Персональная кибербезопасность. Учебное пособие (курс лекций)

Большинство пластиковых карт имеют внешний вид, определённый стандартом ISO 7810 (Идентификационные карты) ID-1 (рисунок 4). Размеры карты обычно составляют 85,6 × 53,98 мм. Пластиковые карты используют в качестве носителя данных магнитную полосу и/или микрочип. Последние годы в связи с ростом популярности технологии бесконтактной оплаты карты с магнитными полосами практически не выпускают.

Рисунок 4. Реквизиты пластиковой карты на лицевой и задней сторонах

На лицевой стороне карты может быть любое изображение (рисунок, картина, фотография) или одноцветный фон. Здесь же размещаются контакты микрочипа карты. Кроме того, обычно присутствуют логотип и защитная голограмма платёжной системы, которой принадлежит данная карта, а также уникальный номер карты, имя её держателя и срок её действия. Номера банковских карт платёжной системы «МИР» всегда начинаются на цифру 2, American Express, Diners Club и JCB начинаются на цифру 3, VISA начинается на 4, MasterCard ‒ на 5 и Maestro ‒ на 6.

На обратной стороне карты находится магнитная полоса (если имеется), а также бумажная полоса с подписью владельца и CVC2/CVV2/ППК2-кодом. Данный код используется для повышения безопасности электронных платежей, о его предназначении речь пойдёт ниже.

Исходя из источника денег, которые размещаются на счёте, привязанном к карте, и которые с помощью карты могут быть использованы, пластиковые банковские карты бывают следующих видов:

111

1.Дебетовые карты используются для распоряжения собственными деньгами, которые лежат на дебетовом расчётном счёте

вбанке. В случае доступа злоумышленника к такой карте он сможет использовать только те средства, которые размещены на её счете.

2.Карты с разрешённым овердрафтом ‒ это продолжение развития дебетовых карт, их усовершенствованный вариант. С точки зрения клиента, карта с разрешённым овердрафтом представляет собой платёжную карту, позволяющую осуществлять платежи как за счёт средств держателя карты, размещённых на банковском счёте, так и за счёт кредита, предоставляемого банком в случае недостатка средств на счёте. Кредит держателю карты предоставляется только в случае осуществления платежей с её использованием и недостатка средств на счёте клиента для их оплаты. Это карта из двух функционалов: счёта клиента и кредитного лимита, предоставляемого клиенту банком. В случае достаточности средств на счёте операции по карте производятся за счёт средств клиента, как только на счёте перестает хватать клиентских средств, банк начинает кредитовать клиента на сумму установленного кредитного лимита. Таким образом, с точки зрения клиента, на карте может быть или остаток на счёте, или задолженность, которую необходимо погасить в сроки, указанные в договоре.

В случае доступа злоумышленника к такой карте он сможет принести ущерб её владельцу не только на сумму размещённых на счету собственных средств, но и на сумму максимального овердрафта. Таким образом, владелец карты не только потеряет свои деньги, но и останется должен банку.

3.Кредитные карты используются для распоряжения деньгами, располагаемыми банком, которые при совершении платежа автоматически списываются с выделенного счёта банка, путём займа у банка необходимого количества денежных средств с последующей выплатой процентов, за пользование заёмными средствами, их требуется вернуть банку в срок, указанный в кредитном договоре.

По аналогии с картами с разрешённым овердрафтом в случае доступа злоумышленника к такой карте он сможет принести ущерб её владельцу на сумму максимально допустимого кредитного лимита. В этом случае владелец карты приобретёт долг перед банком, на сумму которого будут начисляться проценты.

112

4.Предоплаченные карты предназначены для совершения операций по оплате товаров или услуг, а также выдаче наличных денег

иудостоверяют право требования её владельца к банку, выпустившему такую карту, произвести эти выплаты. При этом банк, выпустивший карту, производит расчеты от своего имени за счет денежных средств, предоставленных самим держателем карты или поступивших в его пользу от третьих лиц, если такая возможность предусмотрена.

