Безопасность банковских операций и платежей через Интернет

RET_FRAN:

Помните это!

Помнить надо в первую очередь, что бесплатный сыр бывает только в мышеловке, поэтому все остальное несущественно.

Российский программист рассказал, как мошенники оформили на него кредит на $24,5 тысячи

Как отличить мошенника от сотрудника банка и когда отдельная карта для покупок не поможет. Эксперт о том, как сохранить свои деньги

Правило №4. Заведите отдельную карточку для расчетов в интернете
Используйте для расчетов в интернете отдельную карту и только перед покупкой переводите самостоятельно туда средства, после покупки ваша карта должна быть пустой. Что важно: ваша карта для интернет-платежей должна быть единственной привязанной к счету, иначе, получив доступ к ней, мошенники смогут опустошить все карты, привязанные к этому счету.
Если у вас есть несколько карт одного банка, чаще всего их автоматически привязывают к одному вашему счету — так делать не стоит. Проследите за тем, чтобы карта для интернет-платежей была единственной привязанной к счету в банке, все остальные не должны быть привязаны к ней.
И уточните условия использования карты — лучше, если она будет бесплатной.

«А вы с доставкой дружите?» Украли деньги сами у себя, чтобы показать, как работает популярная схема

— С моей карточки сняли 180 рублей. Наверное, они хорошие психологи. Скинули ссылку на сайт — там есть поля с номером карты и так далее. Перейти на другую операцию, не ответив на предыдущие вопросы, нельзя.
Дошло до цифр, «которые никому нельзя давать». Я понимала, что их никому нельзя давать. Но чтобы перейти на последнюю страницу перед продажей мотобот, мне нужно было ввести эти три цифры. Я это и сделала.
Слышала ли раньше о мошенниках? Конечно. И никогда бы не повелась, у нас на работе столько случаев было… На работе у женщины за день до этого хотели снять, но она вовремя опомнилась. Через три дня у знакомой сняли 1200 рублей.
Я сама от себя в шоке… Я поверила мужу, который лоханулся и убедил меня, что все по закону. Получил ли он? А вы как думаете…
Мы подали заявление в милицию — тишина. Сказали, что шансов нет: мы общались с эстонским номером. В банк сходила только карту поменять.
...
Почему их так сложно найти?
Итак, куда ушли мои деньги? Мой 91 рубль через сервис для перевода физических лиц с карты на карту (в моем случае мошенники использовали сервис «Приорбанка») перевели на счет в «Белинвестбанк». По просьбе/требованию/письму денежные средства были заблокированы на счету, но шансов достать их мало. Владелец счета может быть добросовестным продавцом криптовалюты. Подробнее об этой схеме почитайте в нашем прошлом расследовании про Инну и суши.

...
Из мануала мошенников:

Напрямую влияет. В зависимости от посещаемых сайтов и способов платежа (устанавливаемого стороннего ПО и др.)

знает технологии, каким образом совершаются платежи через какие страны-компании, какое стороннее ПО устанавливается, "лезет" ли оно в Интернет и куда именно, какие сведения и кому передает и т.п.

RET_FRAN
больше в завершении операции платежа: насколько важно для клиента совершить операцию за короткое и конкретное время на онлайн-бирже и др.

Насчет "завершения операции платежа" - имелось в виду различные сбои, зависания, в т.ч. "пропадание электричества" и т.п. в момент совершения платежа - каковы будут последствия? Этого никто не знает в общем случае.

Отсюда

По словам Музалевского, крупные банки не внедряют использование ЭП или криптографии не только из-за высокой стоимости, но и из-за технических трудностей. «Это сложно сделать даже на устройствах с Android, устройства на базе iOS они уже даже не берут в расчет. Использование криптографии может ограничить функционал, из-за чего клиенты будут совершать меньше операций и банки в итоге потеряют часть прибыли», — объясняет эксперт.
В то же время источник на банковском рынке пояснил РБК, что использование кодов из СМС или PUSH-уведомлений не означает отказа от применения электронной подписи или криптографии — банк имеет право запрашивать коды для дополнительного подтверждения того, что именно этот клиент совершает операцию или именно он имеет доступ к устройству.
Требования по криптографии в меньшей степени касаются простых граждан, так как они подразумевают страховку от риска подмены или перехвата СМС-сообщений злоумышленниками, но такой способ достаточно дорог в исполнении и в инцидентах с рядовыми людьми встречается редко, объясняет коммерческий директор компании «Код безопасности» Федор Дбар.

Как может измениться процесс подтверждения операций
Полноценного готового мобильного банка с криптографией еще нет на рынке, поэтому сложно сказать, как процесс подтверждения операции изменится для клиентов. Но гипотетически может быть разработано специальное приложение, которое нужно будет установить на телефон, говорит Музалевский. Это приложение сгенерирует специальный токен, который представляет собой набор символов. Банк должен будет каждый раз при проведении операций запрашивать этот токен, но клиенту ничего не потребуется вводить — приложения будут взаимодействовать между собой самостоятельно. Шейкин отмечает, что уже есть готовые решения для внедрения и технологические возможности для самостоятельной разработки банками.
Главное преимущество технологии для клиентов в том, что нельзя будет совершить банковскую операцию с другого устройства, продолжает Музалевский: «Мы проводили анализ судебных экспертиз по случаям мошенничества, который показывает, что возможность передачи кода подтверждения третьим лицам — это основная причина денежных хищений».

