ведется подготовка по специализации «информационная безопасность банков», буквально единицы.

Эта и ряд других проблем обеспечения информационной безопасности в гражданских публичных сферах в значительной мере связаны с тем, что данная проблематика появилась в России относительно недавно.

3.1. Проблемы политического характера

Если у вас нет денег, вы все время думаете о деньгах. Если у вас есть деньги, вы думаете уже только о деньгах.

Пол Гетти,

американский нефтяной магнат и промышленник, один из первых в истории долларовых миллиардеров, учредитель Музея Гетти

Данные проблемы можно условно разделить на два типа:

– возможные зарубежные санкции и их последствия;

– агрессивные (военные) действия в киберпространстве со стороны враждебно настроенного государства или террористических формирований (экстремистских ячеек).

В первом случае необходимо обратиться к опыту 2014 г., когда по решению США платежные системы перестали обслуживать держателей карт некоторых российских банков. Под санкции попали крупные государственные банки (с государственным участием): ОАО «Сбербанк России», ОАО «Банк ВТБ», а также сравнительно небольшие ОАО «СМП-Банк» и ОАО «АБ «Россия».

Потенциальной угрозой для российских банков и платежных систем являются новые зарубежные санкции, которые могут быть поддержаны иностранными производителями программного обеспечения. Возможна заморозка не только поставок новых продуктов, но и обновления уже работающих версий.

Следует помнить, что программное обеспечение банковских автоматизированных систем и систем ДБО во многом базируется на продукции Oracle, Microsoft, Symantec, Cisco и других иностранных компаний, даже если они работают в России через дочерние организации. Эти компании в один «прекрасный» момент могут, сославшись на санкции, прекратить поддержку своих продуктов в организациях из санкционных списков.

Из-за этого критически возрастут уязвимости, которыми способны воспользоваться злоумышленники. Но налицо будет и угроза блокировки операционной деятельности банка извне, что сделает невозможными расчеты между клиентами, в частности торговыми предприятиями (например, сети продуктовых магазинов со складом).

В результате осуществления этой угрозы торговым предприятиям придется платить штрафы по договорным обязательствам, прекратится поступление продукции на прилавки, начнутся отток покупателей и уменьшение товарооборота. Банк же потеряет реальную прибыль, так как однодневный простой для него выражается в многомиллионных суммах. В худшем случае банк может лишиться клиента.

Тем не менее, санкции обычно носят временный характер, что хорошо видно на примере Ирана. С 2006 г. страна находилась под различными санкциями. Однако в 2015–2016 гг. большая часть из них была снята, в том числе блокирование доступа к системе SWIFT, которая используется для международных переводов между банками.

Во втором же случае речь идет о военных действиях (кибервойнах), направленных на дестабилизацию работы банковских сервисов, включая ЭБ. Конечно, в большой степени это касается банков, обслуживающих крупные предприятия России: заводы, фабрики, сектор добычи полезных ископаемых, атомную отрасль и т. д.

Ни для кого уже не секрет, что по требованию американских спецслужб разработчики закладывают уязвимости в информационные системы и оборудование, производимые в США. По аналогичному пути идут разработчики КНР и Израиля. Эти страны преследуют различные цели: начиная от разведывательных, то есть сбора информации, и заканчивая удаленным выведением из строя систем или оборудования, уничтожением данных и т. д.

Кроме того, во многих странах идет подготовка войсковых киберподразделений, которые решают задачи нанесения противнику ущерба в киберпространстве.

Хорошим примером может послужить атака, предположительно со стороны ВМС США и Израиля, на ядерный центр Ирана в 2010 г., когда с помощью вируса было выведено из строя 100 ядерных центрифуг. Ирану потребовалось два года, чтобы возобновить исследования в ядерной области⁷⁰.

В случае атаки на крупный или средний российский банк, включая его резервные центры (резервные ЦОД), можно получить ситуацию экономического коллапса, так как географически распределенные организации не смогут осуществлять переводы ни с помощью интернет-банкинга, ни при личном визите клиента. Прекратится товарооборот, начнутся повсеместный голод, волнения. То есть страна будет оккупирована в считанные дни без ввода войск.

Для решения подобных проблем необходимы государственное участие и системный подход, в том числе поддержка научных исследований и разработчиков решений по информационной безопасности, а также государственное субсидирование отечественных предприятий – производителей ИТ-оборудования и программного обеспечения.

3.2. Проблема «теневого интернета» на примере системы TOR и идентификации злоумышленников

Всякая вещь в природе является либо причиной, направленной на нас, либо следствием, идущим от нас.

Марсилио Фичино, итальянский гуманист и философ

Для кражи денежных средств клиента или банка злоумышленники все чаще прибегают к системам «теневого интернета» как площадки для проведения операций с сокрытием личности преступника.

Существуют две схожие версии создания «теневого интернета».

Первая версия: «теневой интернет» – это следствие желания людей вести деятельность, не подконтрольную силовым ведомствам. Примером может быть переписка, в которой выражаются политические взгляды.

Вторая версия: «теневой интернет» – это инструмент для анонимного взаимодействия силовых ведомств со своими агентами, а также их финансирования с помощью виртуальной валюты, которая не подконтрольна традиционной банковской системе, что делает более успешным проведение операций этими агентствами.

Авторы склоняются ко второй версии, так как исходный код был разработан Военно-морскими силами Соединенных Штатов Америки, а в дальнейшем выложен в общий доступ (предположительно в целях масштабного развертывания за счет обывателей). Но в целом идея создания «теневого интернета» независимо от деталей сводилась к ведению скрытой, не подконтрольной кому-либо, деятельности. Технологии «теневого интернета» развивались стремительно. В начале это были ресурсы (файловые серверы, веб-сайты и т. д.), которые невозможно было найти через поисковые системы типа Google или Yandex. Сейчас же это широко развитые, гибкие, защищенные системы вроде I2P и TOR.

Следует заметить, что в основе работы большинства систем «теневого интернета» лежит технология NAT, проксирования и тоннелирования, позволяющая пользователям маскироваться. «Теневой интернет» дал надежное прибежище криминальному контингенту.

Вот несколько ярких примеров «луковичных» веб-сайтов из системы TOR, используемых в криминальных целях (на момент публикации часть веб-сайтов может не функционировать):

1) http://rumonv62ul3roit.onon – анонимный форум. Обсуждаются различные темы, включая изготовление оружия и наркотиков в домашних условиях, уход от правосудия;

2) http://clsvtzwzdgzkjda7.omon – форум хакеров. Активно обсуждаются вопросы, связанные со взломом сети, элементов банковской инфраструктуры, кражи денег с пластиковых карт;

3) http://silkroadvb5piz3r.onion – веб-сайт по продаже наркотиков, оружия, детской порнографии (рис. 35). Вход только по приглашению (технология приглашения на веб-сайт неизвестна, при входе требуется аутентификация). Первая версия веб-сайта закрыта ФБР США в 2013 г., третья версия веб-сайта закрыта ФБР США в 2017 г.;

Рис. 35. Веб-сайт по продаже наркотиков в сети TOR

4) http://665lw5dt6g32twwo.onion – веб-сайт российских националистов. На веб-сайте ведется централизованная координация действий участников, в том числе силовых акций и действий по подрыву доверия к ветвям власти.

Этот список – лишь выдержка из обширного перечня веб-сайтов «теневого интернета» в составе сети TOR. Очевидно, что более 90 % вебсайтов в «теневом интернете» используются в целях, далеких от законных. Следовательно, цели, заявленные при широком развертывании сетей типа TOR, такие как сохранение права человека на частную жизнь, не соответствуют действительности и в реальности сети используются для совершения незаконных действий и ухода от правосудия.

Согласно технической документации, размещенной на официальном веб-сайте разработчиков, сеть TOR представляет собой набор созданных на добровольной основе серверов, которые позволяют пользователям этой сети работать с ресурсами интернета, сохраняя свою анонимность и обеспечивая безопасность своих действий. Основной особенностью является создание набора тоннелей при соединении пользователя с каким-либо ресурсом. В отличие от прямых соединений пользователей при стандартной работе в интернете, это дает возможность публиковать любую информацию, не боясь быть идентифицированным кем-либо.

