Хакеры способны в два клика «телепортировать» цифровые кошельки на другие континенты.

Киберпреступники из Китая нашли новый способ зарабатывать на краденных данных банковских карт, превращая их в цифровые кошельки для цифровых и физических покупок. Пока по всему миру полным ходом идёт внедрение чипованных карт, которое ослабило рынок кардинга, китайские кибергруппировки создают инновационные схемы, которые снова делают его прибыльным.

Основой новой схемы стали фишинговые атаки через iMessage и RCS. Жертвы получают сообщения, якобы от почтовой службы или оператора платных дорог, с требованием оплатить несуществующую задолженность. Перейдя по ссылке и введя данные карты, пользователи сталкиваются с дополнительной проверкой — банк отправляет одноразовый код. Но вместо подтверждения оплаты мошенники используют этот код, чтобы привязать карту к своему устройству через Apple Pay или Google Pay.

Исследователь безопасности Форд Меррилл из SecAlliance рассказал, что мошенники привязывают от четырёх до шести чужих банковских карт к одному смартфону, после чего продают такие устройства за сотни долларов через специализированные Telegram-каналы.

Однако на этом китайские злоумышленники не остановились. Так называемый «призрачный тап» (Ghost Tap) — является более продвинутой технологией в данной сфере. Приложение ZNFC, продаваемое в даркнете за $500 в месяц, позволяет удалённо передавать NFC-транзакции. Достаточно поднести свой собственный смартфон к терминалу оплаты в любой стране мира, и платёжная операция будет проведена с устройства мошенников в Китае.

Метод Ghost Tap уже привёл к ряду арестов в Сингапуре: власти задержали нескольких человек, покупавших дорогие товары с помощью поддельных цифровых кошельков. По данным полиции, за неделю таким способом было украдено более $100 000.

Тем не менее, на этом арсенал злоумышленников не заканчивается. Чтобы максимизировать прибыль, они применяют и другие методы. Например, они фиксируют любые введённые на поддельных сайтах данные в режиме реального времени, даже если жертва заметила подвох и не отправила свои данные. Также мошенники убеждают пользователей ввести платёжные данные сразу от пары карт, утверждая, что первая карта не прошла проверку.

Банки и платёжные системы пока не успевают реагировать на новые схемы атак. Хотя в Европе и Азии некоторые банки уже требуют авторизации через мобильное приложение перед привязкой карты к цифровому кошельку, в других странах эта практика пока что не стала нормой.

Эксперты предупреждают, что борьба с Ghost Tap потребует существенной модернизации POS-терминалов и усиления контроля за массовым созданием учётных записей Apple и Google. Однако ни один из техногигантов пока не предпринял видимых шагов для противодействия этой угрозе.

Гражданин Украины экстрадирован в США за участие в международной схеме «кардинга».

Гражданин Украины, 49-летний Вячеслав Александрович Басович, был экстрадирован в Соединенные Штаты из Германии для предъявления федеральных обвинений за его предполагаемое участие в международной схеме «кардинга» –  краже личной и финансовой информации жертв, включая информацию, связанную с кредитными картами, банковскими картами, дебетовыми картами или другими устройствами доступа, и использованием этой информации для получения денег, товаров или услуг без разрешения или согласия жертв. 

По версии обвинения, в результате этой схемы было получено более 1,8 миллиона долларов мошеннических платежей по кредитным и дебетовым картам.

Басович был арестован в Германии 19 декабря 2023 года и экстрадирован в США 8 августа 2024 года. Он обвиняется в сговоре с использованием электронных средств связи, мошенничестве с устройствами доступа и сговоре с целью отмывания денег. 

Согласно обвинению, с октября 2013 года по февраль 2022 года Басович вступил в сговор с другими людьми с целью участия в международной схеме «кардинга»: Басович с сообщниками получили персональные данные и данные платежных карт жертв и использовали украденную информацию для несанкционированного снятия средств с кредитных и дебетовых карт. 

Мошенники снимали от $7 до $15 и поэтому оставались незамеченными. Басович и его сообщники совершили более 148 000 мошеннических транзакций на общую сумму более 1,8 миллиона долларов и с использованием платежных карт жертв было совершено более 5100 мошеннических платежей.

“Жадность не знает границ, но и справедливость не имеет границ,” — заявила прокурор Дена Дж. Кинг, прокурор США Западного округа Северной Каролины. 

В случае доказательства вины обвиняемому грозит максимальное наказание в виде 20 лет заключения за сговор с целью мошенничества с использованием электронных средств и сговор с целью отмывания денег; и 10 лет тюрьмы  за мошенничество с устройствами доступа.

Форум Carding Mafia, связанный с куплей-продажей похищенной финансовой информации и данных кредитных карт, был взломан хакерами. По данным сервиса для проверки скомпрометированных данных Have I Been Pwned, в результате атаки были скомпрометированы почти 300 тыс. учетных записей участников форума.

Скомпрометированная информация включала адреса электронной почты, IP-адреса, логины и хеши паролей 297 744 пользователей. На момент написания новости на форуме Carding Mafia и его общедоступном канале Telegram не было никаких предупреждений об утечке данных.

