Это интересно

Не все кредитные учреждения раскрывают статистику о хищениях

В последнее время возросло количество сообщений о случаях мошенничества, связанных со списанием денежных средств со счетов клиентов различных банков. Однако не все кредитные учреждения спешат раскрывать официальную статистику на этот счет. Эксперты, со своей стороны, предполагают, что киберпреступники похитили у банков миллиарды долларов.

Активность мошенников, похищающих средства с банковских счетов физических и юридических лиц, в последние месяцы значительно выросла. По мнению экспертов, это может быть связано с низким уровнем систем безопасности конкретных финансовых учреждений. Это уже привело к тому, что сейчас киберпреступники стали активнее проводить таргетированные атаки на банки. Используемые в настоящее время средства пока не в состоянии обеспечить высокий уровень защиты.

По некоторым данным, потери банковского сектора от действий киберпреступников составили в 2012 году миллиарды долларов. Такие цифры озвучила гендиректор "Инфовотч" Наталья Касперская на проходящем в Москве Российском форуме по управлению интернетом.

Точных данных относительно потерь банков вследствие действий киберпреступников нет. По данным Group-IB, специализирующейся на проведении расследований в сфере информационной безопасности, в 2011 году в России из систем интернет-банкинга киберпреступниками было похищено около $832 млн. Из них $758,5 млн - со счетов юридических лиц и $73,5 млн - со счетов физических лиц.

При этом средняя сумма единоразового хищения у юрлиц составляет 3,1 млн рублей, а у физлиц - 289 тыс. рублей.

По прогнозам экспертов, количество случаев мошенничества через интернет-банкинг будет продолжать расти.

"Во-первых, растет сам рынок дистанционного банковского обслуживания. Все больше банков предлагают клиентам воспользоваться услугами интернет-банкинга, а клиенты с удовольствием этими услугами пользуются. Каждый такой клиент - потенциальная жертва мошенников. Поэтому чем активней будет развиваться рынок интернет-банкинга, тем больше хищений будет происходить", - пояснил ранее генеральный директор Group-IB Илья Сачков.

Во-вторых, по его словам, растет уровень профессионализма киберпреступников. Абсолютное большинство из них воспринимают свой род занятий как основной источник дохода. Поэтому мошенники постоянно совершенствуют механизмы и схемы хищений, что позволяет им обходить последние разработки в области информационной безопасности, отметил И.Сачков.

Подробнее...

Источник: http://www.pmoney.ru/txt.asp?id=2913874

Эксперты в области компьютерных преступлений отмечают бурный рост мошенничества в системах интернет-банкинга в 2011 году

Анализ активности компьютерных преступников в 2011 г., проведенный аналитиками CERT-GIB, позволяет оценивать рынок киберпреступности в России в $2,3 млрд, что говорит о практически двукратном увеличении прошлогодних показателей. Между тем, финансовые показатели мирового рынка компьютерной преступности в 2011 г. эксперты Group-IB оценивают в $12,5 млрд. По оценкам аналитиков компании за 2011 год «русские» хакеры заработали около 4,5 млрд долларов.

Как отмечается в отчете компании, 2011 г. стал годом бурного роста мошенничества в системах интернет-банкинга. По мнению экспертов Group-IB, в основном этот рост обусловлен улучшением функциональности вредоносных программ, ориентированных на банковские системы, и формированием еще более устойчивых преступных групп. В результате в декабре 2011 г. крупнейшая «банковская» бот-сеть насчитывала около 2 млн компьютеров. Самыми крупными банковскими бот-сетями, которые успешно работали против российских банков, стали бот-сети, построенные на следующих вредоносных программах (расположены в порядке убывания в размере бот-сети): Carberp, Hodprot, Shiz, Lurk, Spy.Ranbyus и Qhost.

Усиление мер защиты со стороны производителей систем ДБО и банков привело к тому, что для совершения успешного хищения злоумышленники начали активно экспериментировать со средствами удаленного доступа для проведения мошеннических операций прямо с компьютеров жертв. Наиболее успешными стали именно те преступные группы, в чьих руках оказался наиболее стабильный и удобный инструмент удаленного доступа. В целом для удаленного доступа злоумышленники использовали такие средства, как TeamViewer, Hamachi, Mipko. Однако наибольшее распространение получил троян, который предоставлял доступ по протоколу Microsoft Remote Desktop.

