Экономика
Предупрежден — значит защищен. Потребителям стоит быть бдительнее при использовании банкоматов, как за рубежом, так и в Украине. Предательские устройства, ворующие деньги во время снятия наличных, становятся все более изощренными.
Согласно исследованию организации European ATM Security Team (EAST), количество инцидентов, связанных с банкоматами, увеличилось на 69% в первом полугодии 2011 года по сравнению с аналогичным периодом 2010-го. Две основные причины, которые вызвали новую волну мошенничества, — это аудиоскимминг и кеш-траппинг. Под двумя хитрыми терминами скрываются сравнительно простые и низкотехнологичные способы жульничества.
АТМ-скиммер (от англ. — «устройство для снятия сливок») крепится зажимами к слоту для приема карт и копирует данные с магнитной полосы карточки для дальнейшего использования. Как только крошечная камера, которую встраивают в скиммер, или накладка на клавиатуру банкомата ловит ПИН-код, банковская карта становится готовой к клонированию. Ее дубликат может использоваться в супермаркетах и, конечно же, для снятия денег в других банкоматах.
Эксперт по безопасности Брайан Кребс около года назад акцентировал внимание читателей в своем блоге на том, что злоумышленники стали делать АТМ-скиммеры из запчастей старых МР3-плееров. После этого он обнаружил еще несколько объявлений в Интернете, где продавали подобные устройства, сконструированные из МР3. А совсем недавно Брайан сам выявил подобный скиммер, который был встроен в кардридер банкомата Diebold Opteva 760, одного из наиболее популярных АТМ в США и Канаде.
Применение аудиотехнологии для записи данных с кредитных и дебетовых карт не есть что-то принципиально новое. К примеру, Square уже длительное время является очень популярным кард-ридером для iPhone, который работает, будучи подключенным к разъему для наушников iPhone, и конвертирует данные с магнитных лент пластиковых карточек в аудиофайлы.
«Набор начинающего скиммера» (продается в Интернете за 1 500 долларов) состоит из фейковой панели, которая идеально прилегает к верхней части банкомата, и миниатюрной видеокамеры, записывающей в момент активации скиммера процесс ввода ПИН-кода жертвой. Батарейка, поддерживающая работоспособность видеокамеры, может функционировать около шести часов.
Брайан Кребс говорит, что обычно поставщик подобного «набора» рекламирует «сервисное обслуживание после продажи» и «легкую, простую инсталляцию за 10—15 секунд». Хитрость состоит в том, что стоимость такого устройства не окончательная, ведь аудиофайлы получаются зашифрованными. Таким образом, МР3-файлы для мошенника будут бесполезны, пока он не подпишется на дополнительный сервис дешифровки у того же поставщика скиммингового устройства, который перекодирует аудиофайлы в цифровой формат, пригодный для изготовления контрафактных банковских карт. Обычно этот пособник, декодирующий аудиофайлы, требует около 20% украденных номеров кредитных карт с ПИН-кодами.
Популярная механика
Скимминговые устройства бывают двух видов: аналоговые и цифровые. Аналоговые основаны на технологии волн, таких как звуковые, а цифровые базируются на первичных данных, как бинарный код. При этом аналоговые устройства появились еще в ранних 1990-х.
В 1992 году хакерский новостной сайт Phrack Magazine опубликовал статью о том, как некоторые детали с магнитной полосы, включая звуковые тоны, могут быть легко скопированы и записаны на пластиковую карту. Консультант McAfee Роберт Сицилиано сравнивает подобные данные на карточке с тоновым набором на аналоговом телефоне. «Каждый номер на магнитной полосе имеет определенную частоту, которая может быть расшифрована», — указывает он. С помощью аудиотехнологий злоумышленники просто записывают эту частоту.
Как и некоторые другие схемы, этот метод мошенничества выпал на некоторое время из поля зрения, но из-за популярности МР3- и МР4-плееров стал применяться с новой силой. Махинаторы теперь повсеместно используют МР3-устройства для записи данных с карточек в аудиофайл на флеш-драйве. Это гораздо удобнее и дешевле, чем СМС или физический скимминг.
Раздраконить клиента
Кеш-траппинг (от англ. — «ловушка для денег») — действия злоумышленников, которые направлены на нарушение работы диспенсера банкомата. Иными словами, цель траппинга — чтобы средства, которые запросил пользователь в машине, оказались заблокированы. Как только человек прекращает попытки получить наличные из банкомата и уходит, из-за угла появляются мошенники и изымают хрустящие купюры.
Регулярные инспекционные проверки банкоматов, удаленный мониторинг АТМ и сверка трансакций могут предупредить финансовые учреждения по поводу случаев и схем кеш-траппинга. К сожалению, жуликов обычно крайне сложно поймать, поскольку они очень быстро изымают траппинговое устройство, после того как завладеют деньгами.
Видеонаблюдение — это традиционно лучший способ мониторинга событий, связанных с банкоматами. Но, к сожалению, большинство банков не мониторят АТМ в режиме реального времени.
Роберт Сицилиано подчеркивает, что мошенники будут продолжать придумывать различные трюки и приемы, чтобы воровать деньги. И банки должны их досконально изучать. «Иногда что-то новенькое означает хорошо забытое старое. Банки обычно менее склонны к инновациям, особенно когда речь идет о безопасности», — замечает Сицилиано.
Рынки, далекие от EMV
В EAST подсчитали, что около 77% финансовых убытков, связанных с АТМ-скиммингом, следствие инцидентов на рынках вне Европы, особенно в США, где стандарт Europay, MasterCard и Visa, более известный как EMV, не является для банков обязательным.
За девять месяцев 2011 года финансовые потери от АТМ-скимминга были зафиксированы в 47 странах за пределами единой зоны платежей в евро (SEPA) и в 12 государствах внутри нее. Согласно данным EAST, США продолжают лидировать в рэнкинге по размеру убытков из-за скимминга. Далее следуют Доминиканская Республика, Россия и Бразилия. Региональная блокировка, которая позволяет банкам-эмитентам блокировать местные платежные карточки в случае их использования за рубежом или превышения лимита, все же дает возможность сдерживать убытки от скимминга.
Злоумышленники, орудующие в банковской сфере, причиняют серьезный ущерб финансовым организациям. Банки по-разному борются с ними. К примеру, ПриватБанк сделал специальный сайт и открыл горячую линию по вопросам противодействия мошенничеству. Отправляя сигнал экспертам направления «Внутренний контроль и фрод-менеджмент», клиенты могут рассчитывать на вознаграждение. Таким образом, не только активные действия банка, но и сознательность пользователей позволят избежать неприятностей, связанных с активностью мошенников.
Артем Румянцев,
специально для Банки.ua
artem@roomian.org
Линки на статью:
- Банки.ua: Банкоматы обворовывают с помощью МР3-плееров