Основатель Have I Been Pwned Трой Хант (Troy Hunt) подтвердил изданию Motherboard, что взломанная база данных является легитимной. Хант также обнаружил в базе данных адреса электронной почты пользователей сервиса Mailinator. Хант проверил скомпрометированные электронные адреса с помощью функции «Забыл пароль», и выяснил, что данные распознаются как действительные. Обычно адреса электронной почты Mailinator создаются для одной цели и не используются повторно. Тот факт, что адреса содержатся в дампе данных и также подтверждаются форумом, предполагает легитимность информации.

Специалисты издания также обнаружили на другом хакерском форуме предлагаемые бесплатно данные, предположительно украденные у Carding Mafia в январе нынешнего года.

Это не первый случай за последний месяц, когда хакерские форумы становятся жертвами взломов. Напомним, в начале марта киберпреступный форум Maza (также известный как Mazafaka) стал жертвой утечки данных, в результате которой была скомпрометирована информация его пользователей.

Карточные воры расставляют сети

Из криминальных сводок. Подросток из Столина взламывал странички пользователей в популярной соцсети и под видом владельцев профилей просил у их знакомых реквизиты банковских карточек. Каждый, кто делился цифрами, лишился в среднем от 1 до 2 млн рублей. Двадцатипятилетний работник турфирмы похитил 1,4 тысячи евро — узнал реквизиты чужой карточки и оплатил с ее помощью проживание в отеле в Испании для двоих. Двадцатилетний парень во время работы контролером-кассиром фотографировал карточки покупателей, чтобы оплачивать онлайн-игры и покупки в интернет-магазинах. Компьютерные гении? Хитроумные хакеры? Ловкие кардеры? Вряд ли. Обычные молодые люди, падкие на легкие деньги. 

Можно ли с чужой карточки снять деньги или рассчитаться с ее помощью в магазине? Надежно ли сейчас защищен пластик? Верчу в руках свою старую карточку. ПИН-код давно забыт, но пластик пока действующий, а на счете осталась небольшая сумма. Вот и решила поставить эксперимент на себе. Итак, в магазин идти рискованно: могут попросить ввести ПИН-код. К тому же на лицевой стороне написаны имя и фамилия держателя. Остается один вариант: попытать счастья на просторах интернета. 

Открываю белорусский сайт скидок. Завожу личный кабинет и решаюсь пополнить баланс: на это денег на счете хватит. Поначалу — все как по маслу. Мне высвечивается карточка, на которой нужно заполнить недостающие данные: номер, срок действия, имя и фамилию, а также специальный код на обратной стороне. Рядом надпись: “Мы никогда не запрашиваем ПИН-код банковской карты!” Ну что ж, большое спасибо. Заполняю все графы и... полный провал. Большими красными буквами система выдает: “Операция отклонена. Карта требует регистрации 3D-Secure. Обратитесь в банк-эмитент”. 

Поворот неожиданный, но руки не опускаю: отправляюсь тестировать крупные онлайн-магазины. На белорусских сервисах меня везде встречал злополучный логотип MasterCard SecureCode. Известный китайский интернет-гипермаркет тоже подвел (или как раз наоборот?). Решаю сменить тактику: ищу менее известные магазины. 

Крупный южнокорейский онлайн-ретейлер. Продают одежду, косметику, кухонную утварь и прочее. Регистрируюсь, выбираю несколько товаров, ввожу свой адрес и реквизиты карточки. Наконец все проходит без сучка без задоринки: заказ — кожаная сумка и сережки — готовится к вылету. Правда, через какое-то время получаю на электронную почту письмо: не видать мне аксессуаров. На счету недостаточно денег. А если бы они были? Да и на месте сумки с сережками мог оказаться смартфон, телевизор или путевка на Багамы...

Рынок электронной коммерции растет быстрыми темпами. По оценкам компании eMarketer, в прошлом году его доля в глобальной розничной торговле — более 7 процентов (1,6 трлн долларов), а к 2019 году увеличится до 12 процентов (3,5 трлн долларов). Конечно, для кардеров это лакомый кусок. Оплачивать покупки и услуги деньгами с чужих счетов они приноровились давно. 
Пару лет назад наши финучреждения стали подключать дополнительные сервисы для безопасных интернет-платежей: 

3D-Secure для карточек платежной системы MasterCard и Verified by Visa для Visa. Нужно дать “опознать” себя дополнительным способом: кроме реквизитов карточки, потребуется использовать  дополнительный пароль, специально созданный клиентом, или ввести дополнительный одноразовый пароль, который, как правило, приходит на телефон в виде СМС. Чтобы технология сработала, должны выполняться сразу три условия: ее должны поддерживать банк-эмитент и онлайн-магазин (вернее, банк, его обслуживающий), а также к сервису должна быть подключена карточка клиента. Впрочем, найти при желании интернет-торговца, не поддерживающего 3D-Secure и Verified by Visa, не так уж сложно. Директор КартЦентра ОАО “Бел-инвестбанк” Вадим Головчиц поясняет:

— Если интернет-магазин не поддерживает технологию 3D-Secure, а оплата на его сайте происходит с использованием карточки, подключенной к данному сервису, то в соответствии с правилами платежных систем риски и ответственность переносятся на банк, обслуживающий данный интернет-магазин.