Заявленные разработчиками цели использования сети TOR:

– обычные граждане имеют возможность без отслеживания их действий посещать любые ресурсы интернета;

– журналисты могут взаимодействовать по защищенным каналам с диссидентами и осведомителями;

– некоммерческие организации могут работать за рубежом со своими домашними веб-сайтами, не уведомляя об этом;

– всевозможные группы активистов могут использовать данную систему для реализации прав и свобод граждан всего мира;

– ВМС США используют систему для сбора оперативной информации из общедоступных источников, чтобы скрывать адреса, принадлежащие ВМС США, и тем самым не привлекать внимания к своей активности.

Яркими представителями спонсоров развития сети TOR являлись и являются:

– ВМС США (2001–2006 гг.);

– Национальный научный фонд США (2007 г.);

– Google (2008–2009 гг.);

– Национальная исследовательская лаборатория США (20062010 гг.);

– Национальная христианская организация США – National Christian Foundation (2010–2012 гг.);

– Фонд Форда (2012–2014 гг.);

– Министерство иностранных дел Германии (2015 г.);

– Государственный департамент США – Бюро демократии, прав человека и труда (2017–2019 гг.).

Работа сети TOR представляет собой взаимодействие большого количества серверов, каждый из которых отдает часть пропускной способности своего интернет-подключения для нужд сети. Этот принцип схож с принципом работы пиринговых сетей. Любой пользователь сети TOR может через настройки программы предоставлять свой компьютер как сервер, тем самым развивая анонимную сеть и повышая собственную анонимность.

Браузер TOR, который предварительно устанавливается пользователем и работает в том числе как прокси-сервер, случайным образом выбирает несколько серверов из доступных (список серверов браузер TOR периодически скачивает с центрального сервера) и создает тоннель, проходящий через эти серверы. Трафик пользователя будет пропускаться через данный тоннель. У тоннеля есть вход (браузер TOR на компьютере пользователя) и выход (последний сервер в тоннеле).

TOR шифрует передаваемые пользователем данные открытыми ключами серверов, входящих в цепочку тоннеля (рис. 36). При этом компьютер пользователя отсылает данные на первый сервер в этой цепи, который снимает с данных свой слой шифра и передает их далее, а с реальной точкой назначения непосредственно общается сервер, служащий точкой выхода из тоннеля.

Рис. 36. Принцип работы сети TOR

Данная технология защищает пользователя от слежки и негативных последствий посещения специфических веб-сайтов в сети. В точке назначения невозможно определить IP-адрес и местонахождение пользователя, так как пользователь не связывается с ней напрямую; кроме того, серверы-посредники получают ограниченные, только необходимые, сведения.

К примеру, первый сервер в цепочке сети TOR, выбранный для тоннеля, не может точно определить, назначены ли данные для пользователя или он тоже является посредником в цепочке для другого пользователя. Ни один узел в цепочке тоннеля, кроме выходного сервера, не имеет доступа к передаваемым данным (в незашифрованном виде), так как это не нужно для их работы. Серверам из цепочки в тоннеле необходима лишь информация о том, какой следующий сервер в цепи посредников будет получать зашифрованное содержимое.

Для того чтобы каждый сервер в цепи имел только часть необходимой именно для него информации, используется шифрование с открытыми ключами. Данный метод шифрования хорошо себя зарекомендовал и очень надежен, и даже если отдельный сервер в цепочке находится под контролем противника, он не сможет получить информацию, предназначенную для других серверов в цепочке тоннеля.

Только последний сервер R3 в цепочке тоннеля может расшифровать передаваемые данные, которые он отсылает в конечный пункт назначения (интернет-ресурс). Обратный ответ он может доставить на компьютер пользователя таким же образом, с сохранением анонимности.

Другими словами, имеются:

– входной узел для первичного шифрования;

– посреднический узел, который осуществляет только обмен между узлами сети TOR;

– выходной узел, который является передаточным звеном между сетью TOR и интернет-ресурсом.

В последней версии TOR используются также сторожевые узлы, которые защищают от компрометации. Фактически они снижают вероятность компрометации, но не обеспечивают полную защищенность. В сети TOR также есть анонимные мостовые узлы, которые применяются для построения цепочек. Их основная цель – противодействовать блокированию узлов системы TOR по списку.

В качестве еще одной особенности можно отметить построение в системе TOR новой цепочки каждые 10 минут и наличие встроенных механизмов имитации работы некоторых протоколов с целью обеспечения защищенного обмена между мостами и узлами.

Однако следует заметить, что построение подобных географически распределенных цепей узлов сети снижает скорость работы в интернете.

Основные уязвимости, дестабилизирующие работу сети TOR, можно разбить на три вида:

– уязвимости браузера TOR, работающего на базе браузера Mozilla;

– уязвимости архитектуры сети TOR;

– уязвимости, связанные с работой других сервисов.

В первом случае речь идет об уязвимостях самого браузера и сопутствующих элементов – плагинов. Действительно, уязвимости браузера позволяют заинтересованным лицам произвести атаки на сам клиент. Однако даже с ресурсами Агентства национальной безопасности США уследить за всеми пользователями невозможно, учитывая, что устраняются уязвимости довольно быстро. Это подтверждается опубликованными в WikiLeaks документами, ранее украденными Эдвардом Сноуденом. К уязвимостям плагинов можно отнести внутренние ошибки Flash и HTML5, с помощью которых можно вынудить пользователя сети TOR отправить реальный адрес. В настоящий момент эти уязвимости стали менее актуальными в связи с отсутствием поддержки данных плагинов в последних версиях браузера TOR.

Во втором случае речь идет о еще менее эффективных способах, которые требуют использования высокопроизводительных компьютеров:

– атаке по времени, то есть расшифровке данных в результате анализа параметров времени шифрования. Эффективность этого способа низка, так как шифрование происходит на всех трех узлах цепи серверов TOR. Для анализа параметров времени шифрования необходимо слушать трафик на первом узле, однако использование сторожевых узлов сводит эту возможность к минимуму;

– глобальном пассивном наблюдении. Этот способ позволяет наблюдать отклонения по назначению трафика, тем самым выявляя нужный трафик. Однако при малых скоростях выявить отклонения невозможно, а работа пользователей TOR связана преимущественно с малыми скоростями, что обусловлено географической распределенностью узлов, которые участвуют в построении цепи;

– взломе и заражении мостов TOR c дальнейшей слежкой за пользователями, в том числе подменой ключей шифрования. Поиск мостов и их взлом также считаются малореализуемой задачей;

– выводе из строя сторожевых узлов с помощью DDoS-атак. В настоящее время эта уязвимость стала неактуальной, поскольку разработчики проекта TOR максимально скрывают адреса сторожевых узлов.

В третьем случае уязвимость связана с работой пользователей через TOR с системой Bitcoin. Методика использует уязвимость протокола криптовалюты, которая позволяет клиентам осуществлять свободный сбор статистики и произвольный выбор узлов. Поэтому атакующий, используя даже незначительное в общей массе количество случайных соединений, может собрать достаточно информации для последующего ее анализа. После накопления определенного массива данных, применяя DoS-атаку на сеть Bitcoin, можно деанонимизировать не менее половины ее пользователей. Так как в системе Bitcoin по умолчанию применяется бан IP-адресов, причастных к DoS-атакам, атака через выходные узлы TOR позволяет последовательно выводить из строя клиентов, работающих через эту анонимную сеть. И как следствие, становится возможным выделение тех IP-адресов, которые не работают с клиентом, выходящим в сеть через TOR. Опасность этой атаки заключается в том, что она работает, даже если соединения с Bitcoin зашифрованы. Однако атака неэффективна в случае краткосрочных действий пользователей в сервисе Bitcoin, не говоря о том, что работа с виртуальной валютой не является нарушением закона.

Новые исследования на тему уязвимостей TOR публикуются регулярно, однако в большинстве своем уязвимости или носят краткосрочный характер, то есть легко устраняются, или могут быть использованы только при каких-то ограничениях и (или) в малых сегментах сети.