С осени 2011 г. киберпреступниками стали активно использоваться функциональные возможности автоматической подмены реквизитов платежного поручения в момент подписания документа и его отправки, а также полностью автоматизированного процесса формирования и отправки мошеннического платежного поручения вредоносной программой, которые позволяют избежать необходимости удаленного подключения либо копирования информации с пользовательского компьютера для обхода средств защиты (виртуальные клавиатуры, PIN-коды, VPN-туннели, сетевая фильтрация). На текущий момент среди всех вредоносных программ, которые используются против клиентов российских банков, такой функциональностью обладает только «банковская» троянская программа Carberp, сообщили в Group-IB.

Подробнее...

Источник: http://www.group-ib.ru/index.php/7-novosti/680-finansovye-pokazateli-russkogo-rynka-kompyuternoj-prestupnosti-v-2011-godu-sostavili-45-mlrd-dollarov%22
Источник: http://safe.cnews.ru/news/line/index.shtml?2012/04/25/487082

Кибермошенники сосредоточились на смартфонах и онлайн-банкинге

Кибермошенники всерьез заинтересовались пользователями мобильных девайсов — такой неутешительный вывод сделали аналитики компании G Data Software. Во второй половине 2011 г. число новых вредоносных семей для смартфонов и планшетных компьютеров увеличилось в 2,5 раза. Причем особый интерес преступников по-прежнему представляют устройства на платформе Android — вредоносов для этой операционной системы стало в 8 раз больше по сравнению с этим же периодом в прошлом году, говорится в сообщении G Data. По итогам всего 2011 г. количество опасного ПО для мобильных устройств увеличилось более чем в 10 раз.

...

Как известно, онлайн-банкинг является популярным и удобным сервисом, который используют многие владельцы банковских аккаунтов. Возрастающая популярность онлайн-банкинга неизменно привлекает и киберпреступников, которые для кражи денег используют специализированные банковские троянские программы, говорится в отчете G Data. В частности, они способны манипулировать банковскими транзакциями, например, переводить деньги вместо счета назначения платежа на другие аккаунты. По данным компании, среди банковских троянских программ наиболее распространенными угрозами второй половины 2011 г. стали Sinowal (46,5%), SpyEye (33,1%) и Zeus (10,5%).

Подробнее...

Источник: http://safe.cnews.ru/news/line/index.shtml?2012/03/06/480294

Эксперты вскрыли многочисленные бреши в информационной безопасности российских банков

Digital Security Research Group исследовала российские системы дистанционного банковского обслуживания в России и выяснила, что у них крайне низкая степень защищенности, а большинство уязвимостей характерны для систем 90-х гг. Часть банкиров, опрошенных CNews, согласилась с выводами аналитиков.

По данным исследования, проведенного центром Digital Security Research Group (DSecRG) в 2009-2011 гг., банк-клиенты, представленные на российском рынке, содержат большое количество критичных уязвимостей разных классов, большая часть из которых была свойственна системам, разработанным еще в 90-е годы (см. полный текст исследования)

При разработке банковского ПО не используются современные технологии, при этом процессы разработки безопасного кода и архитектуры отсутствуют, отмечают аналитики. По их данным, число уязвимостей достаточно высоко и стабильно сохраняется на протяжении трех лет по всему рынку. При этом некоторые из них настолько просты и легко эксплуатируемы, что угроза очень высока. Так, например, одна система отдавала полный номер банковской карты (PAN) при неудачной попытке аутентификации по существующему логину.

Специалисты Digital Security Research Group пришли к выводу о том, что на сегодняшний день уровень зрелости современных отечественных систем ДБО с точки зрения ИБ отстает от аналогичных продуктов западного производства. «Хотя можно найти и сходства: чем менее популярно ПО на открытом рынке и более узко специализировано, тем меньше разработчики уделяют внимание ИБ, вне зависимости от критичности продукта», — заключили в DSecRG.

Подробнее...

Источник: http://www.cnews.ru/news/top/index.shtml?2012/01/31/475300

Банки богатые - пусть платят!

