NFC Эксперт Проверка операции снятия денег с карты в магазине
При снятии денег с карты в магазине возникают случаи, когда сумма снятия оказывается больше, чем указано в кассовом чеке. Что делать в такой ситуации?
Возможные действия
Запросить копию чека в магазине. Обычно магазин должен предоставить копию чека по вашему запросу. Это может помочь в решении проблемы.
Обратиться в банк. Если на вашем банковском клиенте указано, что с карты было снято больше денег, чем указано в чеке, стоит обратиться в банк для выяснения ситуации.
Жалоба в банковскую службу безопасности. Если у вас возникли подозрения на махинации магазина, связанные с снятием денег с карты через терминал, стоит подать жалобу в банковскую службу безопасности.
Рекомендации
- Храните все чеки от безналичных операций до проверки, это может помочь во избежании подобных ситуаций.
- Следите за операциями на вашем банковском клиенте, это поможет своевременно выявить возможные проблемы.
- Лучше обращаться в банк с подобными вопросами, так как магазины могут уклоняться от предоставления информации.
В случае возникновения подобных ситуаций, рекомендуем действовать согласно вышеуказанным рекомендациям. Не стесняйтесь обращаться в банк для защиты своих интересов.
Примечание: Данный текст является руководством и основан на опыте пользователей. При возникновении проблем с снятием денег с карты, проконсультируйтесь с вашим банком для получения конкретной поддержки и рекомендаций.
Грязный мальчик
Может быть через службу банка, которая ставила терминал.
Да я то в принципе клал.
Осенью 2023 года прошла первая конференция Тинькофф Журнала.
Мы говорили о том, как копить, зарабатывать, приумножать, защищать и тратить свои деньги. На сайте конференции можно посмотреть список докладов и получить доступ к записи выступлений.
Я рассказал, какие схемы разводов популярнее всего прямо сейчас, а потом ответил на вопросы слушателей. Выступление продлилось почти полчаса. Ключевые идеи — в этом конспекте.
## Схема с безопасным счетом — самая популярная
Суть схемы в том, что человека уговаривают снять деньги в банкомате и положить на счет мошенников. Звонящие представляются сотрудниками спецслужб или банков и убеждают собеседника, что его средства в опасности и единственный способ их спасти — перевести на безопасный счет. Бывают и другие вариации развода, когда поводом для операции становится участие в следственном эксперименте или даже спасение организации от бухгалтерской проверки.
Судя по отзывам, развод очень энергозатратный: если человек вступает в диалог, его обрабатывают несколько часов, переключают между разными мошенниками, угрожают, давят, сулят спасение. Пострадавшие часто говорят, что очень быстро переставали понимать, что и зачем они делают, — и начинали просто выполнять инструкции.
Суммы потерь — десятки и сотни тысяч рублей.
Подробнее о разных вариациях развода читайте в нашем журнале:
Мошенничество по телефону — самый распространенный тип мошенничества в России. В прошлом году наши сограждане потеряли из-за него 14 млрд рублей
Вот основные признаки того, что вам звонят мошенники — из полиции, банка и вообще откуда угодно.
🚩 Вас торопят. Например, уговаривают срочно спасать деньги — прямо сейчас, иначе вы все потеряете. Человека в панике намного проще убедить перевести деньги на защищенный счет или сказать код из смс для отмены заявки.
🚩 Давят авторитетом и угрожают. Например, мошенник представляется следователем ФСБ и уверяет, что при отказе от сотрудничества вас ждет тюрьма: наряд уже готов выехать для задержания. Советоваться ни с кем тоже нельзя: вас якобы накажут за разглашение информации.
🚩 Настраивают против банка. Мошенники знают, что у банков есть технологии, которые помогают отследить подозрительные операции. Сотрудники звонят клиенту и пытаются разобраться, не тот деньги по наводке мошенников.
Поэтому злоумышленники пытаются запугать человека: Не верьте, что вам звонят из банка! На самом деле они в сговоре с мошенниками! Скажите, что снимаете деньги в личных целях и с вами никто не связывался.
🚩 Спрашивают коды. Настоящий сотрудник банка никогда не спросит код из смс или три цифры с обратной стороны карты. Иначе его уволят и привлекут к уголовной ответственности.
