Продолжение...

НА РЫБАЛКЕ ГЛАВНОЕ - НАЖИВА
Самый популярный вид кибермошенничества сегодня - это фишинг (phishing от английского phone – телефон и fhising – рыбалка), его название с юмором и не случайно напоминает английское слово «рыбалка». В ходе фишинга на крючок попадаются доверчивые клиенты, которые сообщают злоумышленникам свои персональные данные и свой секретный PIN- код совершенно добровольно. Занятие фишингом дело непростое, оно требует знания психологии, наличия жизненного опыта, и конечно, подготовленных схем обмана, с помощью которых можно войти в доверие к любому клиенту.

Не все клиенты банков сегодня доверчивы, однако, примерно 7% кардхолдеров добровольно передают свои PIN-коды мошенникам по первой же их просьбе. Простой и часто единственный способ борьбы с фишерами - полная блокировка доступа к счетам в Интернете при появлении жульнических фишинг-рассылок. "Недавно был случай, когда клиенты сразу нескольких крупных банков (в их числе оказались и некоторые клиенты нашего банка) получили фишинговую рассылку, вспоминает Алексей Голенищев, руководитель управления взаимодействия с платежными системами ОАО «Альфа-Банк», наша реакция была мгновенной - мы сразу перекрыли доступ в Интернет-банк, и внесли изменения в технологию аутентификации – этим атака успешно была отбита. Лишний раз подтвердилась моя точка зрения, что наиболее эффективный способ борьбы с фишингом - это разработка и внедрение технологий, не позволяющих пользоваться данными, полученными мошенниками в результате фишинговой атаки".

Фишеры изобретательны и постоянно мимикрируют – для того, чтобы усыпить бдительность и быстрее войти в доверие, сегодня они прямо не просят клиента сообщить свой PIN-код, вместо этого они приглашают посетить сайт банка – для сверки данных или иным причинам. Предлагаемый сайт, безусловно, фальшивый, но его дизайн и адрес в Интернете напоминают адрес и внешний вид официального банковского ресурса. Среди фишеров популярны и востребованы на рынке доменные имена, напоминающие названия корпоративных сайтов ведущих банков страны. К примеру, в руках у киберсквоттеров находятся домены похожие на домен citibank.ru (по этому адресу находится официальный сайт ЗАО КБ «Ситибанк»). Киберсквоттер с адресом почты [email protected] (зарегистрировавший уже на себя не менее 1389 доменов), имеет в своем личном реестре sitybank.ru (данные на 27 августа 2008). Другой мультивладелец доменов (всего у него 2076 штук), скрывающий свое имя под [email protected] , зарегистрировал на себя «домен с опечаткой» - citbank.ru – на него может попасть добросовестный кардхолдер, небрежно набрав адрес банка в окне браузера и т.п. До поры до времени все эти лже-имена не используются, но будучи приведенными в действие, мгновенно позволят собрать неплохой «урожай» - для рентабельности улова фишеров достаточно получить карточные счета двух-трех состоятельных клиентов, спутавших домен родного банка или набравшего его с ошибкой. Зарегистрировавшись на фальшивом сайте, клиент мгновенно превращается в легкую и беззащитную добычу - в руках фишеров оказываются все его персональные данные. Непосредственно деньги со счетов клиента обналичит другой преступник - дроп.

Недавно на одном из форумов один из кардеров доверительно поделился совершенно новым способом фишинга, который он еще ни разу не использовал, однако, не сомневается, что его способ сработает. Суть его в следующем. Как первый шаг аферы клиенту банка переводят на его счет небольшую сумму. После этого раздается звонок клиенту (якобы из банка) с извинениями и этого клиента просят вернуть ошибочно переведенные средства. Предлагаются два пути: либо заехать в ближайший офис банка, либо воспользоваться он-лайн банкингом и сделать денежный перевод, не выходя из дома. Как предполагает разоткровенничавшийся киберпреступник, клиент, если это окажется образованный мужчина, чаще всего выберет второй вариант. Не надо пояснять, что после выполнения этой транзакции, владелец карты останется с пустым счетом.