Банковская карта может выпускаться банком как локальная (принадлежащая локальной платёжной системе, как правило, в пределах одного государства) и международная (в рамках платёжной системы, объединяющей множество банков-участников по всему миру) или кобейджинговая (работающие в нескольких платежных системах (обычно в двух) ‒ собственно это и есть их главное преимущество. Внешне кобейджинговые карты отличаются от обычных лишь наличием второго логотипа. Выпускаются также виртуальные карты.

Ещё одной системой классификации банковских пластиковых карт является платёжная система, в которой они работают.

1.Карты локальных платёжных систем (локальные карты). Карта локальной платёжной системы может быть использована только в банкоматах и терминалах банка, выпустившего эту карту, а также в торговых точках, где установлены POS-терминалы этого банка. На сайте банка может быть доступна возможность оперировать счётом с помощью реквизитов карты через сеть Интернет. Типичный пример локальной банковской карты ‒ АС «Сберкарт» ‒ микропроцессорная карта от Сбербанка. Банкоматы и терминалы сторонних банков, за редкими исключениями, не принимают локальные карты, а совершение оплаты в интернет-магазинах с помощью Сберкарты невозможно.

Другим примером локальной карты является временная ATMкарта Bank of America. АТМ – обозначение банкоматов в англоязычных странах. Таким образом, подразумевается, что ATM-карту можно использовать в банкоматах и совершать с помощью ней покупки в торговых точках с установленными POS-терминалами. Данная карта выдаётся новому клиенту банка на период, когда будет выпущена и активирована основная карта, то есть в течение од-

113

ной-двух недель. Таким образом, клиент банка сразу в день заключения договора с помощью временной карты имеет доступ к своему счёту из любого банкомата банка, а также некоторых партнёров,

например Citibank.

2. Карты международных платёжных систем (международные карты). Международные пластиковые банковские карты используются в международных системах платежей. Наиболее популярные международные платёжные системы ‒ Visa (карты Visa Electron, Visa Classic, Visa Gold, Visa Platinum), MasterCard (карты Cirrus, Maestro, MasterCard Standard, MasterCard Gold, MasterCard Platinum), Diners Club, American Express, JCB и China Unionpay.

Чаще всего в мире доступны карты Visa Electron и Cirrus / Maestro. В большинстве случаев они являются дебетовыми и, как правило, не позволяют производить электронные платежи через сеть Интернет. Это, с одной стороны, повышает безопасность их использования, а, с другой стороны, несколько ограничивает владельца в функционале. Эти карты ‒ самые доступные по стоимости выпуска и обслуживания.

Самыми популярными в мире банковскими картами являются

Visa Classic и MasterCard Standard. Они бывают как дебетовые, так и кредитные, а также позволяют рассчитываться за покупки через сеть Интернет.

Карты серий Gold и Platinum являются престижными картами, подчёркивающими солидность его обладателя. Такие карты используются как элемент имиджа. Технически карты Visa Classic от Visa Gold и MasterCard Standard от MasterCard Gold отличаются внеш-

ним дизайном, стоимостью выпуска и обслуживания и, в зависимости от банка-эмитента карты, различными наборами услуг (например, кэшбеком за покупки, предоставлением медицинской страховки, или службы «консьерж», позволяющей бронировать билеты на транспорт и в театр, гостиницы и выполнять ещё ряд поручений). Владельцам банковских карт класса Gold и Platinum некоторые магазины и другие организации предоставляют скидки и прочие преимущества (например, возможность пользования в аэропорту залом ожидания бизнес-класса вне зависимости от категории билета, специальные условия при аренде автомобиля и т. п.).

Кроме того, в связи с широким распространением карт классов Gold и Platinum, международные платёжные системы вводят новые

114

форматы эксклюзивных карт, свидетельствующих о высоком статусе их обладателя. Поэтому существуют титановые (Titanium) карты ‒ самые престижные банковские пластиковые карты, предоставляющие своим владельцам эксклюзивные привилегии обслуживания в различных местах по всему миру. Первой карту такого класса выпустила компания American Express ‒ карту Центурион.