🚩 Требуют снять деньги в банкомате. Услышали такое требование — можете быть уверены, что это развод. Кладите трубку и добавляйте номер в черный список.Если заподозрили неладное, скорее всего, ваши опасения оправданны. Просто повесьте трубку. Если сомнения остаются, перезвоните в банк или полицию по номеру с официального сайта и опишите ситуацию. Скорее всего, вас успокоят и подтвердят, что вы говорили с мошенниками.
А если вам мешают прервать разговор, возьмите паузу: например, скажите, что вам надо закрыть форточку, или просто положите телефон на стол. Отойдите от него на пару шагов и сделайте несколько глубоких вдохов и выдохов. Чаще всего этого достаточно, чтобы вспомнить обо всем, что вы читали в интернете о таких ситуациях. Подробнее о том, как справиться с эмоциями и не дать себя обмануть, мы рассказали в первом уроке бесплатного курса Как защититься от мошенников.
Если подозреваете, что вас хотят обмануть, не прощайтесь — кладите трубку. Не пытайтесь переиграть мошенника, это опасно
Фальшивые брокеры заманивают обещанием сверхприбыли
Людям предлагают вложиться в акции, которые специально для них отобрали лучшие аналитики: мол, есть секретные стратегии, которые увеличат инвестиции в несколько раз.
Вот только инвестировать предлагают через специальных брокеров, потому что обычные якобы дерут огромные комиссии, а еще работать с ними опасно санкций. На самом деле мошенники не имеют отношения к брокерам, ничего никуда не инвестируют, а доходность рисуют.
Забрать у фальшивого брокера прибыль или свои деньги не получится. Сначала клиенту предложат заплатить комиссию за управление, потом налоги на прибыль, потом придумают еще — и так пока не закончатся деньги. Иногда мошенники не выдумывают новых брокеров, а прикидываются настоящими — но суть схемы от этого не меняется.
Подробнее о том, как выглядит развод и как от него защититься:
Мошенники любят устраивать тесты на знание инвестиций: якобы для того, чтобы подобрать вам лучшую стратегию. Но вопросы будут в духе Вы любите деньги? А видели их когда-нибудь вживую?
Признаки брокера-мошенника
- Работа без лицензии. У настоящего брокера должна быть лицензия, выданная Центральным банком.
- Предлагают пополнить счет через криптовалюту. Переводы через криптовалюту не получится отследить и вернуть — этим и пользуются мошенники.
- Настораживающая щедрость. Честный брокер может подарить несколько акций за открытие счета, в то время как брокер-мошенник пообещает удвоить ваши вложения и заверит, что вы обязательно получите прибыль.
Cредний возраст участников пирамиды
Средний возраст участника пирамиды составляет 40 лет. Большинство из них испытало юные годы в период быстрого расцвета финансовых пирамид, таких как МММ и Мавроди. Однако помимо этого, мошеннические схемы привлекают людей всех возрастов и социальных групп, независимо от опыта и предыдущего опыта инвестирования.
Как распознать финансовую пирамиду
Есть несколько ключевых признаков, которые могут помочь вам распознать финансовую пирамиду и избежать попадания в ловушку:
🚩 Гарантированная прибыль: Любая компания, кроме банков, не имеет права гарантировать прибыль, особенно если эта прибыль кажется слишком хорошей, чтобы быть правдой. Помните, что вложения всегда сопряжены с риском.
🚩 Нереальная доходность: Если компания обещает вам нереально высокую доходность, скорее всего это нечестный трюк, чтобы привлечь вас. Обещания о суперприбылях чаще всего оказываются пустыми.
🚩 Отсутствие реального товара или услуг: Финансовые пирамиды обычно не предлагают конкретных товаров или услуг, на которых базировалась бы их деятельность. Это часто признак того, что деньги вкладываются не в реальный бизнес, а в пустой обещания.
🚩 Большие бонусы за пополнение счета: Если компания предлагает вам гигантские бонусы за пополнение счета, будьте бдительны. Часто такие бонусы финансируются за счет денег новых участников, что указывает на пирамидальную структуру.
Как избежать мошенничества на пирамидах
Чтобы защитить себя от финансовых мошенников, следует быть внимательным и никогда не вкладывать деньги в схемы, которые кажутся подозрительными. Всегда проверяйте информацию о компании, изучайте ее репутацию и не поддавайтесь на обещания быстрой и легкой прибыли.