Лукацкий Алексей
Менеджер по развитию бизнеса - Cisco Systems
 
Именно это известное высказывание бывшего первого зама 8-го Центра ФСБ напомнило мне норму нового финансового законодательства.

"11. В случае утраты электронного средства платежа и (или) его использования без согласия клиента клиент обязан направить соответствующее уведомление оператору по переводу денежных средств в предусмотренной договором форме незамедлительно после обнаружения факта утраты электронного средства платежа и (или) его использования без согласия клиента, но не позднее дня, следующего за днем получения от оператора по переводу денежных средств уведомления о совершенной операции
12. После получения оператором по переводу денежных средств уведомления клиента в соответствии с частью 11 настоящей статьи оператор по переводу денежных средств обязан возместить клиенту сумму операции, совершенной без согласия клиента после получения указанного уведомления".

Что гласит данная норма ст.9 ФЗ "О национальной платежной системе" (вступает в силу через 18 месяцев после вступления в силу ФЗ)? А гласит она всего-навсего, что в случае любой хакерской атаки и незаконного снятия средств со счетов клиентов, банк будет обязан вернуть украденные деньги.

Приостановить мошеннический платеж (при условии, что его своевременно выявили) банк не имеет права по банковским правилам - это может сделать только клиент. По закону об НПС банк обязан перевести средства незамедлительно. Т.к. снятие средств со счетов обычно проводится в очень сжатые сроки и с момента перевода до момента обналичивания может пройти всего 3-4 часа, то большинство клиентов не в состоянии своевременно дать указание банку о незаконном списании средств со счета. Нередко деньги списываются за 20-30 минут до рейса и банк уже не в состоянии их своевременно вернуть.

Что у нас получается в этом случае? Банк всегда в проигрыше! Остановить мошенничество он не имеет права, а по закону деньги необходимо вернуть проштрафифшемуся клиенту.

Немного спасает ситуацию ч.13 ст.7 закона об НПС. Согласно ей банк обязан незамедлительно после перевода средств уведомить клиента об исполнении распоряжения на перевод. Об этом же говорит и ч.4 ст.9. Если клиент не сообщит в однодневный срок о том, что распоряжение незаконное, то дальше вступают в силу уже условия договора между клиентом и банком, а не требования закона. Однако по ФЗ банк "обязан обеспечить возможность направления ему клиентом уведомления об утрате электронного средства платежа и (или) о его использовании без согласия клиента". Кто его знает, что имел ввиду законодатель. Могу предположить, что речь идет о опубликовании контактов для связи и обеспечение бесперебойной работы этих контактов. В любом случае, банку остается надеяться на то, что он уведомил клиента, который забыл сообщить о незаконном списании средств. Только в этом случае банк освобождается от необходимости возмещения украденных денег.

Правда с уведомлением возникает еще один нюанс, о котором законодатель не думал. Каким образом банк будет оповещать? SMS? E-mail? Телефонный звонок? Но у нас далеко не у всех граждан (особенно в регионах) есть такие средства коммуникаций. Почта? Но тогда ни о какой оперативности уведомления и речи не идет - клиент не в состоянии будет в течение дня уведомить банк о незаконности списания. И опять же кто будет платить за эти уведомления? Сейчас SMS-информирование у многих банков - услуга платная. По закону об НПС уведомление становится обязанностью, а не правом, и банк не имеет право взимать за него деньги. Т.е. затраты опять ложатся на банк. Готов ли банк их принять безоговорочно или он захочет разделить траты с клиентом, а то и полностью переложить их на него? Ставки по кредитам, а также по ДБО могут возрасти...

ЗЫ. Кстати, в ч.4 ст.9 прописан срок хранения информации по электронным платежам - эту норму можно использовать и в контексте сроков хранения ПДн.

ЗЗЫ. Банк в соответствии с ч.3 ст.9 теперь обязан до заключение договора "информировать клиента об условиях использования электронного средства платежа, в частности о любых ограничениях способов и мест использования, случаях повышенного риска использования электронного средства платежа". Т.е. теперь это уже не просто пожелание - сообщать клиенту о рисках и требованиях по ИБ, но и обязанность банка.

Источник: http://www.dlp-expert.ru/blog/660/1012

Страницы