3. Виртуальные карты.

Многие банки выпускают виртуальные карты. Виртуальная карта ‒ это банковская предоплаченная карта без материального носителя, то есть без наличия фактической пластиковой карты. Это электронное средство платежа, предназначенное для совершения физическим лицом операций исключительно через сеть Интернет, используя реквизиты карты, коды CVC2 или CVV2 и т. д. Для выпуска виртуальной карты физическое лицо предоставляет банку денежные средства в размере желаемого первоначального лимита виртуальной карты для их зачисления банком в качестве электронных денежных средств такого физического лица (в соответствии с требованиями Закона № 161-ФЗ «О национальной платёжной системе»). Владельцы таких виртуальных карт не могут получить с них наличные денежные средства, за исключением случая закрытия карты в банке. В этом случае владельцу возвращается остаток электронных денежных средств за вычетом комиссий банка, если таковые предусмотрены договором. Виртуальные банковские карты, как правило, заводятся клиентами банков в тех случаях, когда они не хотят использовать при оплате покупок в сети Интернет данные своей реальной карты. На счёте, закреплённом за реальной картой, может быть размещено значительное количество денежных средств, а использование реквизитов банковской карты при совершении платежа в сети Интернет может привести к реализации угрозы того, что эти реквизиты будут перехвачены злоумышленником. Обладая всеми необходимыми реквизитами чужой банковской карты, злоумышленник может совершить платёж за товары или перевод денег на свои счета. В результате владелец карты потеряет средства на счёте, привязанном к карте. Чтобы обезопасить себя, владелец реальной банковской карты может завести себе дополнительную виртуальную карту, разместить на её счёте сумму, нужную для совершения покупки, и воспользоваться её реквизитами для

115

осуществления платежа. В таком случае, даже если злоумышленнику удастся завладеть реквизитами виртуальной карты, он не обнаружит на её счете значительной суммы денег или не обнаружит их там совсем. А владелец карты сможет пополнять счёт такой виртуальной карту перед совершением очередной покупки. В результате некоторые суммы денег будут проходить через счёт виртуальной карты в течение короткого времени, а большую часть времени на счету будет ноль.

4. Карты рассрочки представляют собой банковские платёжные карты с заёмными средствами для беспроцентной оплаты товаров и услуг в торговых точках. Перечень торговых точек (магазинов, организаций) и срок рассрочки, в течение которого не происходит начисление процентов на основной долг, определяет банк, выпустивший карту, вместе с организацией-продавцом товара. В России последнее время набирает популярность карта рассрочки «Халва», которая может служить примером данного типа банковских карт.

5. Корпоративные карты. Корпоративная карта – это банковская карта, привязанная к счёту юридического лица. Такая карта предназначена для оплаты расходов, связанных с основной или хозяйственной деятельностью организации, в том числе накладных, представительских, транспортных и командировочных расходов, а также получения наличных денежных средств лицами, имеющими соответствующие полномочия. Корпоративная карта не может быть использована для расчётов по оплате труда сотрудников и выплат социального характера. По своей сути корпоративная карта представляет собой удобный инструмент выдачи денежных средств под отчёт. Причем подотчётными средствами становятся только те средства, которые были потрачены с использованием карты. Корпоративная карта может быть как дебетовой, так и кредитной.

Удобство банковских карт состоит в универсальности их использования. При этом многие факторы, обуславливающие удобство использования банковских карт, одновременно являются и факторами, обуславливающими угрозы их использования. Владелец карты может носить с собой крупные суммы денег, не опасаясь, что их похитят. Кроме того, мелочь не требуется: владельцу карты нет необходимости держать мелкие деньги. Плюс как для держателя карты, так и для торговой точки. В случае кражи наличных

116

средств затруднительно затем найти их и доказать, что именно эти банкноты были похищены, отследить их дальнейшее движение.