А помощником в распознавании мошеннических схем могут послужить признаки, описанные выше. Будьте бдительны и не попадайтесь на уловки мошенников, предлагающих слишком хорошо, чтобы быть правдой, вложения.
Для начала просят написать менеджеру в «Телеграме» или «Вотсапе». Он рассказывает, что маркетплейс нанимает людей, которые будут выкупать товары через специальный сервис для сотрудников, а потом продавать его компании. Предлог может быть любым: якобы так маркетплейс стимулирует продавцов, анализирует спрос на товары или тестирует сервис.
Чем дороже товар, тем больше обещают заплатить. Правда, выкупать придется за свои деньги: мол, так устроен сервис, ничего не поделаешь. В качестве тестового задания предложат выкупить и продать товар за несколько сотен рублей. Особо коварные мошенники после этого и правда переводят на карту сотрудника бонус — это повышает доверие к схеме.
После этого суммы повышаются. Но «заработок» уже не вывести: якобы для этого нужно выкупить товаров на определенную сумму. Если человек на это соглашается, возникают новые проблемы: «работодатель» попросит заплатить за оформление зарплатной карты, доступ к рабочей программе или помощь менеджера. Вычесть комиссии и налоги из зарплаты нельзя. Но денег «сотрудник» точно больше не увидит.
Недавно мошенники придумали еще один способ заставить человека продолжать платить: они создают групповые чаты в мессенджерах. Это выглядит так, будто люди общаются, работают, соревнуются и выводят заработок. А если человек хочет перестать платить, ему говорят, что так он подведет своих товарищей из группы: этого никто ничего не получит. На самом деле никого кроме него там нет: это все боты, которые только симулируют активность.
Схема очень опасна: люди теряют сотни тысяч рублей и влезают в кредиты.
Подробнее о схемах, связанных с работой в интернете:
Мошенникам вечно что-то мешает вам заплатить: то залог, то комиссия, то налог
Эти красные флаги сигнализируют, что за работу заплатите вы, а не вам.
🚩 Хороший заработок без опыта работы. Известная компания берет всех подряд, даже без нормального собеседования. Работа элементарная: например, нужно нажимать кнопки на сайте по указке.
🚩 Нет договора. За крупными компаниями пристально следит налоговая. Если она вдруг узнает — а она узнает, — что компания работает с без договора и не платит налоги, работодателю назначат огромные штрафы.
🚩 Перевод на карту физлица. Такие переводы невозможно оспорить и вернуть. И странно, что крупная компания просит вас заплатить пару тысяч переводом на карту Васи.
🚩 Просят деньги, чтобы дать денег. Даже если для начала работы надо заплатить, честный работодатель просто вычтет нужную сумму из зарплаты. Например, деньги на форму или медкнижку. А некоторые затраты вообще возьмет на себя.
Напоследок: если вам написали от имени сотрудников Тинькофф Журнала и предложили деньги за то, чтобы вы заполнили анкету, — это мошенники
Запомнить
Этот парень открыл все турникеты на станции. Вы до сих пор считаете, что все хакеры вредны?
Жителям Бостона статья поможет получить бесплатные поездки, а для всех остальных этот материал будет неплохим уроком по реверс-инжинирингу. Ну или, по крайней мере, вы узнаете любопытную историю.
Разные авторы неоднократно писали на Хабре о взломе транспортных карт. В 2016-м досталось «Тройке», затем «Подорожнику», «Ситикард» и Metromoney. Первые статьи из этой серии вскоре загадочно исчезли со страниц сайта, но исправить проблему дырявых транспортных систем в реальности оказалось несколько сложнее. Иначе почему она актуальна и сегодня, спустя 7 лет, в крупных городах по всему миру?
На этот раз тему исследовали простые старшеклассники Мэтти Харрис, Захари Бертокки, Ноа Гибсон и Скотт Кэмпбелл. В итоге они выступили с докладом на DEF CON 31. Давайте разберемся, как и чего они добились.
Краткая предыстория
Итак, хакерской атаке подверглось "the T" (оно же MBTA) — транспортное управление залива Массачусетс. Американское государственное агентство, которое координирует работу местного метро, пригородных поездов, паромов и большинства автобусов в Бостоне. Еще это самая старая транспортная система в США, и в 2008 году у нее уже были проблемы с хакерами.