66987220-14ab-4daf-a5c3-605a3e3bc5cc.jpg
Преступники постоянно изобретают новые и новые способы обмана. Необычные («неэлектронные») схемы фишинга популярны последние два года в Турции - здесь под видом небольших сервисных предприятий владельцу карты предлагают помощь – быстро снять деньги с его банковской карты прямо в ларьке - где он, возможно, покупает сигареты или напитки. При его согласии, ничего не подозревающему кардхолдеру немедленно предлагается фальшивый pin-pad (эту клавиатуру на корде все неоднократно видели в банках), в который клиент загружает свои персональные данные - как в некий «передвижной» банкомат. Наличные по запрашиваемой транзакции владельцу счета чаще потом не предлагают - сославшись на сбой. Или же отдают – чтобы избежать подозрений в мошенничестве. Но все это уже и не столь важно - в течение ближайших двух часов деньги со счета клиента снимают в настоящем банкомате по копии реальной карты («белому» пластику). Доказать впоследствии владельцу счета, что он стал жертвой мошенников, практически невозможно.

КОГДА ШОПИНГ НЕ В РАДОСТЬ…
Получить персональные данные клиента можно мошенническим путем под видом посещения Интернет-магазина - таких магазинов из Польши и других стран сегодня довольно много. Все они предлагают особо дешевые товары - якобы при распродаже - конфискованные, без гарантии и проч. Последний «писк» сезона в этом виде мошенничества - сайт, продающий дешевые авиабилеты. Ясно, что основная цель создания такого магазина – заставить клиента зарегистрироваться и оплатить покупку – тем самым предоставить преступникам все свои персональные данные. Вероятность скомпрометировать карту и потерять деньги в таком «агентстве продаж» приближается к 100% . Не надо объяснять, что ни в коем случае не следует пользоваться банковскими картами в подозрительных случаях. В Интернете вообще, как советуют эксперты, лучше не использовать банковские карты. Если карты все же используются, лучше пользоваться теми, с которых особенно и нечего снять, а пополнять их по мере надобности.

Компрометация карт происходит и в реальных торгово-сервисных предприятиях - ТСП – магазинах, кафе, ресторанах, принимающих к оплате банковские карты. Часто используется метод двойной прокатки – когда по одной и той же карте оплачивают два товара (или услуги), при этом суммы транзакций обязательно выбираются разные (преступники знают, что системы мониторинга фрода автоматически блокируют две одинаковые транзакции - так часто ошибаются кассиры в супермаркетах, прокатывая одну и ту же карту дважды без злого умысла). Двойная прокатка - весьма частое преступление в туристических зонах – в этих зонах бывают много гостей, покупающих в течение дня сувениры, делающих мелкие покупки, о многих из которых забывают, не помнят места и т.д. Часто случаи воровства не замечают потом в длинных списках собственных платежей, выдаваемых для контроля банком-эмитентом впоследствии. Кроме всего прочего, после двойной прокатки данные владельцев карт могут быть скомпрометированы. Эксперты рекомендуют, всем тем, кто побывал этим летом в странах Балтии, в Украине, Болгарии, Румынии, Польше, Андорре, Албании, а также в Индонезии, Малайзии, Таиланде, Бразилии, Аргентине, Перу, Чили, странах Ближнего Востока и пользовался там банковской картой, карту пере выпустить.

ТЮНИНГ ДЛЯ БАНКОМАТА

Современные мошенники виртуозно научились определять PIN-код подсматривая из-за плеча при его вводе, или улавливая очертания клавиш в зеркальных отражениях витрин. Иcпользуются также незаметные накладки на клавиатуру банкомата, совпадающие с ним по цвету и дизайну (на жаргоне skimming – «снятие сливок»). Современные скимминг-накладки дополнительно оборудуются SIM-картой с источником питания – для последующей пересылки информации на любой мобильный телефон. «Всегда визуально проверяйте АТМ на предмет наличия накладок, подозрительных внешних атрибутов не совпадающих по цвету или дизайном с передней панелью банкомата - советует руководитель службы информационной безопасности КБ «Союзный» Михаил Левашов , и главное – при наборе PIN-кода обязательно прикрывайте клавиатуру рукой». Эти рекомендации касаются ввода любой персональной информации – даже счетов ЖКХ или номера мобильного телефона.