Хорошая альтернатива для расчетов в байнете — ЕРИП. Не нужно никуда вводить реквизиты своей карточки. Достаточно зайти в интернет-банкинг (можно через мобильный банкинг, инфокиоск), выбрать в списке нужную компанию, ввести данные о покупке и сумме — готово. Но так ли это безопасно?

Воровство денег через каналы дистанционного банковского обслуживания — в частности, интернет-, мобильный или СМС-банкинг — давно не новость. По данным компании Group IB, специализирующейся на расследовании киберпреступлений, число таких случаев растет на 40—200 процентов ежегодно. Профессор кафедры защиты информации БГУИР Тимофей Борботько объясняет:

— Чтобы деньгами кто-то воспользовался, нужно, чтобы все идентификаторы, которые дают возможность получить доступ к карт-счету, были скомпрометированы. Для этого злоумышленники используют троянские вредоносные программы. То есть те, которые загружаются на устройство — компьютер, мобильный телефон либо планшет — и работают в оперативной памяти: собирают полезные сведения, чтобы передать их на серверы преступников.

Минувшей весной в России поднялась шумиха вокруг программы “5-й рейх” — трояна, предназначенного для хищения денег через программы мобильного банкинга. От атак вредоносной программы пострадало до 30 тысяч клиентов “Сбербанка”. В сети ходит информация, что всего было заражено более 340 тысяч смартфонов. 

Распространялся троян в том числе через СМС-рассылки, где была ссылка на его скачивание под видом Adobe Flash Player — с виду вполне безопасно. Тимофей Борботько говорит:

— Даже наличие антивируса не гарантия того, что вредоносная программа не попадет на устройство. Поиск антивирусом вредоносных программ ведется по сигнатурам и шаблонам, которые загружаются с серверов производителей. Злоумышленники — люди неглупые. Они проверяют готовый продукт на антивирусе с последними обновлениями баз данных — система не должна обнаружить вредоносную программу. Ко всему прочему, качество такого программного обеспечения достаточно высокое. Оно не должно создавать проблем при работе с устройством, иначе человек рано или поздно его обнаружит. 

Тем временем “банк на диване” у нас стремительно набирает популярность. 

На октябрь прошлого года к интернет-банкингу у нас было подключено 2,4 млн человек (прирост за девять месяцев — 26 процентов), мобильным банкингом пользовалось 0,4 млн человек (плюс 33 процента). 

Наши банки постепенно внедряют новые защитные решения, в частности — биометрию. В “Белинвестбанке” отпечаток пальца обеспечивает вход в мобильный банкинг (услуга доступна только владельцам устройств на операционной системе iOS). Вадим Головчиц объясняет — это быстро, безопасно и удобно:

— Биометрические технологии — один из самых безопасных подходов для аутентификации клиентов. 

В теории совершенствовать меры безопасности можно бесконечно. На практике все упирается не только в технологические возможности, но и в финансовые — все же это бизнес. К тому же достаточно держателям карточек быть внимательнее — и риски можно существенно снизить. Тимофей Борботько поясняет:

— Все вредоносные программы человек устанавливает сам. Проблема в том, что на каждом своем компьютере владелец является администратором — то есть обладает неограниченными правами. А значит, те же права — у программ, которые он устанавливает. Все упирается в то, что люди общаются с компьютером, как с черным ящиком, и никто не знает, что в нем творится. 

В свое время у нас активно стали ратовать за повышение финансовой грамотности населения. Это дало эффект. Теперь банки все активнее переходят в цифру. Так что, похоже, самое время позаботиться и о компьютерной грамотности. 

Правила безопасного использования банковской карточки

Для онлайн-платежей:

Не переходите по ссылкам на сайты банков, магазинов и т. д. Вводите адрес вручную. 

Это позволит избежать попадания на “фишинговые” страницы.

При совершении платежа используйте зашифрованное соединение: адрес сайта должен начинаться с https, в адресной строке — специальный символ, например иконка открытого замка.

Перед тем как заказывать карточку, поинтересуйтесь, поддерживает ли банк технологии 

3D-Secure и Verified by Visa. Активируйте услугу и обращайте внимание на то, чтобы протоколом безопасности пользовались сайты, на которых вы совершаете покупки.

Никогда не вводите на сайтах интернет-магазинов ПИН-код.

Если вы часто совершаете онлайн-покупки, обзаведитесь специальной карточкой для интернет-платежей и храните там только те суммы, которые вы планируете потратить.

Для пользователей мобильного и интернет-банкингов:

с, не забывайте обновлять его и операционную систему в целом.

Не осуществляйте jailbreak/rooting устройства, то есть не взламывайте официальную 

прошивку — это сделает устройство более уязвимым к хакерским атакам.

Скачивайте файлы и программы только из официальных источников.

Никогда не переходите по ссылкам в СМС или е-mail-спам-сообщениях.

Помните эти эпичные фильмы про ограбления? Где крутые ребята придумывают гениальный план, меняют облики чаще, чем модели на показах, используют невероятные (нереализуемые) психологические трюки и рискуют своей шкурой в погоне за выгодой. Думаю, что помните. Тяжело представить таких грабителей в наши дни. Основные экономические преступления происходят на цифровом поле. Сегодня грабитель — это не гений психологии и не строитель, знающий, где нужно начать копать. Сегодня грабитель — это хакер, знающий все тонкости работы банковской сферы.
 