Тогда группа студентов MIT поняла, как взломать карты Charlie с магнитной полосой и начислить на них до $600. Они хотели выступить на DEF CON с презентацией, но MBTA такая идея не понравилась. Агентство наложило судебный запрет, и доклад не состоялся.
Ирония в том, что, когда на них подали в суд, согласно американским законам презентация и все материалы исследования перешли в общественное достояние. Эти записи и вдохновили новое поколение хакеров на еще одну попытку.
Шило на мыло
В прошлый раз взлом транспортных карт начался с покупки считывателя магнитных полос. Поэтому MBTA отказалась от этой технологии и теперь использует бесконтактные проездные.
Захари Бертокки начал собственное исследование и выяснил, что в «современных» бостонских проездных используется технология MIFARE. У нее есть множество разновидностей: MIFARE Plus, Ultralight, DESfire, но самая печально известная — MIFARE Classic. Конечно, именно она используется в картах Charlie. Захари поискал подходящий считыватель NFC и, перебрав несколько вариантов, остановился на PN532. Это небольшая красная платка стоимостью около $9, которая продается на Aliexpress и работает в паре с Raspberry Pi.
В MIFARE Classic применяется проприетарный 48-битный алгоритм шифрования NXP под названием Crypto1, который основан на принципе security through obscurity. При поверхностном погружении в криптографию может показаться, что это неплохо. На самом деле подобное шифрование реально взломать примерно за час, что было неоднократно продемонстрировано на практике. В отличие от обычного шифрования, в котором есть один или два ключа, в MIFARE Classic суммарно насчитывается 32 Sector keys. Чтобы их получить, можно использовать два вида атак: nested и dark side. В сети нетрудно найти ряд инструментов для их реализации и всю необходимую справочную информацию.
Захари нашел в сети стандартные ключи MIFARE, загрузил их в утилиту под названием MFOC, которая реализует атаку nested, и получил все шестнадцать пар ключей A и B.
Очевидно, что при внедрении бесконтактных проездных MBTA попросту не позаботилась о смене стандартных ключей. Это развязывает руки всем желающим манипулировать данными, записанными на карточки.
Скриншот из шестнадцатеричного редактора с двоичными данными транспортной карты Charlie
Сперва Захари сделал дамп двоичных данных с проездного Charlie, чтобы провести атаку на подобие той, которая получилась у студентов MIT. Он записал дамп на пустую болванку — китайскую карту с бэкдором, позволяющим изменять UID. И это сработало.
Терминал снял деньги с болванки, но на оригинальной карте осталась прежняя сумма. Следовательно, в этой транспортной системе нет источника истины в виде некой базы данных. Вся информация о балансе хранится непосредственно на карте.
Не все так просто
Такое клонирование напоминает чит-код на бесконечные деньги, но с ним связан ряд проблем. Чтобы эксплуатировать подобную уязвимость, сперва нужно купить и пополнить оригинальную карту. Притом пары одинаковых проездных довольно быстро блокируют — их многократное использование вызывает срабатывание систем защиты. Совсем другое дело — подделка карт. Но для этого пришлось внимательно изучить шестнадцатеричный дамп.
Выяснилось, что при преобразовании первых четырех байтов (UID) в десятичный вид они соответствуют напечатанному на проездном числу — серийному номеру.
Затем Захари вспомнил, что в старых билетах Charlie была контрольная сумма, и нашел нечто похожее в свежем дампе.
Байты данных, которые выделены жёлтым, наверняка являются контрольной суммой, ведь они есть даже в тех строках, которые заполнены нулями
К сожалению, ни один из десятков популярных алгоритмов хэширования не сработал с этими строками.
Расшифровка хэша
Где-то на этом этапе к проекту присоединились Скотт Кэмпбелл и Мэтти Харрис. Вместе исследователи начали сравнивать дампы разных карт.
Примеры контрольной суммы из двух разных карт
В приведенном примере одинаковые строки из двух дампов с разных проездных имеют разную контрольную сумму. Значит, к ним добавлена криптографическая соль. Понимание этого могло бы стать следующим шагом в расшифровке хэша. Но исследователи порядка трех недель проверяли стандартные калькуляторы контрольных сумм с солью и все равно ничего не добились.