При краже банковской пластиковой карты выполнить эти действия значительно проще, поскольку все совершаемые операции регистрируются в базе данных банка-эмитента карты, а также отображаются в личном кабинете владельца карты на сайте банка или в мобильном банковском приложении. Злоумышленник сможет воспользоваться украденной картой лишь в случае завладения также и телефоном владельца карты или зная ПИН-код к ней, поскольку в настоящее время недостаточно знать реквизиты самой карты для совершения платежа, нужно знать ещё и дополнительный аутентификационный атрибут. Так, например, при попытке оплатить что-либо краденной банковской картой на значительную сумму злоумышленнику потребуются эти данные. При этом вор может совершать мелкие покупки на суммы, не превышающие лимит, для которого требуется подтверждение платежа по ПИН-коду. В большинстве случаев такой лимит у банков составляет 1000 руб.

Для совершения платежа в сети Интернет с помощью краденной карты злоумышленнику необходимо знать код подтверждения, который придёт в SMS-сообщении или PUSH-уведомлении на телефон владельца карты. В случае, если злоумышленник одновременно завладел и банковской картой, и телефоном жертвы, то подтвердить платёж для него не составит труда.

При утере или краже банковской карты владелец может позвонить в службу поддержки банка и попросить заблокировать операции по данной карте. Нашедший или укравший карту не сможет воспользоваться ею после совершения блокировки. Блокировка карты осуществляется разными банками с разной скоростью. Период от заявления владельца до блокировки может составить от нескольких секунд до нескольких дней. Владельцу карты будет выпущена новая карта с новыми реквизитами, но привязанная к тому же расчётному счёту, что и утерянная (украденная) карта с сохранением всей суммы денег, имевшейся на момент блокировки. За перевыпуск карты будет списана небольшая комиссии.

Отсутствие проблем с таможней является одним из неоспоримых удобств ведения банковской картой международной платёжной системы, банкоматы и терминалы которой доступны по всему

117

миру. Законодательства многих стран ограничивают либо пристально контролируют суммы наличных денежных средств на ввоз

ивывоз из страны. Банковские карты таможенному учёту не подлежат, соответственно с их помощью можно провозить через границу любые суммы денег.

Банковские карты международных платёжных систем позволяют оплачивать товары и услуги в большинстве стран мира, а также через Интернет. Несмотря на то, что валюта карты постоянна, при расчётах за рубежом используется официальный курс платёжной системы с добавлением комиссии банка за совершаемые операции.

Из данного удобства пользования банковской картой вытекает

иугроза, связанная с возможностью потери денег. Если злоумышленникам стали известны реквизиты карты и дополнительный аутентифицирующий признак (ПИН-код или есть доступ к SMSсообщениям на телефоне жертвы), то они могут совершить операции по покупке товаров и услуг или перевод денежных средств на другие счета, находясь при этом в другой стране. Это обстоятельство существенно затрудняет привлечение к ответственности злоумышленников, поскольку координация правоохранительных органов разных стран по расследованию трансграничных преступлений далеко не всегда является эффективной. Злоумышленники, как правило, знают это и чувствуют себя в большей безопасности, в сравнении с ситуацией, если бы они находились в одной стране с жертвой.

Получение наличных средств или оплата товаров и услуг при помощи банкоматов или POS-терминалов производится очень быстро в любой точке мира. Данное удобство также создаёт угрозу потери средств. Владелец карты не всегда может быстро обнаружить подозрительные операции, совершенные с использованием реквизитов его банковской карты. Но даже в случае обнаружения таких операций, у владельца карты нет возможности вернуть деньги, поскольку операция уже была совершена.