Кардинг 

Один из самых распространенных видов «технологического» мошенничества — махинации с банковскими картами. Не удивительно, ведь сегодня практически все повсеместно расплачиваются карточками. Но безопасны ли такие платежи? 

Существует множество различных видов атак, с которыми ежедневно приходится сталкиваться платежным системам и банкам:
 

Платежи без 3-D Secure

Большинство случаев мошенничества приходится на интернет-платежи, проходящие по схеме card-not-present (для проведения транзакции требуются лишь данные, написанные на карте и легко добываемые на теневых маркетах). Для борьбы с такими схемами изобрели 3-D Secure — схему дополнительной авторизации, использующую три сущности домена: домен интернет-магазина, домен платежной системы и домен банка-эквайера. Однако часть крупных магазинов, таких как Amazon, не готова работать с 3-D Secure, что является приятной новостью для мошенников.
 

Клонирование магнитной полосы

Несмотря на то, что современные карты оснащены чипом, клонирование магнитной полосы — второй по популярности вид мошенничества. Дело в том, что во многих магазинах США при оплате смарт картой можно провести транзакцию с использованием магнитной полосы. А если терминал откажется принимать магнитную полосу, есть схема technical fallback, работающая по Америке (как Северной, так и Южной) и Европе. Просто вставьте в терминал/банкомат карту с несуществующим чипом, и после трех неудачных попыток терминал предложит провести операцию с использованием магнитной полосы. В России терминалы не должны принимать к оплате магнитную полосу, если карта оснащена чипом. Однако, в некоторых магазинах можно встретить терминалы, принимающие операции по technical fallback. И к тому же, никто не запрещает злоумышленникам передавать данные в Европу/Америку для дальнейшей монетизации.

Офлайновая аутентификация

По современным правилам платежных систем, 99.9% операций должны совершаться онлайн (криптограмма подтверждается на стороне банка-эмитента), за исключением оплаты в метро, на самолетах и круизных лайнерах. В таких местах интернет не всегда работает стабильно. К тому же множество платежных систем работало раньше по Floor limit — операции выше определенного лимита подтверждалось онлайн, а ниже — самим терминалом. Несколько лет назад количество таких терминалов (особенно в Америке и Европе) было достаточно велико, чтобы атаковать недостатки офлайновой аутентификации карт. 
 

Человеческий фактор

Человек — самое слабое звено в любой системе, насколько бы надежной она не была. Злоумышленники легко обходят защиту сетевого периметра с помощью банального фишинга, который доставляет вредоносное ПО в корпоративную сеть. Сотрудник банка может легко перейти по подозрительной ссылке в письме или скачать неопознанный файл. Что уж говорить об обычных пользователях. Ситуацию усугубляет то, что практически у каждого на смартфоне есть сервис системы дистанционного банковского обслуживания (например, мобильный банк). Рассмотрим типичную схему на примере вируса «5-ый рейх» от челябинских «кибер-фашистов» (система управления имела нацистскую символику). 

Пример фишингового письма, отправленного одному из сотрудников Check Point

Ничего не подозревающий пользователь скачивал троянскую программу, маскирующуюся под Adobe Flash Player. При установке программа запрашивала права администратора. Когда юзер запускал банковское приложение, троян подменял оригинальное окно на фишинговое, куда вводились необходимые данные, которые потом отсылались на сервер злоумышленников. Обладая логином, паролем и доступом ко всем СМС, в том числе и с банковскими кодами, мошенники могли успешно совершать банковские переводы. Программа распространялась с помощью СМС-рассылки с вредоносной ссылкой. 

В целом атаку на банковскую систему можно описать следующими шагами:

• Проникновение
• Удаленный доступ
• Получение привилегий
• Поиск целей
• Работа с целевыми системами
• Обналичивание

Мошенничество, или фрод (англ. fraud — «мошенничество») — вид незаконного использования информационных технологий в различных областях бизнеса, от телекоммуникаций до банковского сектора, цель которого обычно состоит в том, чтобы присвоить денежные средства жертвы. Для фрода кибермошенники могут использовать множество методов: фишинг, скимминг, социальную инженерию, кардинг, «нигерийские письма» и т.п. Фрод известен очень давно: мошенники научились использовать телефон для своих операций еще в 60-70-х годах XX века. С появлением интернета кибермошенники перебрались и в него: начали появляться фишинговые сайты, на электронную почту пользователей стали приходить письма мошеннического содержания. Классификация и разновидности фрода Онлайн-мошенничество К данному виду относятся фишинг и кража личности. При фишинге хакеры пытаются всеми способами получить от пользователя его личные данные, логины и пароли. Мошенники могут создавать поддельные сайты, внешне неотличимые от настоящих, с похожими доменными именами, чтобы пользователь поверил в их подлинность и попытался пройти авторизацию со своим логином и паролем, после чего учетные данные окажутся у злоумышленников. Также фишинг может быть реализован в виде электронных писем и других подобных сообщений, в которых мошенники от имени компании (банка, социальной сети и т.п) запрашивают у пользователя сведения для входа в аккаунт или его личные данные (номера кредитных карт, копии документов).