Прорыв обеспечил поиск математических закономерностей между контрольными суммами. Оказалось, если взять пару строк с одинаковыми данными из разных проездных и применить к ним функцию XOR, получается одно и то же значение.
0x98С3 — модификатор контрольных сумм
Как это можно использовать? Первый шаг — поиск двух одинаковых строк. Проще всего взять те, которые содержат одни нули. Затем идет расчет модификатора контрольных сумм. Так исследователи назвали значение, которое получается при XOR двух контрольных сумм. Это значение можно использовать для переноса строк с одной карты на другую.
Для этого нужно скопировать любую строку из дампа карты, а затем применить XOR к старой контрольной сумме, и получить новую. После этого остается записать её в соответствующий слот, и строка скопирована.
Возможности для реверс-инжиниринга
На первый взгляд, такой подход мало отличается от простого клонирования, но он позволяет не просто переносить дампы с карты на карту, а редактировать данные. К тому же значительно расширяются возможности для реверс-инжиниринга.
Долгое время Харрис, Бертокки, Гибсон и Кэмпбелл действовали методом проб и ошибок, меняя случайные данные на картах и тут же прикладывая их к считывателям на станциях в метро. Чтобы сэкономить время и перезаписывать карты "не отходя от кассы" они собрали портативный считыватель NFC из PN532, Raspberry Pi и повербанка
Допустим, вы пополнили проездной на $50 и клонировали его. Если проездной заблокируют, то эти средства пропадут. Но можно скопировать строку с деньгами со старой карты на новую и пользоваться ей дальше. Для этого нужно определить, в какой строке дампа закодирована информация о хранящихся на карте средствах. Естественно, это значение должно меняться после оплаты, так что требуется только найти нужные переменные.
Зелёным показана текущая сумма на карте, розовым — предыдущая
Казалось бы, не похоже на сумму в долларах, но тут начинается математическая магия. Если преобразовать значения из шестнадцатеричного в десятичный вид, то получаются следующие числа.
Все еще и отдаленно не напоминает баксы, но если поделить эти значения на два, то они начинают выглядеть знакомо. Повторив такие операции еще с несколькими картами, исследователи поняли, что именно в этой переменной хранятся деньги. Только они почему-то выражены в половинках — 0,5 цента. Примерно также выяснилось, что в памяти каждой карты есть два регистра транзакций: по одному для текущего и предыдущего значений.
Как изменить содержимое карты и «накрутить» деньги
Первым делом нужно изолировать переменные. Как видите, единственные различающиеся между этими двумя строками данные выделены красным.
Слева — деньги, справа — контрольная сумма
Затем исследователи попробовали выполнить XOR двух значений в разных версиях. По своему логично, ведь эта операция была ключом к копированию данных между картами. Так удалось получить выделенное зелёным значение, которое назвали модификатором данных. Затем операции XOR подвергли две контрольные суммы, что дало помеченное красным значение — модификатор контрольных сумм.
Далее исследователи взяли карту, на которой лежало ноль долларов и ноль центов и выполнили XOR с модификатором данных. Параллельно XOR-у подвергли контрольную сумму с модификатором контрольных сумм.
Сработало: получилась новая строка, которую записали на карту. И считыватель принял ее.
Впрочем, этих изменений оказалось недостаточно даже для одной поездки. Чтобы значительно увеличить сумму, на карту сперва пришлось положить еще 25 центов.
Дополнительный четвертак понадобился, поскольку в этом методе используется XOR двух значений. Как видно из примера выше, со значением 15 невозможно выполнять XOR и дальше. Необходимо добавить внешнее значение, чтобы получить ещё один бит, и только после этого продолжать «накрутку».
Имея на руках карту с двумя долларами и шестьюдесятью центами, можно повторять описанные операции раз за разом:
И так по кругу.
Модификаторы данных и контрольной суммы удваиваются, пока не упираются в предельное значение $327,67. Это притом, что обычно карту Charlie нельзя пополнить более чем на $100.
Позже исследователи усовершенствовали процесс так, чтобы не приходилось каждый раз добавлять 25 центов: собрали все модификаторы в большую таблицу и автоматизировали модификацию дампа.
