Средняя сумма потерь российских банков из-за действий кибермошенников по физическим лицам составляет 5−7 тысяч рублей, а по юридическим — около 1 млн рублей. В ходе проходящего в Санкт-Петербурге Международного финансового конгресса представители «Почта банка» заявили о внедрении новой для России системы, которая может помочь сдержать нарастающие угрозы. О подробностях борьбы с используемыми хакерами методами «социальной инженерии» корреспонденту EADaily рассказал Владимир Скудин, исполнительный директор компании GlowByte Consulting, которая внедрила проект.
— Существуют ли железные гарантии от списания денежных средств мошенниками?
— Жизнь не стоит на месте, поэтому железных гарантий, к сожалению, не существует. Каждый год происходит угасание старых киберугроз и появление новых методов мошенничества. Поэтому мы в своих проектах делаем ставку на универсальные технологии, в которых логика выявления подозрительных операций может быть настраиваемой.
— Чем система защиты, которую вы разработали для «Почта банка», отличается от других похожих защитных систем, например применяемых Сбербанком?
— Сбербанк давно себя позиционирует как IT-компания, а не как просто банк, поэтому практически во всех этих вопросах он пытается разрабатывать собственную, независимую технологию. В данном случае «Почта банк» и мы тоже использовали этот подход. Мы сделали ставку на проверенные решения, на технологию компании SAS, испытанную в крупных зарубежных банках. Соответственно, это было крупное, готовое решение, которое уже использовали западные банки. Если бы мы разрабатывали систему с нуля, это бы заняло у нас в разы, может быть даже в десятки раз, больше времени.
— Здесь мы слышали термин «социальная инженерия». Раньше он имел положительную направленность, а сейчас отрицательную.
— Безусловно, в данном контексте направленность отрицательная. Дело в том, что общество развивается, и чем больше развиваются цифровые технологии, тем больше мы оставляем свой цифровой след в интернете. Это и социальные сети, и другие ресурсы, и возможности получить информацию о нас, даже когда мы не замечаем этого. Как пример: когда вы входите в торговый центр, ваш телефон проверяет, какие там есть точки Wi-Fi, но эти точки ещё некоторое время назад могли с помощью вашего телефона определить, что это вы. Представляете, какой уровень информации о вас вы представляете повсюду окружающему миру? Соответственно, используя эту информацию, мошенники формируют определённый скрипт, по которому они получают возможности вывести ваши средства, в этом и состоит идея социальной инженерии. Естественно, что сегодня очень сложно воздействовать на самих клиентов, чтобы они не публиковали лишнюю информацию в социальных сетях, чтобы они защищали устройства, с которыми они работают. Поэтому основная ставка для банка делается на том, чтобы выявить аномальные операции, например списание суммы с вашей карты из государства Бангладеш, позволяющее нам с высокой долей вероятности сказать, что это фрод (мошенничество). Затем мы можем приостановить операцию и проверить её, что называется, инструментально, позвонив клиенту и подтвердив у него, что операцию с переводом денежных средств совершает именно он и по своей доброй воле.
— Но мошенники могут списать деньги не только из Бангладеш, но и из Москвы или Новосибирска. Есть ещё какие-то зацепки, чтобы их вовремя перехватить?
— Зацепок может быть очень много и самых разных. Геолокация на сегодняшний момент может быть достаточно точной, если мы говорим о клиенте, который пользуется мобильным приложением. Это и время, и точки, и реквизиты, на которые он направляет средства, а также размер суммы. И та технология, которую мы используем, смотрит на всю цепочку операций, которая ей предшествовала, и сравнивает её с какими-то характерными шаблонными чертами поведения клиента. Если вы посмотрите на свою историю, вы увидите, что очень много операций, которые повторяются изо дня в день. Поэтому чего-то новое в нашей жизни происходит не так часто — мы ходим в одни и те же магазины, платим одним и тем же поставщикам услуг, пользуемся одними и теми же сервисами такси и так далее. И когда происходит аномальная операция, то риск мошенничества возрастает, и, соответственно, включается служба безопасности банка для того, чтобы удостовериться, что это действительно намерение клиента, а не действия злоумышленников.
— Вы упомянули в том числе информацию в социальных сетях. Посоветуйте, что там писать категорически нельзя.
— Я не являюсь активным пользователем социальных сетей (смеётся). И поэтому, наверное, моё мнение будет несколько консервативным. Считаю, что в принципе не место там любым персональным данным, идентифицирующим вас. Это, например, паспортные данные, водительские удостоверения. Иногда фотографии документов подобного рода приходится встречать в социальных сетях, размещая их, люди подвергают себя очень серьёзному риску.
Беседовал Егор Зубцов, Санкт-Петербург