Если PIN-код удается успешно подсмотреть, то карту впоследствии похищают, копируют или же имитируют ее «застревание» в картридере с помощью вставленной полоски изоленты (так называемая «ливанская петля»). Клиент, попробовав вытащить карту, уходит раздосадованным, после него карту легко вытаскивают тонкими щипцами. Многие скиммеры действуют более изощренно - вместо куска изоленты, устанавливают внешние накладки на кардридер, позволяющие считать информацию с карты в момент ввода. Несмотря на экзотичность подобного рода мошенничеств, они используются достаточно широко, а стать обладателем комплекта для скимминга весьма просто - достаточно набрать в Яндексе слово «скимминг» и тут же получить с десяток адресов, по которым можно недорого купить необходимые приспособления. Отметим, что банкоматы, расположенные вне офисов банков наиболее подвержены атакам скиммеров, а банковские камеры наблюдения за преступниками легко выводятся из строя баллончиком с краской (для высоко расположенных камер) или просто куском жвачки.

При обналичивании карт в АТМ преступники-дропы работают как правило, в паре – один предварительно заклеивает объективы камер и уходит, другой - непосредственно снимает деньги по скомпрометированной карте. За сценой издалека наблюдают другие члены банды - их задача «откупить» дропа при попадании в руки милиции. При использовании многоступенчатой схемы обналичивания разрушается причинно-следственная связь между действиями отдельно взятых преступников -- доказать преступный умысел становится гораздо труднее.

К сожалению, такая сложная схема часто становится излишней - дежурные сотрудники МВД, часто не знают основ работы платежных систем, и плохо представляют - за что собственно приходится задерживать злоумышленника. Увы. Крупнейшая известная афера прошла в 2006 году: «под удар скиммеров попал банк из первой десятки, - вспоминает начальник управления ИБ АКБ «РосЕвроБанк» Юрий Лысенко. Мошенники установили устройства для снятия информации с пластиковых карт на нескольких банкоматах. После регистрации многочисленных сомнительных транзакций банк был вынужден заблокировать карты клиентов, ввести мониторинг счетов и затем перевыпустить несколько тысяч карт, сам ущерб оценивался несколькими миллионами рубелей. В России это был один из первых столь массовых перевыпусков пластиковых карт, отмечает эксперт. С преступниками, конечно, борются - многие современные банкоматы имеют специальную скругленную форму считывателя карт – это затрудняет монтаж считывающих «губок» скиммера, устройство джеттер (jetter) обеспечивает неравномерность движения карты в считывателе, также устанавливается дополнительный датчик против траппинга (ливанской петли). Специальные зеркала, встроенные в банкомат, позволяют клиенту видеть обстановку за спиной и затрудняют действия преступников. Кроме того, на заставках-экранах многие банки сегодня вместо своих логотипов выставляют картинку – то, как реально должен выглядеть банкомат, не подвергшийся тьюнингу злоумышленников. Всякий раз внимательно изучайте эти картинки - перед тем как снять деньги.

БОТЫ ЗА РАБОТОЙ

Кроме рядовых граждан, кибермошенники, по-прежнему, атакуют корпоративных клиентов, однако уже применяя массовые технологии «Fraud 2.0» - на основе возможностей бот-сетей. Атакам чаще всего подвергаются рекламные объявления – баннеры (это так называемый click-fraud ). Рекламодатель, заказавший себе рекламу, как правило, оплачивает медиа-агентству каждый клик по объявлению-баннеру и число кликов подсчитывается.

Однако, под видом заинтересованных пользователей по объявлениям-баннерам часто кликают «зомбированные» компьютеры. Конечно, все клики, создаваемые бот-сетями, анализируются, с ними пытаются бороться, по особым признакам выявляют явных злоумышленников. Например, характерным признаком клик-фрода бывает «пила» в активности скликивания, связанная с периодическим запуском той или иной бот-сети. Однако, уровень клик-фрода остается значительным и сегодня уверенно превышает 20% - именно такая компенсация в прошлом году была предоставлена всем рекламодателям одним крупнейшим агентством Рунета.

Каков уровень клик-фрода на самом деле установить невозможно. Напомним, что суммы, затрачиваемые в целом на рекламу, фигурируют значительные – в 2007 году объем российского рынка интернет-рекламы оценивался в $369,0 млн. (по данным MindShare Interaction).