В настоящий момент TOR остается одной из самых защищенных систем. В разных странах (в т. ч. силовыми ведомствами) ведутся работы по модификации TOR или использованию дополнительных программ вкупе с TOR с целью создания более защищенной системы.

Таким образом, система TOR является неотъемлемой частью «теневого интернета» и используется преимущественно для ведения незаконной деятельности, а также ухода от правосудия, в том числе при атаках на СЭБ. Несмотря на это, различные коммерческие и государственные организации (преимущественно из США) продолжают спонсировать данный проект под предлогом защиты прав человека. Технология работы сети, а также ее постоянное развитие не позволяют в полной мере противоборствовать незаконным действиям, совершаемым в ее рамках. А топология самой системы исключает возможность предотвратить ее использование, деанонимизировать большую часть пользователей, взломать сеть или вывести ее из строя, что заставляет применять инновационный подход к противодействию подобным сетям.

3.3. Описание сети I2P и принцип ее работы

Умеющий ходить – не оставляет следов, умеющий говорить – не совершает ошибок, умеющий запирать дверь – не пользуется замками, но запирает их так крепко, что открыть их невозможно.

Лао-цзы (Ли Эр), древнекитайский философ

Второй по популярности сетью в «теневом интернете» является I2P. Если TOR изначально создавалась именно для анонимной работы в интернете, представляет собой цепочку proxy-серверов и как результат развития позволяет теперь создавать веб-сайты не с ICANN-именами, то I2P представляет собой одну большую VPN-сеть, где шифруются IP-адреса и формируются тоннели разной длины. И основная цель такой сети – как раз анонимное высказывание своих мыслей в сообществе: работа в интернете из этой сети не может быть анонимной.

I2P была создана в 2003 г. и активно развивается вплоть до настоящего времени. Некоторые примеры веб-сайтов данной сети (на момент публикации веб-сайты могут быть не доступны):

– silkroadreloaded.i2p – продажа наркотиков;

– http://bitcoin4cash.i2p/ – покупка криптовалюты;

– http://duck.i2p/ – криптоказино.

Концептуальными элементами сети I2P являются:

– маршрутизаторы, которые участвуют в построении тоннелей;

– тоннели;

– сетевая база данных.

Первый элемент и является по сути элементом, анонимизирующим пользователей, так как работает не с реальными адресами, а с I2P-адресами каждого приложения, которое запущено у пользователя, обращающегося к маршрутизатору. Маршрутизаторы имеют как реальные IP-адреса, так и BP-адреса.

Второй элемент – это путь через цепочку маршрутизаторов. Тоннель выстраивается от отправителя к получателю данных. Если получатель планирует передать данные обратно отправителю, то выстраивается другой тоннель. Поэтому клиент всегда имеет входящий и исходящий тоннели (рис. 37).

Третий элемент – это базы, где хранятся сведения о маршрутизаторах и тоннелях (которые обновляются в режиме реального времени). При выстраивании тоннеля из базы берутся сведения о входящих и исходящих тоннелях получателя.

Основной принцип работы сети: любой клиент – это маршрутизатор. IP-адреса клиентов/маршрутизатор зашифрованы алгоритмом AES. Клиент знает только адреса ближайших маршрутизаторов.

Кроме технологии анонимизации работы пользователей, в данной сети все сообщения шифруются на четырех уровнях: сквозное, чесночное, тоннельное шифрование, а также шифрование транспортного уровня.

Главная особенность сети I2P заключается в том, что маршрутизация и построение тоннеля осуществляются не по общесетевым правилам, а по принципу передачи сообщения через API от одного клиента к другому: в начале происходит расшифровка части сообщения Java-приложением маршрутизатора, а затем узнается следующий маршрутизатор и пересылается нерасшифрованный вариант.

Рис. 37. Принцип работы сети I2P

Главной уязвимостью I2P, по мнению различных экспертов, является возможность перехвата всего тоннеля. Для обеспечения анонимности внутри I2P применяются тоннели, представляющие собой цепочки маршрутизаторов, через которые передаются сообщения. Тоннели бывают исходящие и входящие. Исходящие предназначены для сокрытия местоположения отправителя, а входящие – получателя. Потому LeaseSet’ы и представляют собой список входных узлов и идентификаторов входящих тоннелей, информация об исходящих тоннелях не публикуется. Местоположение второго конца тоннеля держится в секрете. Для получения ответов клиент посылает серверу собственный LeaseSet. Каким путем проложен тоннель и соответственно на каком узле находится его второй конец – известно только создателю тоннеля. Все промежуточные участники тоннеля знают лишь следующий узел, которому следует передать перешифрованное сообщение. Но это в теории – на практике же промежуточные узлы также знают, откуда пришло сообщение, потому что сообщения между узлами передаются по обычному интернету и узнать IP-адрес отправителя не составляет труда. Далее при достаточном размере базы можно найти и RouterInfo.

Таким образом, если промежуточный узел тоннеля принадлежит злоумышленнику, то он немедленно узнает и двух своих соседей, что компрометирует одно- или двухшаговые тоннели, поскольку позволяет отследить всю цепочку. Теоретически можно увеличить длину тоннелей вплоть до восьми узлов, практически же каждый дополнительный узел резко замедляет скорость работы и надежность, поскольку присутствие узла онлайн на все время существования тоннеля не гарантировано. Поэтому в настоящий момент в I2P используются трехшаговые тоннели.

Таким образом, для успешной деанонимизации узла злоумышленнику следует узнать маршрут любого из тоннелей в любой момент – для этого достаточно, чтобы два узла одного тоннеля были ему доступны. При нынешнем размере сети в несколько тысяч узлов такой сценарий вполне по силам крупным структурам. Если в деанонимизации серверов ранее описанный перехват reseeding^ мало поможет, поскольку серверы выбирают узлы входящих тоннелей сами, то для выявления клиентов, посещающих «неблагонадежные» ресурсы, данный метод идеален: все узлы, в том числе выходные, используемые клиентом для построения его исходящих тоннелей, будут априори принадлежать злоумышленнику. Тем самым сразу станет известно, откуда пришло сообщение, предназначенное какому-нибудь входящему тоннелю сервера.

3.4. Проблема борьбы с «теневым интернетом» и средствами анонимизации

Человек бывает настолько самонадеян, насколько он ограничен пониманием.

Александр Поп, английский поэт, один из крупнейших авторов британского классицизма

Текущие средства, направленные на деанонимизацию преступников, преимущественно связаны с поиском уязвимостей в системах анонимизации, привлечением машинного обучения для выявления особенностей поведения самого злоумышленника, активным мониторингом трафика и т. д. С учетом роста преступности данные меры в итоге станут неэффективными. «Теневой интернет», кроме того, используется как площадка для разворачивания серверов управления бот-сетями, серверов с машинным обучением для изменения поведения злоумышленников, изменения поведения систем взлома с целью обхода средств безопасности и т. д.

В этой неравной борьбе, по мнению авторов, необходимо менять правила работы самого интернета: отказываться от протоколов и технологий типа SOCKS, NAT, менять работу иных протоколов с целью однозначной привязки IP-адреса к пользователю и т. д.

Однако в настоящий момент повсеместные скандалы, связанные с манипулированием мнением избирателей (пример: Cambridge Analitica⁷¹), а также использование интернет-цензуры (в Иране, КНР, КНДР, а в последнее время и в РФ) не позволяют в полной мере убедить общественность и бизнес, активно участвующие в развитии интернета в рамках таких организаций, как ICANN, ISOC, IETF и др., что необходимо пожертвовать частью своей приватности в пользу борьбы с киберпреступностью. То есть желание пользователей интернета защитить свою частную жизнь и иметь свободный доступ к информации перевешивает риски, связанные с опасностями «теневого интернета» и средств анонимизации.

3.5. Проблемы законодательного характера

Добрые нравы имеют большую силу, чем хорошие законы.

Публий Тацит, древнеримский историк

В нынешних реалиях российские банки стараются максимально переложить риски информационной безопасности при предоставлении услуг ЭБ, включая риски кражи электронной подписи, несанкционированного доступа в личный кабинет, мошенничества и т. д., на самого клиента. Однако изменения в ч. 11 ст. 9 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] кардинально улучшили ситуацию с защитой прав клиентов, переложив ответственность за безопасность денег клиента на сами банки.