Словарь и краткое описание преобразований разных типов данных в памяти проездного
С учетом автоматизации в конечном счете взлом транспортной системы Бостона свелся к двум шагам:
Post-mortem
Самое интересное в дампе — переменные, которые отвечают за деньги и тип карты. Первые позволяют изготовить Charlie на $300, а вторые — делать проездные для людей с нарушением зрения, пенсионеров, студентов и сотрудников метро.
Для демонстрации своих достижений Харрис, Бертокки, Гибсон и Кэмпбелл собрали автомат для записи транспортных карт и обратились в MBTA.
CharlieKiosk v2: Raspberry Pi 4, PN532, Raspberry Pi, набор динамиков Adafruit корпус из 3D-печатного PLA. UI на базе фреймворка Tauri (источник)
Хотя взлом транспортных карт незаконен, на этот раз транспортное агентство не стало подавать в суд. Более того, он даже разрешило нашим героям сделать доклад о своем проекте на DEF CON.
Исследователей пригласили на совещание в головной офис управления и выслушали их рекомендации. По сути они сводятся к следующему:
Сделало ли транспортное управление залива Массачусетс какие-то выводы из всей этой истории? Кажется, что да. Bostonglobe пишет, что MBTA совместно с исследователями разработало автоматизированные сценарии, которые могут распознавать поддельные карты и удаленно деактивировать их каждые 24 часа. Тем не менее, окончательное решение проблемы явно потребует замены нынешней системы CharlieCard. Модернизацию планируется завершить к марту 2025 года.
По данным Тинькофф на март 2020 года, чтобы обезопасить себя от мошенников, необходимо соблюдать следующие меры безопасности:
МВД обнаружило массу фишинговых сайтов, нацеленных на клиентов «Киви-банка»
Дело в том, что 21 февраля 2024 года ЦБ РФ отозвал лицензию у «Киви-банка». Как пояснил регулятор, кредитная организация нарушала законы и нормативные акты ЦБ, а ее деятельность «характеризовалась вовлеченностью в проведение высокорисковых операций», среди которых — переводы денежных средств в пользу криптообменников, нелегальных онлайн-казино, дропперов, букмекерских контор и т. п. Подробнее здесь.
Деньги, которые заблокированы на Qiwi-кошельках, могут привлечь мошенников
Мошенники также начали активно действовать прямо в тот же день, 21 февраля. Как предупредили в МВД, уже в тот же день в 14:00 по московскому времени, было зарегистрировано свыше 200 доменов в сегментах .com, .ru, .org, .net, .de, .cn, .ltd. Например, это были названия доменов qewi, qi-wi, qi7i, qivi и многие другие. Пока зарегистрированные домены представлены в виде пустых страниц или платформ для переадресации на иные сайты, в том числе и фишинговые, однако в любой момент они могут быть использованы для фишинга.
Операторы связи в России начали предлагать банкам услуги по выявлению клиентов, через которых снимают похищенные деньги
В феврале 2024 года операторы связи в России начали предлагать банкам услуги по выявлению клиентов, через которых снимают похищенные деньги. Речь идет о распознавании так называемых дропперов – граждан, которые участвует в мошеннической схеме, предоставляя злоумышленникам доступ к своему банковскому счету для обналичивания или транзита похищенных средств.
Как пишет «Коммерсантъ», МТС предлагает финансовым организациям сервис по проверке физлиц перед оказанием финуслуг. Суть услуги заключается в том, что при открытии банковского продукта клиент вводит номер телефона, и банк направляет его оператору на проверку на наличие подозрительных паттернов поведения, таких как частая смена сим-карт, отсутствие привязки номера к интернет-банку, посещение определенных интернет-ресурсов и т. д. Оценка проводится при помощи скоринговых моделей, в том числе по клиентам других операторов.
Подобный сервис предлагает и «ВымпелКом». В компании рассказали газете, что внутри сервиса «заложены модели машинного обучения, которые, в частности, оценивают паттерны поведения и способны распознавать подозрительные действия клиента». По словам представителя Tele2, компания также собирается предложить услугу выявления дропперов как среди своих абонентов, так и клиентов других операторов связи.Российский рынок ERP-систем сократился, но приготовился к росту. Обзор и рейтинг TAdviser
По словам директора практики по оказанию консультационных услуг компаниям финансового сектора Kept Ольги Бледновой, одним из основных признаков дропперов является частое изменение SIM-карт в короткий период времени, в том числе в разных регионах, или отсутствие привязки номера к интернет-банку.