Клик-фродом может индивидуально заниматься и сам владелец сайта -- партнер, который по соглашению с медиа-агентством размещает на своем ресурсе те или иные рекламные баннеры. Имеются специальные программы, позволяющие имитировать массовый заход на пустующий сайт якобы заинтересованных клиентов. Для того, чтобы клик-фрод не вызывал подозрений у систем мониторинга, в качестве имитации «наплыва» посетителей используются адреса анонимных прокси-серверов, применяются программы, меняющие активность кликов во времени и т.п. Считается, что одна из лучших имитирующих программ разработана российскими умельцами.
66987220-14ab-4daf-a5c3-605a3e3bc5cc.jpg

223b4c77-352b-4d76-a4b1-9b414fd103b8.jpg

Другой современный прием нападения на корпоративного клиента – это угроза (шантаж) применить атаку «отказ в обслуживании» (Distributed Denial of Service - DDoS). Если угроза реализуется и сайт «ложится», то хозяин ресурса (к примеру, продающий рингтоны, клипы или предлагающий услуги виртуального казино) несет убытки, сумма которых достигает десятков тысяч долларов в день. Угрозам подвергаются, как правило, небольшие и средние по размерам компании, не имеющие мощных средств защиты от DDoS-атак. Злоумышленник шантажирует владельца и просит «позолотить» ручку на 10 000 долларов, отказ хозяина ресурса немедленно приводит к проведению DDoS-атаки. Защиты, увы, ему ждать неоткуда. Атака выполняется как собственной бот-сетью преступника, или заказывается как услуга на подходящем хакерском сайте.

СПАСУТ ЛИ МИР БЕСКОНТАКТНЫЕ ТЕХНОЛОГИИ?

На смену традиционному пластику уже приходят технологии мобильных платежей и методы «внеофисного» обслуживания (brunchless banking). Клиент банка становится более свободным, он больше уже не привязан к терминалам, свои средства у него всегда под рукой, а с помощью мобильного телефона он удобно управляет банковскими счетами. Подсмотреть PIN-код мобильного клиента и потом его использовать становится крайне сложно. Телефоны имеют массу средств аутентификации позволяющие определить, что платеж сделал именно владелец счета. Это, во-первых, камера, которая может сделать и передать его фото, во-вторых, встроенные сканеры отпечатков пальца, имеющиеся в моделях 3G телефонов, и, наконец, сама SIM-карта мобильного аппарата, которая также может использоваться для идентификации и аутентификации владельца.

Систем бесконтактных платежей сегодня достаточно много, причем часть систем запустили владельцы международных систем MasterCard и VISA – они работают под брендами MasterCard PayPass и VISA PayWave соответственно. Для того, чтобы разобраться в существующих проектах, удобно принять во внимание расстояние, на которых работает система и характерную величину сумм платежей (транзакций) (см. рис.7). Ближнее взаимодействие и маленькие суммы транзакций – в этом диапазоне работают новые бесконтактные системы платежей, работающие по технологии NFC (near field communications – радиосвязь ближнего действия, их пока нет в России), а дальнее взаимодействие и произвольные суммы транзакций – платежные системы типа E-CASH, ****** mobile, CelPay, использующие для своей работы GSM-покрытие и стандартные сотовые телефоны. Пока подобных систем немного, но они уже вытесняют простейшие системы мобильных платежей - такие, как premium-SMS, которые монопольно использовались до недавнего времени.

Системы еще вводятся, но злоумышленники уже разработали для них специфические виды атак, которые являются аналогами атак для банковского пластика. Так, атаки relay attacks (skimming) включают похищение средств владельца бесконтактной карты с помощью стандартного считывателя, к которому преступники получили доступ. Атака pick-pocketing проводится фальшивым считывателем, который находится в руках преступника, причем при приближении к кардхолдеру он считывает информацию с устройства бесконтактного платежа (похищает с карты денежные средства). Существует разработка - удаленная атака eavesdropping которая перехватывает данные бесконтактного диалога «карта-считыватель» на расстояниях до 5 м, а Radio Frequency Analysis позволяет получить информацию о ключах карты. С этими атаками многие из нас, безусловно, еще столкнутся.