Владелец банковской карты может получать быстрое и беспроцентное пополнение своего счёта, находясь в другом городе или даже в другой стране, тогда как при совершении банковского платежа, при переводе денег через систему быстрых переводов Western Union и использовании прочих подобных сервисов теряются проценты за услуги. Это же удобство использования создаёт и угрозу: деньги могут быть оперативно переведены злоумышленником с

118

расчётного счёта, привязанного к карте жертвы, на счёт злоумышленника в другой стране, где затем так же быстро обналичены.

Прослеживаемость / трассируемость операций по банковским картам одновременно является и достоинством, и недостатком использования банковских пластиковых карт. С одной стороны, все покупки и финансовые операции физического лица становятся абсолютно прозрачными для властей страны, с другой стороны, облегчается составление всевозможных финансовых отчётов, упрощается учёт финансов, потраченных на различные статьи расходов.

Одновременно с удобством появляется и угроза неприкосновенности частной жизни. В базе данных банка хранится информация о времени и месте совершенных операций по банковской карте. Последние годы пользователи мобильных банковских приложений некоторых банков могут также видеть и детализацию совершенных покупок. Поскольку эта информация хранится на серверах, подключенных к сети Интернет, и передаётся по каналам связи, существует вероятность её получения злоумышленниками. Заполучив информацию о времени и месте проводимых транзакций можно построить маршрут передвижений владельца карты, определить места, где он бывает, составить график его жизни и определить перечень предпочтений. Такая информация может быть затем использована для шантажа или психологического воздействия на владельца карты.

Банковской картой можно расплачиваться, совершая покупки через сеть Интернет. Все условия для совершения онлайн-оплаты обычно указываются на сайте. Данный способ ‒ самый опасный способ оплаты, так как возможно воровство конфиденциальных данных ‒ номера карты, имени держателя и CVV2 / CVC2 / ППК2кода, которые затем могут использовать злоумышленники (кардеры). Поэтому при осуществлении онлайн-платежей через сеть Интернет рекомендуется использовать только надёжные платёжные шлюзы: сервисы известных вам банков, а также совершать покупки только в надёжных интернет-магазинах. Одним из способов обезличить и обезопасить платёж банковской картой в Интернете являются системы Paypal и ChronoPay. В данных системах существуют свои механизмы безопасности, позволяющие отменить платёж или вернуть деньги, однако для таких действий должны быть представлены веские основания.

119

8.3. Мошенничество с использованием банковских карт. Меры защиты от мошенничества с использованием банковских карт

В соответствии с общепринятой классификацией существуют следующие основные типы мошенничества с банковскими пластиковыми картами:

использование карт, которые не были выданы держателю

карты;

использование поддельных карт;

проведение транзакций с использованием реквизитов карт;

использование украденных или утерянных карт;

несанкционированное использование персональных данных держателя карты и информации по счету клиента;

другие менее распространенные виды мошенничества.

Мошенничество с платежными картами, кардинг (carding) ‒

вид мошенничества, при котором производятся различные операции с использованием банковской карты или её реквизитов, не инициированные или не подтверждённые держателем данной карты. Реквизиты платежных карт злоумышленники, как правило, достают из баз данных со взломанных серверов интернет-магазинов, платежных и расчётных систем, а также с персональных компьютеров и смартфонов. Это делается либо непосредственно, либо через программы удаленного доступа, «трояны», «боты» с функцией формграббера – считывания реквизитов карты при их вводе в платёжную форму. Кроме того, наиболее распространённым методом кражи номеров банковских карт на сегодня является фишинг (phishing, искаженное «fishing» – «рыбалка») ‒ создание злоумышленниками сайта, который будет пользоваться доверием у пользователя, например сайт, похожий на сайт банка пользователя, через который и происходит похищение реквизитов банковских карт [1].

Одним из самых масштабных преступлений в области мошенничества с банковскими картами считается взлом глобального процессингового центра кредитных карт Worldpay и кража с помощью полученных данных более 9 миллионов долларов США. В ноябре 2009 года по этому делу были предъявлены обвинения преступной группе, состоящей из граждан государств СНГ.

120