«Скомпрометированы могут быть все белорусы!» Абоненты говорят, что через их номера кто-то авторизуется в Telegram и Facebook

Подобные сообщения есть и на форуме Onlíner: «Сегодня утром кто-то зарегистрировался в Telegram с одного из моих номеров А1. Симка стоит в кнопочном телефоне, пользуется мать-пенсионерка, телефон в этот момент лежал рядом со мной. Как мы знаем, для регистрации нужно указать номер и получить на него СМС. На телефон никаких СМС не приходило, нет никаких СМС и в детализации. Переадресации все выключены, да и нет у А1 переадресации СМС. То есть кто-то смог получить СМС так, что его даже в детализации нет. Хотя все другие сообщения, в том числе и от Telegram, в детализацию попадают».
И еще: «Пришло сообщение в Telegram: „ваш контакт теперь в Telegram“. А этот контакт позвонил и предупредил, что не регистрировался и кто-то на его номер зарегистрировал аккаунт. Но как этот кто-то смог зарегистрировать на чужую симку?»

Есть и хорошие новости
Минчанин не стал платить по двум кредитам, потому что их оформили мошенники. И оказался прав

Эта история произошла еще в 2021 году, но разбирательства с банком закончились только сейчас. В мае 2021 года мужчине позвонил якобы работник банка и рассказал, что на его имя собираются взять кредит, поэтому срочно нужны коды из СМС. При этом его паспортные данные уже были у мошенников. Итог — на минчанина взяли два онлайн-кредита на 9900 рублей, деньги увели, оставив ему только долги.
Мужчина не согласился с выплатами и попросил признать договоры незаключенными. Суд принял решение в его пользу и подтвердил, что минчанин не знал о совершении сделок и не согласовал их существенные условия с банком.
Но банк подал апелляционную жалобу. Его позиция заключалась в том, что передавать персональные и паспортные данные нельзя, ответственность за их сохранность несет только клиент, а кредиты выданы по всем правилам: пройдена процедура аутентификации через МСИ, подтверждены личные данные истца и предоставлена вся необходимая информация для зачисления денежных средств.
Судебная коллегия Мингорсуда, которая рассматривала жалобу, решила оставить ее без удовлетворения. Она пришла к выводу, что, хотя кто-то выполнил нужные для перечисления денег действия, минчанин не выполнял аутентификацию и идентификацию через интернет-банк с использованием секретных параметров. Также учитывали, что «в силу отсутствия у истца образования в сфере компьютерных технологий, должных навыков при использовании мобильных и интернет-приложений» мужчина не может знать о новых схемах интернет-мошенничества.

Увели реквизиты премиальной карты Mastercard World Белгазпромбанка в валюте. Карта открыта с конца 2022, последний раз активно использовалась в июне-июле 2024 и вот спустя неделю-другую среди ночи посыпались попытки снять деньги в рекламном кабинете facebook Ирландии. При этом карта в кабинете и в самой Ирландии никогда не бывала. Изучив суть facebook выяснил, что там нужен номер карты, срок действия и CVV. Т.к. реквизиты карты заклеены, включая CVV, а также карту из рук не выпускал, то делаю вывод, что увели данные карты через интернет. Нужно отметить, что картой активно пользовались, причём физически за границей и виртуально через интернет. Тут спасибо Белгазпромбанку, что их карты работают за границей и в интернете, пускай и не везде (booking через stripe не проходит). И особая благодарность за удобный функционал мгновенного выставления лимитов по картам, который уберёг меня от потерь денег и банк от необходимости мне потом возвращать потерянное, а вернее - украденное. Моё мини-расследование показало, что в июне-июле платежи в интернет исключительно уведённой картой (сайты, где платили в том числе другими, не показываю) были: booking.com, ryanair.com, royalairmaroc.com. При этом мне везде успешно продали жильё и товар, всё работало (бронировалось и выбиралось), билеты/подтверждения пришли и были использованы, т.е. явно не фишинговые были сайты. В букинг написал, там типа "не украли - свободны", в авиакомпании не писал. Судя по первой попытке снять деньги в Ирландии, мысль наводит на ryanair.com. Это лишь предположения, для статистики, может у кого было похожее. К сожалению премиальную карту пришлось закрыть, а выпуск даже непремиальной стоит денег. Банк не видит возможности бесплатного перевыпуска, хотя если бы не моя бдительность с лимитами, денег могло бы уйти весьма много. Кстати, банк тоже непонятно отреагировал в стиле "деньги не украли - заявление не нужно, но лучше карту платно сделайте новую". В любом случае сложно кого-то винить, просто так получилось. Увы, все мои меры (заклеить пластырем реквизиты, чтобы не сфоткали, не передавать никому в руки, не пользоваться банкоматами, проверять сертификаты сайтов и тем более не вестись на явный фишинг) не уберегли реквизиты карты от воровства. Будьте бдительны, платите кэшем))) шутка