Глава ЦБ Эльвира Набиуллина предлагает бороться с кредитным кибер-мошенничеством с помощью процедуры охлаждения
Председатель Центробанка России Эльвира Набиуллина в рамках форума «Кибербезопасность в финансах» в середине февраля подвела статистику по мошенничеству в финансовой сфере и предложила дополнительные методы для снижения ущерба как от мошеннических транзакций, так и от кредитного мошенничества. В частности, она предложила разработать норму для введения периода охлаждения для выдачи крупных кредитов (от 1 млн рублей) по аналогии с требованиями принятого в прошлом году закона №369-ФЗ, где мошеннические транзакции могут быть оспорены в течении 30 дней с возвратом денежных средств. Впрочем, для кредитов предлагается ввести период охлаждения всего сутки-двое.
Норма по оспариванию подозрительных транзакций, которая предусмотрена законом №369-ФЗ, должна вступить в силу 25 июля – через год после принятия соответствующего нормативного акта летом прошлого года. Он вносит изменения в закон «О национальной платежной системе» (№161-ФЗ) и предусматривает постоянное взаимодействие банков с созданной ранее на базе ФинЦЕРТа базой данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента.
Этот механизм защиты работает так: если очередная транзакция по результатам анализа ее атрибутов вызывает сомнения у ФинЦЕРТа, то банку передается информация об этом подозрении, и уже на банк возлагается обязанность получить от клиента добровольное согласие на проведение операции.
Система была создана достаточно давно и уже активно применяется в практике наиболее продвинутых банков, однако приведенная ЦБ РФ статистика по ущербу показывает, что возможности для снижения этого риска все-таки остаются. В частности, в прошлом году мошенникам всё-таки удалось украсть у банковских клиентов 15,8 млрд рублей, из которых банки смогли вернуть только 8,7% от этой суммы. Однако количество предотвращенных случаев мошенничества внушительно — заблокированы системой контроля транзакций без согласия клиентов операции на сумму около 5,8 трлн рублей.
Панельная дискуссия Центробанка по мошенничеству в финансовой сфере
Впрочем, по раскрытым ЦБ РФ данным объем операций, проведенных без согласия клиентов, в 2023 году вырос по сравнению с 2022 годом на 11,5%, до 15,8 млрд руб., а число таких транзакций увеличилось до 1,17 млн – на треть. Поэтому и потребовалось введение обязательного использования блокировок транзакций без согласия клиента, которые должны заработать летом во всех банках.
Однако набирает обороты другая тенденция – кредитное мошенничество, когда люди берут кредиты и отдают их мошенникам якобы на «безопасный счет». Причем для этого может и не использоваться банковские транзакций. Деньги с кредитного счета снимаются его владельцем, а потом через банкомат передаются на счет мошенника.
Для снижения подобного риска Эльвира Набиуллина предложила ввести период охлаждения кредитных операций, то есть одобрения их через определенное время. За сутки-двое жертвы обычно приходят в себя и отказываются от подозрительных для них операций.
Мы самостоятельно ввели период охлаждения по кредитным операциям, – сообщил на круглом столе Вадим Кулик, заместитель президента, председателя правления банка ВТБ. – Достаточно ночи, чтобы клиенты пришли в себя. Блокировка же на 48 часов помогают долечить и остальные проблемы мошеннического кредитовая.
Об аналогичных мерах с периодом охлаждения выдачи кредитов заявил и Станислав Кузнецов, заместитель председателя правления Сбербанка, где установлены 24 часа отсрочки по выдаче кредитов. По мнению руководства банка этого вполне достаточно.
Для ограничения же «наличных переводов» – через банкоматы – Эльвира Набиуллина предлагает ввести ограничения на сумму средств, которые можно внести через банкомат за сутки. Это также будет своеобразный период охлаждения, и на другой день купюры на «безопасный счет» класть уже не будут. Сейчас продумываются механизмы, на каком уровне подобные ограничения нужно вводить, чтобы они были достаточно эффективны.