Кража личности — преступление, при котором один человек выдает себя за другого. Мошенники могут делать это, например, для того, чтобы удаленно получить кредит на чужое имя. По информации исследователей, работающих в области безопасности, на черном рынке полный комплект данных для кражи личности (включая документы) стоит 16-30 долларов США. Кардинг Кардинг - это кража данных о пластиковых картах и их владельцах (адрес, ответы на секретные вопросы, дата рождения, имя) для последующей оплаты товара в интернет-магазинах или продажи на черном рынке. Для получения данных мошенники применяют фишинг, социальную инженерию, специальные устройства, особые виды вредоносных программ. Также они могут получать сведения после взлома интернет-магазинов или банков. Для получения данных о реквизитах платежной карты мошенники могут устанавливать специальные устройства на банкоматы. Эти устройства считывают данные с карточки и пин-код, который вводит пользователь. Также злоумышленники могут устанавливать специальные программы на взломанные банкоматы, киоски оплаты, POS-терминалы. Часто мошенники используют специальные устройства для кражи информации с магнитной ленты платежной карты. Такой вид мошенничества называется скиммингом. Скиммеры с помощью специального оборудования могут перенести данные одной платежной карты на другую. С появлением бесконтактных карт оплаты скиммеры стали использовать новое оборудование для считывания данных с них. Внутренний фрод В третью группу можно включить внутренние хищения, совершаемые сотрудниками компании с использованием служебного положения и доступа к информационным системам. Жертвами такого фрода может стать как сама компания, в которой работают нечистоплотные сотрудники, так и ее клиенты. Жертвы фрода От мошенничества в сфере высоких технологий страдает широкий круг людей: владельцы интернет-магазинов, банки, телеком-операторы, теряющие огромное количество денег из-за мошенников, которые покупают у них товары с помощью чужих карт, после чего владелец карты обязательно запросит возврат средств. Например, потери телеком-операторов составляют от 3% до 7% от общего дохода за счет продажи услуг (ip-news.ru). Таким образом, магазин останется и без товара, и без денег. Кроме того, банки часто вводят санкции против магазина в виде штрафа в размере от 5 до 200 тысяч долларов США. Обычные пользователи страдают не меньше —  мошенники воруют деньги с их счетов, берут от их имени кредиты. Источники мошенничества В интернете и даркнете существует огромное количество форумов, посвященных мошенничеству через интернет. На них мошенники объединяются в группы, делятся опытом и учат новичков. Из-за такой доступности информации число кибермошенников растет. На данный момент значительное количество пользователей разного возраста и национальной / этнической принадлежности промышляют мошенничеством: покупают на черном рынке данные о реквизитах платежных карт, занимаются фишингом, обворовывают интернет-магазины. Для этого не нужно много знаний и опыта, достаточно найти в интернете схему и действовать. Особую опасность представляют организованные группировки, которые занимаются фродом на профессиональной основе. Они нацеливаются на опустошение счетов сотовых операторов, использование бонусов в интернет-магазинах для получения товаров и т.д. Анализ риска фрода Фрод — огромный риск и огромные потери для интернет-предпринимателей и обычных пользователей. К счастью, для интернет-магазинов, банков, телеком-операторов разработано много различных антифрод-систем, которые следят за тем, чтобы на сайте не было мошенничества. Одним из видов борьбы с фродом являются проверки вручную — в этом случае трудозатраты составлют не менее 80% от общего объема работ. Еще один вид — ИТ-зависимые методы, когда борьба с мошенничеством основывается на специальных выборках, предоставляемых ИТ-подразделениями компании, благодаря чему значительно сокращаются трудозатраты и возрастает число контролируемых потоков данных. Третий вид противодействия фроду — автоматизированные методы, использование программно-аппаратных средств.
 

Оперативники московского УБЭПа задержали российских участников из международной преступной группы «кардеров». По поддельным пластиковым картам бывшие студенты столичных вузов успели снять со счетов состоятельных американцев более $500 тыс.

В феврале этого года со счетов держателей пластиковых карт — граждан США — исчезло более полумиллиона долларов. Расследование привело американских полицейских в Россию — было установлено, что деньги регулярно снимаются через московские банкоматы. Поиском мошенников занялись оперативные службы столичного УБЭПа.

Как стало известно из сообщения пресс-службы УБЭП ГУВД г. Москвы, преступники совершили ошибку, снимая деньги в одних и тех же банкоматах в центре Москвы. Установив на устройствах скрытые камеры наружного наблюдения, оперативники смогли определить подозреваемых. При задержании у мошенников было обнаружено 12 поддельных банковских карт с PIN-кодами. Впоследствии выяснилось, что преступная группа состояла из выпускников московских технических вузов, двое из которых — специалисты по компьютерным технологиям, занимались изготовлением пластиковых карт на съемной квартире. При помощи специального оборудования мошенники кодировали магнитную ленту на обычной пластиковой карточке. Данные о банковских счетах и картах москвичи получали от своих американских подельников. В отношении задержанных возбуждено уголовное дело по статье 159 УК РФ — «мошенничество». Их американскими коллегами займется полиция США.