Тем не менее, платежные системы нового поколения защищены достаточно серьезно – они не используют передачу по незащищенным каналам никаких персональных данных. Вместо них они передают альтернативные параметры - номера «Интернет-кабинетов пользователей» и другие. Как считает Александр Хорошилов, заместитель генерального директора E-CASH, эффективный способ защиты и состоит в том, чтобы разрабатывать продукты, вообще не передающие по незащищенным линиям связи персональные данные. Отметим, что подобные системы мобильных платежей хорошо известны за рубежом. Среди них продукт-бестселлер «CelPay», который функционирует в странах Южной Африки и в странах ЕЭС, его используют Сitibank, Barclays Bank PLC, Standard Chartered Bank. Когда россияне смогут воспользоваться подобной услугой? - Пока E-CASH (это аналог CelPay) занят подготовкой самых первых соглашений с банками, однако разработчики верят, что за этими технологиями будущее.

В среде дорогих смартфонов сегодня успешно создаются бот-сети, также как это примерно происходит в отношении персональных компьютеров.

Совсем недавно владельцы смартофонов Nokia и некоторых других могли наблюдать у себя на экранах следующие сообщения, созданные вирусом CommWarrior

CommWarrior v1.0 (c)
CommWarrior is freeware product. You may freely
distribute it in it's original unmodified form.
OTMOP03KAM HET!

Такая заставка – сигнал, что аппарат был атакован. Бот-сеть смартфонов может использоваться в преступных целях, как и обычная бот-сеть – к примеру, зомбированные смартфоны могут проводить массовую оплату сервисов с помощью premium-SMS. Заказчик атаки (обычно продавец сервисов) окажется не в накладе: если, к примеру, 5000 инфицированных абонентов сети «по секрету» от владельцев телефонов внезапно закажут 10 рингтонов по цене 2 доллара за штуку, то сумма всех отправленных premium-SMS составит $100,0 тыс. При этом пользователи дорогих аппаратов мобильной связи могут даже и не заметить исчезновения этих сумм со своих счетов. Сама себестоимость проведения преступной акции и рассылки вируса-червя невелика и составляет несколько сотен долларов.

Однако, пострадать от атаки, как успокаивают нас эксперты, смогут только пользователи простейших платежных инструментов – все системы нового поколения учитывают наличие бот-сетей. «При возможном зомбировании мобильного смартфона вирусами класса Commwarrior снять деньги со счета клиента в системах E-CASH и CelPay невозможно, утверждает эксперт, директор ООО «Криптоэкс» Олег Жирнов, дело в том, что транзакцию в системе образует цикл из последовательности двух событий и всегда необходим первоначальный запрос от мерчанта, а этот запрос бот сделать не может.

Если запроса от мерчанта нет, то «бот» может сколько угодно раз отправлять «подтверждающие» SMS с зараженного телефона - все это не обеспечит проведение транзакции и не позволит несанкционированно снять деньги со счета клиента». Как будут развиваться события на самом деле и будут ли действительно надежно защищены новые системы мобильных платежей - покажет ближайшее будущее. Нам остается ждать и надеяться, что хотя бы в новых системах платежей нам удастся предвосхитить действия злоумышленников.
ДЕЛО РУК УТОПАЮЩИХ

Как защитить себя и близких и не попасть под преступные атаки злоумышленников? Еще раз перечислим важнейшие рекомендации экспертов.

При вводе PIN-кода всегда следите, чтобы вводимые цифры не быть видны посторонним лицам, а при расплате банковскими картами в ТСП никогда не теряйте свою карту из виду.
Для всех своих карт используйте услугу - SMS – информирование на мобильный телефон о прошедшем списании средств с карты.
Никогда не используйте карты для оплаты в Интернет, если платеж все же необходим, заведите для таких целей отдельную карту и переводите на нее средства по мере необходимости.
Никогда не пользуйтесь простыми паролями там, где он защищает ваши средства (например, в Интернет-банкинге). Для того, чтобы запомнить сложный набор цифр и букв в пароле удобно использовать известные только Вам ключевые фразы, к примеру, для фразы:
Я первый раз попал в Египет в 99 году
пароль по первым буквам будет иметь вид:
«ЯпрпвЕв99г»,
Смена раскладки клавиатуры c русского на латиницу превратит этот пароль в следующий
ZghgdE99u
и т.п.
При появлении малейших подозрений о неправомерном списании денег с вашего счета, не колеблясь, немедленно обращайтесь в Банк. До момента уведомления банка-эмитента ответственность полностью лежит на клиенте – поэтому как можно быстрее сообщайте банку о потере своей карты.

Приятных покупок!