Необходимо отметить, что ЭБ не ограничивается переводом электронных денежных средств: он также подразумевает возможность клиента давать поручение на приобретение ценных бумаг или валюты на Московской бирже в рамках брокерского договора. А риски по этому направлению иной раз куда выше, чем при переводе электронных денежных средств в системе «Банк-Клиент».

До сих пор большинство договоров банков по указанным услугам с клиентами выстраиваются с максимальной защитой интересов банков, а не клиентов. В подобных условиях банк обходится минимальным набором защитных механизмов.

Усложняет ситуацию то, что в Федеральном законе от 06.04.2011 № 63-ФЗ «Об электронной подписи» [60] отсутствует унифицированный подход к электронной подписи, выраженный в обязательстве любой организации принять документ, подписанный усиленной квалифицированной электронной подписью.

Гражданин или юридическое лицо не может сгенерировать ключи электронной подписи и выпустить в сертифицированном удостоверяющем центре по доступной цене квалифицированный сертификат, а далее использовать усиленную квалифицированную подпись в любой системе интернет-банкинга банка, микрофинансовой организации, ломбарда, платежного агента и т. д. С другой стороны, не решены проблемы идентификации клиентов в самих удостоверяющих центрах, за последние годы зафиксировано огромное количество случаев мошенничества, в том числе связанных с переоформлением собственности. Поэтому российские банки как нельзя кстати начали активно работать над внедрением средств биометрической идентификации клиентов, что в итоге должно повлиять и на уровень безопасности, и на удобство самих клиентов.

Федеральный закон от 27.07.2006 № 152-ФЗ (ред. от 21.07.2014) «О персональных данных» [52] с учетом невысоких штрафных санкций, предусмотренных КоАП РФ, не обязывает со всей серьезностью относиться к обеспечению безопасности персональных данных. Яркими примерами стали утечки в 2019 г. у Сбербанка и ВТБ⁷², сведения о каких-либо штрафных санкциях в отношении этих банков в СМИ отсутствуют. Европейская практика в рамках General Data Protection Regulation показала, что высокие штрафы⁷³ стимулируют коммерческие и государственные компании активнее тратиться на средства безопасности⁷⁴(в т. ч. средства двухфакторной аутентификации), а также внедрять процессы ИБ в соответствии с такими стандартами, как ISO 27001.

Законодательная база России в области информационной безопасности не в полной мере соответствует реальным нуждам в данной области. Создание новых законов и редактирование действующих, то есть процесс законотворчества, требуют вовлечения людей, непосредственно обеспечивающих информационную безопасность на местах. А высокие штрафы за невыполнение законов, стандартов и требований мегарегулятора должны побудить банки серьезнее относиться к защите конфиденциальной информации.

3.6. Проблемы обеспечения информационной безопасности в банковском секторе на местах

Нельзя добиться скорости второпях.

Добиться скорости можно, только действуя медленно.

Стивен Хантер. Я, снайпер

СЭБ, кроме случаев аутсорсинга, является неотъемлемой частью инфраструктуры банка, и качество обеспечения безопасности на местах напрямую сказывается на возможности злоумышленника произвести атаку на банк. Зачастую сам банк является пользователем систем интернет-банкинга. К ним можно отнести системы управления депозитарными счетами в уполномоченных банках Московской биржи, перевода денежных средств через Банк России, отправки отчетности в Банк России, взаимодействие с платежными системами, например «Город» или QIWI, для ускоренного перевода платежей, связанных с оплатой мобильной связи и т. д., систему SWIFT, системы перевода моментальных платежей типа Western Union и другие.

Положение Банка России от 09.06.2012 № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» [21], а также отраслевые стандарты Банка России по информационной безопасности⁷⁵, ГОСТ Р 57580.2-2018 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия» призваны максимально обезопасить банки от возможных попыток злоумышленников украсть деньги или нанести вред банку, например сорвать сделку крупного клиента, который должен внести до определенного времени авансовый платеж, чтобы начать сотрудничество с покупателем.

Основные ошибки и проблемы при обеспечении информационной безопасности на местах:

1. Некачественно сформированный процесс управления криптографическими ключами. Обычно это проявляется в том, что ключи передаются неуполномоченным лицам, конечная отправка рейсов, платежей осуществляется не с выделенного рабочего места – как выделенного физически, так и отделенного от основной сети банка.

В небольших банках встречается ситуация, когда ключи нескольких пользователей записаны на один накопитель, постоянно находятся на компьютере и администраторы удаленно осуществляют отправку.

Это открывает широкие возможности злоумышленникам, которые каким-то образом проникли в банк – через занесенный вирус или нелояльного сотрудника самого банка, в том числе сотрудника ИТ-подразделения.

2. Неподготовленность персонала к воздействиям извне. Социальная инженерия остается одной из самых актуальных проблем. Нередко злоумышленники собирают информацию о работниках в социальных сетях, на форумах и т. д. и затем, представляясь сотрудниками регуляторов, различных ведомств, специалистами технической поддержки, просят перевести денежные средства. Также нередки случаи, когда злоумышленники направляют работникам письма от имени проверяющих органов с вложением (якобы отчетом), открыв которое, сотрудник банка заражает рабочую станцию и злоумышленник осуществляет дальнейшее развитие атаки вглубь инфраструктуры банка.

3. Низкая организованность при предоставлении доступа. Например, нередко в банках можно наблюдать ситуацию, когда на площадке (в помещении), где работают дилеры, используется вход в системы под одной учетной записью, что усложняет контроль действий дилеров и расследование инцидентов.

4. Экономия на средствах безопасности. Злоумышленники имеют высокую мотивацию и хорошую подготовку, в том числе используют средства машинного обучения, чтобы обходить шаблоны и правила стандартных средств безопасности. В большинстве случаев в банках требуется наличие инструментов Threat Intelligence, SOAR, WAF, а также Deception Technologies для противодействия таргетированным атакам.

5. Плохое сегментирование сети на сетевом уровне, отсутствие шифрования.

6. Нерегулярное сканирование инфраструктуры на наличие уязвимостей, а также отсутствие полноценных пентестов, в том числе с участием Red Team. В тех банках, в которых ведется собственная разработка кода, не всегда присутствует полноценный цикл безопасной разработки, включающий в себя обучение разработчиков основным уязвимостям, формирование требований к безопасной архитектуре программы, статический и динамический анализ кода и т. д.

7. Сокращение штата подразделения, ответственного за информационную безопасность (неудивительно, что большую часть противоправных действий осуществляют бывшие сотрудники банковских подразделений ИТ/ИБ), или наличие непрофессиональных сотрудников. Нередка ситуация, когда менеджерский состав подразделения информационной безопасности формируется по принципу «свой-чужой», при этом предпочтение отдается надежности, а не талантливости и качеству работы.

8. Несвоевременное обеспечение информационной безопасности систем интернет-банкинга. Показательный инцидент произошел в марте 2014 г., когда, используя уязвимости Heartbleed, злоумышленники вмешались в работу системы продажи билетов РЖД и смогли перехватывать платежи процессинга ВТБ⁷⁶.

9. Отсутствие риск-ориентированного подхода к обеспечению информационной безопасности. Это, пожалуй, самая распространенная ошибка, даже среди крупных банков. Риск-ориентированный подход подразумевает баланс между потребностями бизнеса и решением проблем безопасности, а также использование инновационных ИТ-решений в области безопасности. К сожалению, в большинстве случаев преобладает или узкотехнический, или нормативно-регламентирующий подход.

Данный список неполон. Однако названные типичные проблемы и ошибки предоставляют злоумышленникам хорошую возможность, заразив сеть банка или используя уязвимости систем интернет-банкинга, получить доступ к управлению денежными средствами с целью их кражи. Только вовлеченность руководства кредитных организаций и риск-ориентированный подход позволят изменить ситуацию и повысить уровень безопасности ЭБ.

3.7. Проблемы обеспечения информационной безопасности на стороне клиента

Если слепой, споткнувшись о камень, упадет на дороге, всегда ругает камень, хотя виною его слепота.