Отметим, что в 2005 году МВД зафиксировало около 15 тысяч преступлений в сфере высоких технологий, причем свыше 10 тысяч из них относятся к категории компьютерных. Следуя той же статистике, уголовные дела, возбужденные в отношении изготовителей поддельных пластиковых карт, составили около 10% от общего количества дел в сфере киберпреступности. Таким образом, в России кардинг пока не является основным видом преступлений в сфере ИТ, но Рашид Нургалиев, министр внутренних дел РФ, отмечает, что «в целом по России наблюдается увеличение числа электронных атак на информационные ресурсы банковских структур». Ущерб, который кардеры своими действиями могут нанести при удачном стечении обстоятельств, может достигать годового дохода солидного коммерческого банка. Как правило, этим видом преступлений занимаются молодые люди 20–25 лет — студенты или безработные.

По мнению правоохранительных органов, киберпреступлений в банковском секторе совершается намного больше, чем фиксируется, в первую очередь, из-за нежелания банков и платежных систем сообщать об удавшихся нападениях на счета клиентов. К тому же, по оценкам национального отделения ФБР по компьютерным преступлениям, от 85% до 97% всех компьютерных преступлений нельзя даже установить, а в 90% случаев не удается определить личность мошенника.

Недавно запущенный кардинговый сайт под названием «BidenCash» продаёт данные кредитных карт и информацию об их владельцах. Платформа была создана в конце апреля, но имеет небольшое количество данных, поскольку инфраструктура сайта не готова к крупномасштабным операциям.

16 июня администраторы BidenCash для продвижения своей платформы решили бесплатно раздать CSV-файл, содержащий следующие данные:

• Имена;
• Адреса;
• Номера телефонов;
• Адреса электронной почты;
• Номера кредитных карт.

Всего в файле около 8 млн. строк. По данным итальянской ИБ-компании D3Lab, в базе данных содержится информация о 6600 кредитных карт. Также база включает в себя более 3 млн. адресов электронной почты, которые могут быть использованы для фишинга и захвата учетных записей, пишет Securitylab.

Исследователи выяснили, что на сайте киберпреступник может купить данные кредитных карт по $0,15. BidenCash включает в себя систему фильтрации поиска по следующим показателям:

• страна;
• банк;
• CVV-код;
• email-адрес;
• тип карты;
• владелец карты.

Держателю карты следует обращать внимание на списание средств и сообщать банку о любых подозрительных действиях. Установка ограничений на оплату является хорошим способом предотвратить использование украденных карт киберпреступником.

Банки сейчас предлагают виртуальную карту, которую пользователь может легко закрыть. Также существует одноразовая карта, которая автоматически закрывается после совершения одной покупки. Использование многофакторной аутентификации также поможет защитить учетную запись онлайн-банка.

Официальное подразделение в структуре МВД Беларуси по борьбе с хакерами действует в стране вот уже почти 15 лет, генерируя новости о задержаниях злоумышленников, действующих в киберпространстве. Onliner.by пообщался с сотрудником управления по раскрытию преступлений в сфере высоких технологий, или, как его еще называют, управления «К», узнал о романтизации хакерства, хитрых схемах отъема денег у педофилов и проколах, которые допускают неопытные киберпреступники.

Управление «К» официально существует в Беларуси с 2002 года. За 15 лет работы у его сотрудников накопилось немало опыта выслеживания и охоты за белорусскими хакерами и гастролерами-кардерами, которые используют нашу страну в качестве транзитной точки по пути из Европы в Россию и обратно. По мнению одного из сотрудников управления «К», за прошедшие годы налета романтизма эта криминальная профессия лишилась: «С таким же успехом можно романтизировать карманника». И если на развалинах Советского Союза в высокотехнологичный криминалитет подавались люди, обладавшие знаниями, но не нашедшие себе места в нормальной жизни, то сегодня это скорее самоучки, желающие заработать быстрые и легкие деньги, не вставая из-за компьютера.

— Думают, что их никто не найдет. Но их находят и сажают. Хоть они и считают, что обладают каким-то сакральным знанием, а нам впору идти картошку копать. Это существенное дополнение к портрету хакера — завышенная самооценка и излишний пафос. Обидно за некоторых людей, что при своем уме и знаниях они пошли не той дорогой.

Наш собеседник подчеркивает, что времена хакеров-альтруистов ушли в небытие. Эта сфера приносит огромный доход и лишает денег не только крупные компании и банки, но и простых граждан, для кого сбережения на виртуальном счету могут быть последними.

— Хакеров представляют корсарами, которые, путешествуя по волнам интернета, используют свой недюжий ум для демонстрации грамотности во взломе без последствий… Сегодня в этой криминальной профессии остались те, кто коммерциализировался. Нашел для себя способ зарабатывания. Условно. Ведь по большей части это обман либо кража. Просто в сфере высоких технологий.

Романтизировать тут нечего. Правильнее их называть киберпреступниками. У нас те, кто начинал в 90-х, были продуктом хорошего советского образования. Зрелые люди, способные купить компьютер и подключить его к интернету. И главное — понимающие, для чего это надо. А с середины 2000-х наши клиенты начали молодеть: появился доступный и быстрый интернет, компьютером обзавестись стало намного проще.

