Безопасность банковских операций и платежей через Интернет

Журнал «Технологии безопасности» № 2 (29), 2013 Главная тема: «Информационная безопасность»

Расследование инцидентов информационной безопасности в системах электронных платежей

Актуальность проведения мероприятий на тематику расследования инцидентов информационной безопасности в системах электронных платежей
Стр. 23

Основные этапы эволюции мошенничества в системах интернет-банкинга в контексте защитных мер и контрмер.
…
Мера: внедрение СМС-подтверждений.
Контрмера № 1: злоумышленник заказывает восстановление SIM-карты по поддельной доверенности (номер телефона, привязанный к учетной записи в системе интернет-банкинга, может запрашиваться у пользователя вредоносной программой под каким-либо предлогом).
Контрмера № 2: злоумышленник использует вредоносную программу для мобильных телефонов с целью получения кода подтверждения перевода (для установки вредоносной программы на мобильный телефон пользователя может использоваться уже функционирующая на его компьютере вредоносная программа, которая блокирует доступ к интернет-банкингу и отображает пользователю уведомление о необходимости установки на мобильный телефон дополнительной программы).
…
Стр. 24

Вместе с тем внутренние расследования банков зачастую либо не проводятся, либо проводятся формально и инциденты «спускаются на тормозах». Также немаловажным фактором является принятие решения банками о неразглашении инцидентов, так как это может негативно сказаться на репутации банка. Пока такие факторы будут являться доминирующими в банках, подобные эпизоды инцидентов останутся безнаказанными и это уже, в свою очередь, будет подстегивать криминальные круги использовать свои схемы и в дальнейшем.

Особенности производства экспертиз по делам о несанкционированном доступе к реквизитам банковских карт и ДБО
Стр. 25

В современном мире компьютерные преступники проявляют самый минимальный интерес к взлому банковских серверов. Они уже давно убедились, что взламывать аккаунты юридических лиц в системах дистанционного банковского обслуживания (ДБО) или использовать реквизиты банковских карт физических лиц гораздо проще и эффективнее, ввиду их меньшей защищенности и большей распространенности.

Расследование вирусозависимых компьютерных инцидентов: типичные ошибки пользователей до и после
Стр. 31

Тема очень деликатная. Ведь речь идет о виртуальных вещах, которые не положишь на стол.
Наше выступление также посвящено и типичным ошибкам, которые случаются до действий злоумышленников. Тут идет речь не об информационных структурах банков, не об их системах безопасности. Речь о пользователях. Банки действительно прилагают много усилий, чтобы обезопасить транзакции. Вводятся различные преграды для злоумышленников, и мы это видим. Чувствуется кропотливая работа специалистов-безопасников. С другой стороны, их работа идет в разрез с интересами банковских бизнес-подразделений, которые стремятся проще и быстрее доставить деньги до клиентов. Это противоречие обуславливает некоторую неосведомленность среди пользователей. Пользователи не всегда знают, что антивирус должен стоять на компьютере, что любой банковский троянец перед выпуском в свет проходит тестирование на антивирусах, как платных, так и бесплатных. Если вредоносную программу уже детектируют антивирусы, ее просто не выпустят. Злоумышленники также стремятся определить, как каждый антивирус реагирует на действия их вредоносных программ в живой природе, а это не показывает ни один антивирусный тест. От этого, по сути, зависит успешность работы тех самых злоумышленников. Любые проблемы с антивирусами, с обслуживанием, с обналичиванием тут же оставляют этих людей без куска хлеба.
Многие из тех пользователей, кто пользуется интернет-банкингом, применяют бесплатные антивирусы. Или же не обновляют коммерческие продукты. Много и тех, кто не использует антивирус вовсе.
Как происходит заражение? В основном все начинается с инфицирования сайтов. Не фишинговые, не порнографические, а самые обычные сайты, которыми мы с вами пользуемся: информационные, для бухгалтеров, даже сайты правоохранительных органов. Все это заражается. После того, как на компьютере жертвы оказывается троянец, он может снимать с него все, что угодно. Записывать все, что он вбивает на клавиатуре, снимать видео, делать аудиозапись и пр.
Есть банки, которые, не понимая этого, устраивают многоступенчатую систему защиты на своих ресурсах. Пользователи в процессе этого вводят массивы конфиденциальной, персональной информации о себе. Некоторые требуют ввести и данные кредитной карты пользователя. Это просит банк, не мошенники или фишеры. Так вот, вся эта информация может попасть к злоумышленникам. Не думая о том, как могут быть атакованы пользователи, банк выстраивает условную систему защиты, показывая свою заботу, а в результате все это уходит на сторону. О том, что компьютер заражен, пользователь, естественно, не подозревает.
Что происходит после того, когда деньги жертвы утекли к злоумышленникам? Осознав, что деньги со счета исчезли, люди звонят в банк. Естественно, они тут же устанавливают или обновляют свой антивирус, запускают сканирование. Антивирус свое дело сделает. И все, потом уже никаких экспертиз, ни расследований не будет. В ряде антивирусных продуктов есть функция анони-мизации пользователя: история браузера, cookies – все удаляется. В принципе, все это можно и через браузер сделать. Однако когда это делается антивирусом, все приобретает особый смысл. Раз советует антивирус, пользователь, доверяя ему, уж конечно так и сделает. Т.е., антивирус не оставит никаких шансов экспертам что-то потом сделать. Тут речь не только о самой угрозе, но и о пути заражения, что тоже важно понять при расследовании. Мы призываем обращать на это пристальное внимание. Нам бы хотелось, чтобы банки информировали пользователей об этом, держа в голове, что такая экспертиза может понадобиться.