Генрик Сенкевич, польский писатель, лауреат Нобелевской премии

Концептуальная схема, выработанная российским банковским сообществом, предполагает, что большую часть рисков при использовании систем интернет-банкинга несет сам клиент.

Нередки случаи, когда банки навязывают средства безопасности, которые фактически не выполняют свою функцию. В том числе это касается различных токенов, которые не в состоянии защитить от подмены платежа в момент подписания, а SMS могут быть перехвачены. К сожалению, в России очень медленно внедряются технологии типа Mobile ID⁷⁷, которые в ЕС в настоящий момент доступны за символическую плату.

Банковские системы по противодействию мошенничеству также могут быть обойдены злоумышленниками с помощью имитации повседневного платежа, постепенного вывода денег, использования всех данных самого клиента и т. д.

Сами клиенты часто пренебрегают правилами безопасности:

1) сообщают пароль и данные банковской карты незнакомым лицам, в том числе по телефону;

2) переходят на поддельные веб-сайты, не обращая внимания на оформление и адрес веб-сайта;

3) размещают в свободном доступе паспортные данные, что позволяет злоумышленникам подделать доверенность и выпустить новую SIM-карту для подтверждения платежей;

4) не заботятся об антивирусной защите, поэтому мошенникам не составляет труда получить доступ к СЭБ.

Данный список также неполон, однако демонстрирует слабую осведомленность клиентов о мерах безопасности. Отсутствие у банков жесткой обязанности предоставлять клиентам безопасный сервис ведет к тому, что мошенники и по сей день имеют возможность наращивать капитал, полученный преступным путем.

Обеспечение безопасности СЭБ в России требует комплексного подхода. Отсутствие большого числа ИТ-систем собственного производства, широкое распространение «теневого интернета», нежелание банков обеспечивать информационную безопасность на местах, низкая осведомленность обычных пользователей, в первую очередь граждан и представителей малого бизнеса, создают плодотворное поле для процветания мошеннического контингента.

Предстоит большая работа для того, чтобы изменить ситуацию. Однако в России есть люди, которым небезразлично состояние информационной безопасности как на их рабочих местах, так и в стране в целом. При поддержке Банка России и силовых ведомств, а также правильном законодательном фоне возможно обеспечить защищенный ЭБ и создать качественно новый интернет-продукт для клиентов кредитных организаций и не только для них.

4. Характеристика хищений денежных средств с использованием вредоносных компьютерных программ неправомерного доступа к информации

Наибольший соблазн преступления заключается в расчете на безнаказанность.

Марк Туллий Цицерон, древнеримский политический деятель

4.1. Вредоносные компьютерные программы как средство совершения хищений денежных средств

Не пренебрегай врагами: они первыми замечают твои ошибки.

Антисфен, древнегреческий философ

История рассматриваемых преступлений сравнительно коротка. Появление и массовое распространение вредоносных программ, специально предназначенных для совершения хищений денежных средств в системах платежей, впервые стали отмечаться специалистами в 20052006 гг.⁷⁸ В 2007 г. была обнаружена ставшая впоследствии самой массовой и по-своему знаменитой троянская программа «Зевс» (Zeus, Zbot). В 2009 г. появился SpyEye, в 2010 г. – «Карберп» (Carberp, «Цербер») и HodProt (Origami). Некоторые из этих программ до сих пор используются преступными группами – прежде всего вредоносные программы, являющиеся новыми версиями «Зевса» или созданные на его основе⁷⁹. Кроме того, в последние годы появилось большое количество новых специализированных вредоносных программ. В настоящее время актуальны такие банковские троянские программы (или их модификации более широкого назначения), как Corkow, Ranbyus, Lurk, Shiz, BifitAgent. Отдельно и очень активно развиваются троянские программы, специально предназначенные для работы на мобильных устройствах.

Разумеется, хищения в электронных системах, использовавшихся в нашей стране, как уже было отмечено, примерно с середины 90-х гг., происходили и раньше, в том числе с применением различных вредоносных программ. Однако эти преступления носили преимущественно индивидуальный характер и часто совершались с участием человеческого фактора в той или иной форме или с использованием различных приемов социальной инженерии, а вредоносные программы распространялись только адресно. Быстрое распространение недорогого широкополосного доступа к интернету и сопутствовавшее ему развитие различных электронных систем переводов денежных средств открыли компьютерным преступникам новые возможности монетизации их деятельности, причем с доходностью, значительно превышающей доходность от любых других видов компьютерных преступлений.

Для получения скрытого доступа к электронным средствам платежа (ЭСП), перехвата и копирования необходимой для совершения перевода денежных средств информации, а затем и совершения самих несанкционированных переводов со счетов жертв потребовалось создание нового класса вредоносных программ – так называемых банковских троянских программ.

Согласно ст. 273 УК РФ вредоносными считаются «компьютерные программы либо иная компьютерная информация, заведомо предназначенные для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации». Согласно примечанию 1 к ст. 272 УК РФ, «под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи». Определения, данные в УК РФ, являются весьма широкими по смыслу, вполне универсальны и проверены практикой правоохранительных органов. Всем, кто имеет хотя бы поверхностное представление об информационной безопасности, хорошо известно, насколько велико разнообразие вредоносных программ и широк спектр решаемых ими задач. Вирусы, «черви», бэкдоры (средства скрытого удаленного доступа), «клавиатурные шпионы», макровирусы для Word и Excel, вирусы загрузочных секторов (буткиты), скриптовые вирусы (shell-вирусы, java-вирусы и т. д.), разнообразное мошенническое программное обеспечение, шпионские и рекламные программы – вот далеко не полный список того, что обычно относится к категории вредоносных программ.

Описываемые программы относятся к категории троянских. На практике их еще называют «трояны», «троянцы», «троянские кони», «трои». Такое наименование они получили по аналогии с известным античным мифом о гигантской деревянной статуе коня, внутри которой в осажденную Трою тайно проникли греческие воины на заключительном этапе Троянской войны.

Троянская программа незаметно для пользователя устанавливается на компьютере или мобильном устройстве для выполнения каких-либо задач – как правило, вредоносных. В отличие от так называемых компьютерных вирусов и червей, троянские программы обычно не имеют функционала для собственного воспроизведения и распространения своих копий. Установка троянских программ может производиться вручную злоумышленником, получившим непосредственный или удаленный доступ к целевому компьютеру или мобильному устройству, либо самим пользователем по ошибке, неведению, в связке с другими программами. Массовое же распространение троянских программ производится через компьютерные сети, обычно с использованием дополнительных вредоносных программ, уязвимостей операционных систем и пользовательского программного обеспечения, иных специальных приемов и технологий. Массовое и одновременно скрытое заражение троянскими программами как можно большего количества компьютеров и устройств – отдельная сложная задача для преступников, о способах решения которой будет сказано далее.

Троянские программы могут решать следующие задачи:

– получение, копирование и передача любой информации, представляющей ценность, в том числе данных, необходимых для аутентификации в любых системах, для несанкционированного доступа к ресурсам любого типа, для использования ЭСП любого типа;

– осуществление скрытого удаленного доступа к компьютеру или мобильному устройству, в том числе с возможностью управления (администрирования);

– загрузка и передача любых файлов, внесение изменений в любые файлы или программы, удаление файлов или программ, установка других программ, в том числе вредоносных;

– создание помех в работе компьютера или мобильного устройства, выведение их из строя;

– скрытое наблюдение за любыми действиями пользователя и других программ, включая сбор сведений о посещаемых сетевых ресурсах, копирование текста, набираемого на клавиатуре, снятие снимков экрана, скрытое включение микрофона и видеокамеры, запись потокового аудио и видео и т. п.;

– сбор адресов электронной почты из почтовых программ пользователя для последующего использования их в целях рассылки спама;

– использование зараженного компьютера или мобильного устройства для участия в DDoS-атаках, в качестве прокси, для посещения рекламных веб-сайтов, просмотра рекламных объявлений и т. п.;

– дезактивация антивирусных программ или создание помех в их работе, обход или выведение из строя программных или аппаратных средств защиты;

– внедрение кода в загружаемые пользователем при помощи программы браузера веб-страницы (технология так называемых веб-инжектов (от англ. web injection — инъекция в веб-сайт)) с целью подмены информации на просматриваемых пользователем веб-сайтах, перехвата вводимых аутентификационных данных, запроса дополнительных сведений, необходимых для совершения неправомерных действий (например, телефонного номера); сетевой адрес оригинального веб-сайта, посещаемого пользователем, может быть при помощи веб-инжектов скрыто подменен на адрес так называемого фишингового веб-сайта.