— Когда Беларусь столкнулась с первыми заметными проявлениями киберпреступности?

— В нулевых киберпреступность в Беларуси массово выразилась в вещевом кардинге, когда злоумышленники получали доступ к чужим карт-счетам. В основном к этому приобщалась молодежь, так как данный вид преступлений не требовал основательных знаний в сфере IT. Это был своеобразный способ «поиметь» денег, воспользовавшись неразберихой, отсутствием юридического регулирования.

Крупные страны, где находились интернет-магазины, не рассматривали Беларусь как серьезную угрозу. Поначалу они компенсировали мелкие кражи своим клиентам, но когда это приобрело массовые масштабы, мы в результате оказались одними из лидеров по вещевому кардингу. В те времена одной из самых крупных покупок такого рода была мачта дорогой яхты. Когда это приобрело массовый характер, американские магазины внесли Беларусь в черный список и доставку по нашим заказам больше не осуществляли.

Вещевой кардинг и ущерб, нанесенный имиджу Беларуси, послужили последним толчком для создания управления «К», внесения изменений в уголовное законодательство, связанных с преступлениями против информационной безопасности.

— Обычным оперативникам-сыскарям сложно этим заниматься, ведь здесь особая специфика, особые следы и действия преступников. У нас и раскрываемость высокая потому, что прежде чем идти кого-то задерживать, мы должны понять, кто это, откуда он, и доказать, чем он занимался. Потому вначале и ведется большая работа, собирается доказательная база, от которой не отвертишься. Проблема на раннем этапе была в том, чтобы найти следователей, способных вести такого рода дела, и судей, которые понимали бы, о чем вообще речь.

Если говорить о белорусском кардинге с использованием поддельных банковских карточек, то превалируют здесь зарубежные преступные группы. Местных специалистов по пластику за все время деятельности едва наберется пару десятков, отмечают в управлении «К». С увеличением количества банкоматов подобные посягательства стали для Беларуси частым явлением: пять-шесть групп в год.

— Среди них запомнилась группа студентов, которая с помощью 3D-принтера создала накладку на картоприемник. Обывателю было сложно различить их. Считав огромное количество информации, они наделали карточек и поехали снимать деньги в ближайший райцентр. «Засыпались» на том, что народ у нас наблюдательный.

«Местный житель вышел на балкон покурить и заметил, что группка парней долго снимает деньги в банкомате. Через час выходит снова — они все там же. Закурил третью, но ребята не уходят. Гражданин и вызвал милицию. Когда приехал наряд, парни уже полный рюкзак денег напаковали»

Но это скорее исключение из правил в действиях отечественных кардеров. Чаще всего наши покупают готовые дампы на «черных» форумах и при помощи чужих карт-сетов оплачивают услуги за границей либо придумывают способы обналичивания денег.

Несколько лет назад в Беларуси орудовали так называемые малазийцы — разветвленная группировка с костяком в Бресте и своими людьми по республике. В общей сложности человек семь. Начинали с оплаты за чужой счет телефонов, автомобильных шин, дорогих цветов для девчонок, пиццы.

Потом перешли на обналичивание: при помощи интернет-банкинга покупали дорогие путевки в экзотические страны, а затем через третьих лиц сбывали эти путевки за половину стоимости. Путевка уже засвечена, но турагентство может банально об этом не знать либо попросту не воспринять эту информацию всерьез: какая им разница? Деньги пришли, и они не пахнут.

Вот почему мы называем свою сферу высоколатентной — преступления совершаются в условиях неочевидности. Кто-то не понимает, что было совершено противоправное действие, а кто-то скрывает факт преступления, совершенного в отношении него, по объективным причинам.

Есть и другие факторы. Например, сложно не заметить и не заподозрить неладное, когда с карт-счета какого-нибудь швейцарца ночью оплачивают пиццу в Бобруйске. Но банковская сфера по объективным причинам не торопится раскрывать свою кухню, обоснованно опасаясь за свой имидж. Однако время идет, и вот уже и в Беларуси принят принцип нулевой ответственности, который успешно работает в развитых странах.

«Мелкие пропажи в 50—100 евро банк может покрыть сам, уведомив клиента о техошибках. Расследования они начинают проводить лишь при систематических случаях. Кардеры нередко пользуются этим и снимают небольшие суммы у десятков людей»

Вместе с тем специалисты отмечают, что количество преступлений, связанных с банковскими карточками, уменьшается. Ведь и процент изготовителей профессиональных скиммеров довольно невысок. Большая часть преступлений касается использования подлинных карточек: карточка с пин-кодом украдена либо передана в нарушение всех инструкций третьему лицу.

— Как это чаще всего происходит? Мужики пьют, деньги и водка закончились, и Вася отдает свою карточку приятелю. Вроде договоренность есть, а как проспался, проверил карточку — денег нет. Приятель же ничего не сказал. И начинаются обращения в милицию, банк. Проблема заключалась в том, что подобных заявлений было огромное количество. Уменьшение их числа началось с введением видеонаблюдения и повторного набора пин-кода после каждой операции. Ведь еще похищали с карточек, забытых в банкомате с набранным пин-кодом.