предусмотреть установку по умолчанию доступа к кабинету пользователя только с белорусских «айпишников»

Ездящие за границу будут очень благодарны такому ограничению

RET_FRAN:

Но тут надо решить, что важнее в масштабах государства: безопасность банковских операций и платежей через Интернет либо интересы отдельных забывчатых/неграмотных граждан

А с белорусских IP пусть грабють население?

RET_FRAN:

А иначе зачем это рекомендовать банкам?

Затем, что МВД проще бахнуть "запретить и не пущать". Где МВД, а где банки.

Женщина заполнила анкету банка и заразила Windows. Учреждение говорит о совпадении

В свою очередь Национальный банк Республики Беларусь наряду с развитием сферы онлайн-услуг и сервисов постоянно расширяет список компаний — клиентов банков, компьютеры которых представляют угрозу для безопасности систем кредитно-финансовых институтов. Использование клиентами нелицензированного ПО, отсутствие лицензионных антивирусных программ, отсутствие контроля со стороны пользователя за информацией, получаемой посредством электронной почты и различных мессенджеров, — причины заражения компьютеров клиентов вредоносными программами и, как следствие, угроза для финансовых учреждений страны, предоставляющих дистанционные услуги и сервисы. Повышение уровня грамотности в области IТ-безопасности клиента — еще один аспект, на который следует обращать внимание современному человеку».

1. Каким законодательством регламентировано ведение указанного "списка компаний — клиентов банков, компьютеры которых представляют угрозу для безопасности систем кредитно-финансовых институтов"?
2. Обязан ли кто-либо информировать руководство компаний - клиентов банков о включении компании в указанный список?
3. Возможно ли ознакомится с указанным списком?

Профессионально об актуальном: О цифровых банковских технологиях

Межбанковская система идентификации
...
Смысл МСИ в том, что при совершении банковских операций и иной деятельности, для осуществления которой в соответствии с законодательством требуется проведение идентификации, Национальный банк и банки могут использовать данные о клиентах, их представителях, содержащиеся в системе идентификации.

RET_FRAN:

Читатель: «Попросил выписку по карте — списали 760 рублей и попытались оформить кредит». Деньги банк возвращать отказался

Между тем в возврате денег клиенту банк отказал. Вот какой ответ получил Алексей: «Банком были проанализированы операции, изложенные в Вашем обращении. В результате Банком было установлено, указанные Вами операции были осуществлены с использованием технологии аутентификации держателя карточки в форме услуги дистанционного банковского обслуживания Банка „Мобильное приложение“ (далее — Мобильное приложение). Установка и активация Мобильного приложения была произведена корректно, в соответствии с п. 13 Правил оказания услуг дистанционного банковского обслуживания физических лиц, являющихся неотъемлемой частью Договора об оказании услуг дистанционного банковского обслуживания.
В соответствии с п. 7 Инструкции о порядке совершения операций с банковскими платежными карточками, утвержденной постановлением правления Национального банка Республики Беларусь от 18.01.2013 №34 (далее — Инструкция), банк отказывает клиенту — физическому лицу в возврате денежных средств по операциям, не санкционированным держателем карточки, в случае, если операции были совершены с использованием технологии аутентификации держателя карточки посредством системы дистанционного банковского обслуживания.
Исходя из вышеизложенного, на основании п. 7 Инструкции, Банк отказывает Вам в возмещении денежных средств по операциям, указанным в Вашем заявлении.

Обуть лоха - это святое дело.
В 90-е у него бы забрали деньги, мобильник бы в жопу засунули, ещё бы и по [censored by Grace-o] настучали. Так что лоху несказанно повезло. Считай, отделался лёгким испугом.

1) В магазе карточку кассиру даете? Он обе стороны вашей карточки на магазинную камеру засветил? Все. Любой кто имеет доступ к изображению с этой камеры пожет совершать покупки по вашей карте в интернет. (правда если у вас какое -нибудь подтверждение операции по SMS настроено, то это спасет).
2) на работе в инет-банкинге что нить оплатили, вас отвлекли. вы браузер не закрыли. любой может подойти и сделать все что хочет с вашим счетом - но это случай когда сам дурак.

bykost:

В магазе карточку кассиру даете? Он обе стороны вашей карточки на магазинную камеру засветил? Все. Любой кто имеет доступ к изображению с этой камеры пожет совершать покупки по вашей карте в интернет. (правда если у вас какое -нибудь подтверждение операции по SMS настроено, то это спасет).

Эта услуга называется 3-D Secure. Должна быть активирована самим банком при выпуске карточки. Если таковой нет, то просто менять банк ...

ЗЫ Согласен, что SMS - не самый надёжный способ передачи кода подтверждения и российские банки уже перешли или переходят на push-уведомления ...

ew3:

shuravi89, не надо кормить ветку больного тролля RET_FRAN. Он болен и очень серьезно.

Паранойя в данном вопросе только приветствуется

ЗЫ