Приведенный список не является исчерпывающим, однако из него уже видно, насколько широкие возможности могут предоставлять злоумышленникам троянские программы. Непосредственное назначение и использование троянской программы в каждом случае зависят от ее функционала и криминальной специализации лица, управляющего данной программой.

В случае если некая троянская программа распространяется достаточно широко и устанавливается на множестве компьютеров и иных устройств, возникает такое явление, как ботнет – сеть ботов.

Термином «бот», представляющим собой сокращение от слова «робот», в компьютерной индустрии традиционно называют любые автономные программы, обычно выполняющие однообразную повторяемую работу. Точно так же ботами принято называть вредоносные программы, хотя часто под ботами подразумеваются не только программы, но и сами зараженные ими устройства. Иногда вместо термина «бот» используется слово «зомби» и соответственно вместо термина «ботнет» – «зомби-сеть». Ботнет можно определить как компьютерную сеть, обычно построенную по архитектуре «клиент-сервер» из компьютеров-ботов (мобильных устройств – ботов) с установленной на каждом из них вредоносной программой или несколькими взаимосвязанными вредоносными программами. В большинстве случаев в такой сети имеется единый центр управления, называемый административной панелью ботнета (админ-панелью), ботнет-контроллером, управляющим сервером, контрольно-командным центром ботнета (англ. C&C – command & control).

Центр управления ботнетом в большинстве случаев представляет собой веб-сайт в интернете, запущенный на виртуальном или выделенном физическом сервере (либо в крупных ботнетах на группе серверов). Сам факт существования центра управления ботнетом, сохраняемые в нем данные и осуществляемые с его помощью соединения, а также операции скрываются и защищаются различными способами. Доступ к центру управления ботнетом осуществляется после аутентификации.

Центр управления ботнетом в зависимости от возможностей, назначения и порядка использования ботнета и ботов может быть предназначен для решения следующих задач:

– ведение списка имеющихся ботов, поиск, выборка и классификация ботов по различным критериям;

– сохранение и обработка информации, поступающей от ботов, в частности аутентификационных данных пользователей, экранных снимков рабочих столов и т. п.;

– передача ботам индивидуальных или групповых команд на выполнение каких-либо действий в соответствии с назначением и использованием программ, например на загрузку определенных модулей (плагинов), изменение настроек конфигурации и т. п.;

– удаление и (или) выведение из строя ботов;

– установление удаленного управления ботами с использованием встроенного функционала или при помощи дополнительно устанавливаемых вредоносных программ;

– организация работы с ботнетом нескольких пользователей, в том числе с различными правами и уровнями доступа, контроль за работой пользователей.

Первые ботнеты с централизованным управлением появились в конце 1990-х – начале 2000-х гг. Уже в 2007 г., по оценке создателя протокола TCP/IP Винта Серфа⁸⁰, около четверти из 600 млн компьютеров, подключенных на тот момент к интернету, могли состоять в различных ботнетах. Теоретически и практически любой компьютер или иное устройство могут быть одновременно заражены несколькими различными или однотипными вредоносными троянскими программами (с разными центрами управления) и состоять таким образом в нескольких ботнетах сразу.

Рассмотрим банковские троянские программы и ботнеты на их основе. Задачи банковского трояна могут быть описаны следующим образом:

– после скрытой установки на компьютере или мобильном устройстве обнаружить наличие или следы использования ЭСП: программ типа «толстый клиент», используемых для доступа к банковским счетам или электронным денежным средствам; «тонких клиентов» для доступа к платежным веб-сайтам операторов по переводу денежных средств; программ операторов по переводу денежных средств (межрегиональных переводов) или программ платежных агентов (операторов микроплатежей);

– отслеживая использование ЭСП, получать копии аутентификационных данных и любых других сведений, необходимых для осуществления переводов денежных средств, а также информацию о состоянии счета (или остатка ЭДС), производимых переводах, плательщике и получателях денежных средств;

– обеспечивать при необходимости возможность установления соединения для скрытого удаленного управления зараженным компьютером или устройством с целью последующего осуществления несанкционированного перевода денежных средств;

– самостоятельно при наличии возможности осуществлять с использованием имеющихся на компьютере или устройстве ЭСП несанкционированный перевод денежных средств (так называемый автозалив);

– удалять следы несанкционированного использования ЭСП, удалиться с компьютера или мобильного устройства и вывести его из строя.

Получаемые после установки и в процессе работы данные бот должен передавать в центр управления. Обратно он в определенных случаях получает дополнительные модули (плагины) или настройки, предназначенные для работы с ЭСП выявленных типов. Развитие и усложнение функционала банковских троянов происходят непрерывно с момента их появления, по мере того как кредитные организации и иные операторы по переводу денежных средств развивают программные, аппаратные и организационные средства и меры защиты своих клиентов. Противостояние банковских троянов и защиты от них представляет собой классическую ситуацию противоборства меча и щита или снаряда и брони.

Банковские трояны ранних поколений осуществляли только перехват и копирование аутентификационных данных пользователей операторов по переводу денежных средств и передавали их в центр управления. В последующем при помощи полученных таким образом данных и аналогичных ЭСП (например, доступа к веб-сайту оператора или стандартной клиентской платежной программы), не привязанных каким-либо образом к устройству пользователя, совершались несанкционированные переводы денежных средств. Подобным образом троянские программы использовались преимущественно в 2005–2008 гг., однако простые технологии актуальны и до настоящего времени, так как многие системы перевода денежных средств, особенно электронных, по-прежнему используют простые способы аутентификации.

Постепенно операторы вводили все более сложные системы защиты, ограничивающие возможность совершения переводов денежных средств при помощи ЭСП, установленных (или используемых) на посторонних устройствах. В первую очередь для этого начали применяться различного рода аппаратные ключи (токены, USB-ключи), при помощи которых производятся авторизация и аутентификация пользователей и (или) подписание платежных требований электронной подписью.

Принцип работы большинства аппаратных ключей основан на генерации надежных одноразовых паролей или криптографических ключей, без которых невозможны создание и направление оператору платежных поручений. В результате простое копирование аутентификационных данных стало бессмысленным, так как без использования аппаратного ключа невозможно направить платежное поручение. В ответ на эти меры разработчики банковских троянских программ обеспечили возможность скрытого удаленного управления зараженными компьютерами и устройствами.

Предназначенный для организации такого управления функционал, так называемый бэкдор (от англ. back door — задняя дверь), находится в составе троянской программы или загружается на зараженный компьютер как модуль или дополнительная троянская программа. Для совершения хищения устанавливается скрытое подключение к компьютеру или иному устройству пользователя ЭСП, тайно осуществляется управление этими средствами платежа так же, как это делает законный пользователь, и в нужный момент формируется платежное поручение, которое подтверждается при помощи аппаратного ключа, подключенного к компьютеру. Особенно часто хищения с применением технологии удаленного доступа происходили в 2009–2012 гг.

Дальнейшим этапом развития защитных мер операторов по переводу денежных средств становятся повсеместное внедрение обязательного информирования клиентов о фактах использования ЭСП и совершения переводов денежных средств по дополнительным (так называемым внеполосовым) каналам связи (телефон, SMS), внедрение схем двухфакторной авторизации, подтверждения платежей по внеполосовым каналам, разработка и внедрение более сложных аппаратных ключей с обратной связью и т. п.

При этом банковские трояны также продолжают совершенствоваться. Для обхода усиливающихся мер защиты в последние годы часто применяется технология так называемого автозалива. Она подразумевает автоматическую отправку несанкционированных платежных поручений в процессе штатного использования ЭСП законным пользователем, а также в большинстве случаев подмену данных в выполняемых платежных поручениях и диалогах подтверждения платежей, коррекцию страниц с историей переводов и состояния счета в целях сокрытия фактов хищений (технология автоподмены). В случае работы с «тонкими клиентами» для автозалива используются уже упоминавшиеся ранее веб-инжекты – внедрение кода в загружаемые пользователем при помощи программы-браузера страницы платежных веб-сайтов. Пользователь вводит аутентификационные данные, подготавливает и передает платежное поручение, не подозревая, что браузер искажает информацию под воздействием вредоносной программы и на самом деле перевод денежных средств осуществляется на сторонний счет.