— В последние годы все чаще приходится слышать о мошенниках, которые прикрываются МВД и требуют с пользователей сети штрафы за просмотр порнографии.

— Большое количество граждан платило, платит и, к сожалению, будет платить мошенникам. Люди, запыхавшись, прибегают в милицию, чтобы заплатить так называемый штраф, со словами: «Забыл, замотался, извините». Или звонят нам в управление: «Я только одним глазком». Наша задача — максимально уменьшить число таких обращений.

Раньше вымогательством с блокировкой занимались черви, которые полностью блокировали операционную систему до перевода денег на электронные кошельки преступников. Позже это эволюционировало: один «магистр» белорусского вуза добавил в этот червь заставку МВД РБ со статьями, наказаниями и реквизитами по оплате штрафа за просмотр порнографии. Злоумышленника мы поймали, но дело его живет. Изучая мотивацию этого «магистра», следователи зашли в тупик. Ему предлагали высокооплачиваемую работу, а слово «магистр» было вовсе не его кличкой, а ученой степенью. Что же это? Желание выделиться, заработать больше и быстрее? Скорее всего, частично присутствует понятие интеллектуального вызова — «Я умнее, не найдете».

Так и работает социальный инжиниринг. Зная проблемные точки в психологии человека, злоумышленники давят в правильных местах. Срабатывает здесь и категорическое нежелание человека расти над собой. Уже сто раз говорили: «погуглите», прежде чем что-то сделать или кому-то заплатить.

— В прошлом году в стране был уменьшен возраст уголовной ответственности для подростков по вашим статьям УК. Чем это было мотивировано?

— В прошлом году к ответственности привлечено 866 человек, из них несовершеннолетних — 34 человека. В основном это взлом страниц, получение незаконного доступа к информации. Процент подростков небольшой, но при этом наблюдается медленный прирост.

Мы не были инициаторами снижения возраста наступления уголовной ответственности. Но поддержали это, потому что в перспективе данное направление может сильно помолодеть. А тенденции к использованию малолетнего возраста для избежания ответственности наблюдаются уже сегодня. Понимая, что их не привлекут, продвинутые подростки начнут быстрее кочевать в эту область. Мы считаем, что снижение возрастного ценза в вопросе привлечения к ответственности — это скорее превентивная мера.

— Какие тенденции наблюдаются в области киберпреступлений в последние годы?

— На Западе все чаще регистрируются случаи шиминга — похищения с карточки с помощью пластины толщиной в человеческий волос. Ее вставляют в картоприемник, но она настолько тонкая, что не мешает карточке. С помощью этой пластины и считываются данные. Но это дорогое изобретение из сферы нанотехнологий, которое пока вряд ли будет оправданным для установки на белорусских банкоматах.

Новые формы появляются, но нас в некотором роде спасает то, что Беларусь не такая богатая страна. Меккой туризма нас тоже не назвать. А потому и для мирового киберкриминала мы не привлекательны.

«По нашим потерпевшим и точкам компрометации мы видим, что чаще всего такое случается в Турции, Одессе, Сочи и Египте»

Сложность в том, что деньги с этих карточек снимают значительно позже и в совсем других концах планеты. Как правило — через подставных лиц в Латинской Америке, которые находятся там временно и которым нечего опасаться: отдыхающие, студенты по обмену, просто бродяги.

Так, карточку одной белорусской певицы с суммой около $30 тыс. скомпрометировали во Франции или Англии. Через месяц в ночном клубе ей стали приходить SMS-уведомления о том, что в разных концах Америки с ее счета списывают по $2—3 тыс., пока все не ушло в ноль. Конечно, она пыталась быстро дозвониться в банк, чтобы заблокировать счет. Позже ей удалось доказать факт криминального исчезновения денег и после нескольких судов взыскать потери с банка.

— Откуда приходят кадры в управление «К»?

— У нас нет специализированных учебных заведений, где бы для нас готовили кадры. Потенциальный сотрудник должен быть либо опером с техническим уклоном, либо технарем с чистой биографией. Наши технические вузы имеют вполне достойный уровень, чтобы готовить таких специалистов. Если есть необходимость, то мы сами выходим на эти заведения и находим достойных кандидатов. Но сразу говорю, что хакеров мы на работу не берем.

— Входила ли борьба с порнографией в вашу компетенцию?

— Нет, это не наш профиль работы. Но в ранней практике нашими специалистами была выявлена группа белорусских программистов, которая объединила в общую сеть тематические сайты с детской порнографией, привязала вход к электронному кошельку и разрекламировала ресурс среди педофилов. Вход платный, карточка привязывается. Таким образом преступники получали не только плату за вход, но еще и доступ к карт-счетам педофилов. А те не могли обратиться в органы, потому что знали, что по закону сами будут привлечены. Вот так злоумышленники и собирали двойной навар, пока мы их не остановили.

Мы в свое время выступили с инициативой разобраться с веб-мастерами, которые забивают виртуальное пространство детской порнографией. Основная идея была в том, чтобы создать атмосферу отторжения и неприятия подобных заказов. Надо, чтобы эта категория программистов считала изгоями тех, кто помогает в продвижении подобных ресурсов.