Усложнение банковских троянов закономерно приводит к повышению стоимости и длительности их разработки. Современный банковский троян содержит средства обнаружения и модули для большого количества ЭСП различных операторов, а также разнообразный функционал для преодоления средств и мер защиты и совершения переводов денежных средств.

4.2. Организация преступной деятельности

А вы работаете у нас уже десять лет, но так и не осознали простой истины: если есть преступление, значит, есть и преступник…

Аркадий и Борис Стругацкие. Хищные вещи века

4.2.1. Особенности преступной деятельности в киберпространстве

Для осуществления хищений денежных средств специализированной вредоносной программы, разумеется, недостаточно. Преступная деятельность такого рода – «биз (бизнес) по заливам», как иногда называют ее сами участники, требует большой организационной работы, привлечения определенного количества исполнителей и пособников, постоянного приобретения и потребления разнообразных криминальных товаров и использования криминальных услуг.

Задача хищения денежных средств в электронных системах настолько сложна, что физически не может быть выполнена одним человеком от начала до конца: от момента создания вредоносной программы до момента получения на руки похищенных денежных средств. Тем не менее, хотя такие хищения и являются результатом коллективного труда, для их совершения необязательно существование устойчивых групп лиц, связанных между собой в реальной жизни. Специфика групповых компьютерных преступлений позволяет большинству их участников, не встречаясь лично, общаться, планировать и координировать преступные действия только посредством интернета и только в период совершения преступления. При этом физически сообщники могут находиться не только в разных регионах, но и в разных странах. В результате возникает большое количество кратковременно существующих преступных групп, не имеющих постоянного состава, каждый из участников которых может одновременно участвовать в деятельности множества других групп. Отличие деятельности подобных групп от обычной организованной преступной деятельности весьма существенно, а выявление и привлечение к уголовной ответственности их участников затруднены по объективным причинам, особенно если деятельность групп имеет трансграничный характер.

Регулярно встречаются и устойчивые преступные группы, состоящие из знакомых между собой лиц, находящихся в пределах физической досягаемости. Участники таких групп в зависимости от их численности выполняют либо весь спектр задач на всех этапах преступной деятельности (что бывает крайне редко), либо только определенную часть задач.

Любопытным моментом является и то, что при всей сложности задачи организатору хищений денежных средств, как и большей части участников группы, не требуются профессиональная компьютерная или техническая подготовка и образование. За исключением разработки компьютерных программ, все криминальные специальности, необходимые для участия в процессе, могут быть освоены лицами без специальной подготовки и опыта работы. Инвестиции (вложения капитала, если это можно так называть) на начальном этапе также являются минимальными либо вообще не требуются.

Отметим некоторые другие особенности и тенденции рассматриваемой преступной деятельности:

1. Хищения денежных средств в электронных системах являются в настоящее время наиболее доходной разновидностью компьютерной преступности. Налаженная систематическая работа по «банковской тематике» приносит стабильно высокий доход, превышающий доход от любых иных компьютерных преступлений, таких как организация DDoS-атак, спам-рассылок, заказных взломов ресурсов и личных аккаунтов и пр. По данным аналитиков компании «Группа информационной безопасности», в 2012 г. средняя сумма хищения у юридического лица составляла более 1,6 млн руб., а у физического лица – более 75 тыс. руб.⁸¹ Такие суммы позволяют быстро окупить первоначальные вложения в создание ботнета, оплачивать дорогостоящие криминальные услуги и работу многочисленных пособников. При благоприятном стечении обстоятельств возможно очень быстрое обогащение. На практике известны многочисленные случаи удачных хищений на суммы, превышающие несколько десятков миллионов рублей. Так, например, в 2012 г. различными следственными подразделениями ГУ МВД России по г. Москве расследовались уголовные дела по фактам успешно осуществленных хищений на суммы 16, 25 и 35 млн руб. В том же году имели место неудачные, но впечатляющие своими объемами попытки хищений на суммы около 50, 80, 160 и даже 400 млн руб.

2. Возможность извлечения столь высоких доходов привела к формированию черного рынка криминальных товаров и услуг, необходимых для организации и ведения преступной деятельности по «банковской тематике». В первую очередь к таким товарам относятся сами вредоносные банковские троянские программы, а также различные сопутствующие вредоносные программы. Затем идут многочисленные банковские и иные платежные карты, электронные счета, телефонные номера, копии документов физических лиц, комплекты документов юридических лиц, средства сокрытия доступа, трафик и т. п. К популярным на рынке услугам относятся многочисленные услуги в финансовой сфере, как легальные, так и противозаконные, посреднические услуги любых видов, гарантии сделок, техническое обслуживание аппаратных средств, услуги безопасной связи и пр. На рынке действуют многочисленные профессиональные поставщики и продавцы, между которыми естественным образом возникает конкуренция. Разумеется, было бы неправильным утверждать, что рынок товаров и услуг для банковских хищений отделен от общего криминального рынка компьютерной преступности. Он, безусловно, является одной из основных частей данного рынка – возможно, наиболее объемной по оборотам денежных средств.

3. Еще одной специфической чертой рассматриваемой преступной деятельности является четкое разделение криминальной специализации различных ее участников. Сложность технологий, применяемых в процессе хищений, и большое количество операций и действий, производимых при подготовке и осуществлении хищений, не позволяют, как уже было отмечено, работать в одиночку. Наблюдается процесс формирования своеобразных криминальных профессий, и ниже мы рассмотрим основные из них. Специализация отдельных участников преступной деятельности одновременно означает усиление тенденции к ее организованности.

4. «Представительства», или «торговые площадки» (если их можно так назвать), подпольного рынка криминальных товаров и услуг находятся в интернете. Действует большое количество как открытых (общедоступных), так и закрытых (приватных) веб-сайтов и различных систем связи, созданных для общения лиц, занимающихся преступной деятельностью в сфере компьютерной информации. На таких ресурсах продаются вредоносные программы и иные криминальные товары, предлагаются любые необходимые услуги, происходят поиск работы и заказов, общение, рекрутирование, обмен опытом и обучение всех категорий участников преступной деятельности. Доступ на наиболее серьезные веб-сайты закрыт от посторонних посетителей, и попасть на них можно только по рекомендациям или за большую плату. Однако и на общедоступных ресурсах может быть получен полный спектр необходимых для организации преступной деятельности товаров, услуг, знаний и иной информации, что открывает возможности для начинающих преступников. Первичное знакомство с деятельностью и предложениями черного рынка обычно происходит на следующих сетевых ресурсах: http://forum.zloy.bz; http://darkmoney.cc/; http://forum.anti-chat.ru/; http://forum.beznal.cc/.

Общение на указанных тематических ресурсах, а также по каналам двусторонней связи всегда ведется с использованием многочисленных жаргонизмов и специальных терминов.

Рассмотрим подробнее специальности участников преступной деятельности по совершению хищений денежных средств с использованием вредоносных компьютерных программ. Сотрудникам, занятым борьбой с хищениями данной формы, необходимо знать эти профессии и их наименования, чтобы разбираться в организации выявляемых преступных групп. Следует также понимать, что криминальные профессии необязательно коррелируют с видами соучастия в преступлениях, предусмотренными ст. 33 УК РФ. Организаторами, исполнителями, подстрекателями или пособниками могут быть обладатели любых специальностей, а количество вариантов совместной преступной деятельности различных лиц в рассматриваемой сфере является практически неограниченным.

4.2.2. Кодеры

Программисты, создатели вредоносных программ. «Кодер» – стандартный термин компьютерной индустрии, который сам по себе относится к обычному компьютерному жаргону и обозначает программиста в общем смысле (англ. coder — тот, кто кодирует, пишет код программы). Кодеры вредоносных программ по очевидным причинам являются элитой преступного мира. Создание, доработка и модификация современных банковских вредоносных программ требуют не только изучения языков программирования. Необходимо глубокое знание операционных систем, прикладных программ и, наконец, программ дистанционного банковского обслуживания, являющихся по терминологии Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» [51] ЭСП, на которые и оказывается основное вредоносное воздействие.

При этом термин «программист» необязательно подразумевает профессиональное образование или профессиональную деятельность в сфере программирования. Кодер может быть самоучкой, заниматься программированием в качестве хобби или дополнительной деятельности.

Кодеры банковских троянов в силу особой сложности последних зачастую объединяются в группы. Так, например, в составе группы разработчиков программы «Карберп», задержанных в марте 2013 г. на территории Украины сотрудниками СБУ, насчитывалось около 20 человек, средний возраст которых от 25 до 30 лет. «Это были программисты, работавшие удаленно в Киеве, Запорожье, Львове, Херсоне и Одессе. Как правило, они не знали друг друга, каждый отвечал за свою часть разработки программного модуля. Потом данные передавались на главный сервер в Одессе, там же работал главный организатор – 28-летний гражданин России»⁸².

Помимо программистов, непосредственно создававших код программ, в данном коллективе были аналитики, изучавшие целевые ЭСП, сотрудники «службы технической поддержки», осуществлявшие сопровождение трояна, веб-программисты, занимавшиеся созданием, развитием и поддержкой программного обеспечения центров управления (контрольных серверов). За сбыт вредоносных программ, эксплуатацию собственных ботнетов на основе собственного трояна и различные обеспечительные функции также отвечали отдельные соучастники. Сбытом занимались как непосредственные участники группы, так и привлеченные посредники (селлеры). Имелось несколько вариантов продажи трояна, отличавшихся стоимостью, комплектностью, оказываемой техподдержкой и сопутствующими услугами. В целом деятельность подобных коллективов значительно выходит за рамки понятия «кодеры». Чаще их называют «вендоры», «поставщики» (троянов), «сервисы ботов».

Кроме того, банковские трояны не являются единственными программными продуктами, используемыми в преступной деятельности. Кодерами также создаются (дорабатываются, модифицируются) так называемые эксплойты (о них будет сказано далее), программы-загрузчики (лоадеры), троянские программы сопутствующего назначения (бэкдоры, «убийцы»), различные сетевые системы (центры управления ботнетами, серверное программное обеспечение), дополнительные модули и компоненты для уже существующих банковских троянов, компиляторы/конфигураторы (билдеры) вредоносных программ и т. п. Еще одно обособленное направление деятельности кодеров – криптование («крипта» – периодически необходимое шифрование исполняемых файлов распространяемых вредоносных программ для сокрытия их от обнаружения антивирусными программами).

4.2.3. Ботнетчики

Создатели, владельцы, администраторы ботнетов. В общем значении – организаторы деятельности по распространению и использованию вредоносных компьютерных программ, управляющие формируемыми в результате их распространения ботнетами. Данный термин понимается достаточно широко, так как его непосредственное смысловое наполнение может быть различным в каждом отдельном случае. В целом ботнетчиком принято называть организатора и владельца преступного бизнеса, даже если он сам не занимается непосредственным текущим администрированием задействованных информационных систем. Так, например, упомянутый выше 28-летний организатор группы разработчиков троянской программы «Карберп», хотя и не принимал личного участия в администрировании нескольких собственных и клиентских ботнетов на последнем этапе существования группы, вполне может быть назван ботнетчиком.

В более точном значении ботнетчик – участник группы, непосредственно занимающийся развитием и поддержанием работоспособности ботнета. Эта деятельность включает в себя администрирование задействованных серверов, работу с используемыми доменными именами и сетевыми адресами, применение различных защитных мер и средств безопасности, ведение деятельности (или управление таковой) по распространению бота, обслуживание и оптимизацию баз данных, работу со списком ботов с целью его оптимизации. В некоторых случаях бот-нетчик создает и поддерживает ботнеты для их сдачи в аренду.

Администрирование серверов (настройка, поддержание работоспособности, решение повседневных технических задач), используемых для размещения центра управления ботнетом, распространения вредоносных программ и для иных сопутствующих целей, может осуществляться как самим ботнетчиком, так и отдельно привлеченным администратором. В некоторых случаях функции администратора в качестве дополнительных может выполнять лицо (или несколько лиц), предоставляющее ботнетчику серверы (хостинг). Также на привлеченного администратора в группе может быть возложена работа с сетевыми адресами и доменными именами, необходимыми для работы и расширения ботнета.

Функция ботнетчика может выполняться отдельным лицом и быть его единственной ролью в преступной группе, но чаще всего эта роль совмещается с другими криминальными специальностями. Так, например, кодеры, занимающиеся созданием или доработкой троянских программ, сами на их основе создают ботнеты для отладки и тестирования программ, а также зачастую для извлечения дополнительного дохода. Еще чаще роль ботнетчика совмещается со следующей важнейшей для совершения хищений специальностью.

4.2.4. Заливщики

Участники преступных групп, непосредственно совершающие несанкционированные переводы денежных средств (хищения) с использованием вредоносных программ или полученной с их помощью информации. Термин происходит от слова «залив»: именно так называют на жаргоне хищение денежных средств. Когда перевод денежных средств стал ассоциироваться с перетеканием жидкости – неизвестно, но употребление термина в указанном значении впервые отмечается в 2008 г. Именно в этот период, как уже было сказано, происходил бурный рост рынка платежных услуг и появились первые специализированные банковские трояны.

Основная задача заливщика – получить скрытый доступ к ЭСП, используемому владельцем компьютера или мобильного устройства, зараженного вредоносной программой. Затем в удобный момент заливщику необходимо совершить несанкционированный перевод денежных средств на заранее подготовленный банковский счет (или счет электронных денежных средств) для последующего безопасного вывода. Как правило, заливщик имеет доступ к центру управления ботнетом и непосредственно использует его основные функциональные возможности. Реже заливщик работает только со сведениями, полученными от ботнетчика, если этих сведений достаточно для совершения переводов денежных средств. Способ доступа к ЭСП, при помощи которых производится хищение денежных средств со счета, зависит от возможностей троянской программы, особенностей самого ЭСП, оператора по переводу денежных средств, порядка работы, принятого в преступной группе.

В любом случае заливщик должен обладать знанием и навыками использования тех ЭСП, с которыми он имеет дело, и уметь совершать с их помощью переводы денежных средств. Перед осуществлением хищения заливщик иногда длительное время изучает целевой компьютер или устройство, порядок работы с ЭСП их законного владельца, состояние счетов и движение денежных средств по ним, используемые владельцем средства связи, сохраненные финансовые документы и т. п. При применении технологий банковских троянов ранних поколений заливщик получает копии аутентификационных данных, необходимых для доступа к ЭСП, а затем создает на сторонних компьютерах копии этих ЭСП. С их помощью, используя полученные ранее данные, он осуществляет доступ к счетам и переводам денежных средств. При использовании банковских троянов с функционалом удаленного управления заливщик должен устанавливать к каждому боту скрытое подключение для удаленного управления, изучения возможности совершить перевод и применения в этих целях ЭСП, имеющихся у бота. Хороший заливщик может в течение рабочего дня изучить несколько десятков ботов (до 100 и более). При работе с банковскими троянами, имеющими функционал автозалива, заливщик изучает списки ботов, имеющиеся в центре управления, выбирает представляющие интерес боты и производит для них настройку автозалива и автоподмены. Удаленное подключение к таким ботам, как правило, не требуется. Переводы денежных средств совершаются автоматически в процессе использования ЭСП их ничего не подозревающими законными владельцами.

Функции заливщика, ботнетчика и организатора преступной деятельности могут совмещаться. Заливщики и ботнетчики зачастую близко связаны и работают совместно на постоянной основе. Существуют и другие схемы организации преступной деятельности. Например, ботнетчик может допускать к работе со своим ботнетом широкий круг заливщиков за некую «абонентскую плату» либо за процент от успешно проведенных заливов. Счета, на которые заливщик переводит похищаемые денежные средства, как правило, предоставляют обладатели следующей важной криминальной профессии.