Ольга Арсланова: Кстати говоря… Петр Кузнецов: …к вопросу о вторых симках. Ольга Арсланова: Да. Тема, которую мы сейчас будем обсуждать, коснулась в том числе и наших коллег, потому что такие истории происходили не только с клиентами «Сбербанка», но и с клиентами других банков, я думаю, что, может быть, с кем-то даже из наших зрителей, так что это важно и актуально. Клиенты «Сбербанка» столкнулись с новым видом мошенничества на этих днях: злоумышленник не просто звонит и просит перевести деньги, а для убедительности называет сумму остатка по счету, то есть все это выглядит как настоящий звонок из настоящего «Сбербанка». Петр Кузнецов: Из настоящего действительно, потому что звонки поступают с настоящего номера банка. Ольга Арсланова: Мошенничество с картами вообще встречается и в нашей стране, и в мире все чаще. Международные аналитики прогнозируют, что потери от него в ближайшие годы продолжат расти. Точных данных, сколько денег украдено с банковских счетов граждан России, не существует, но судя по статистике МВД, в период с января по июль прошлого года в России зарегистрировано немногим более 94 тысяч преступлений, совершенных с использованием компьютерных и телекоммуникационных технологий. Это почти на 2.5% больше, чем за аналогичный период прошлого года, и неизвестно, сколько из этих преступлений относится непосредственно к краже денег с банковских счетов. Раскрываемость по этой категории опять же по данным МВД составляет где-то 26%. Петр Кузнецов: По статистике Центра мониторинга и реагирования на компьютерные атаки, ущерб российских банков и платежных систем от действий киберпреступников в 2017 году достиг 1 миллиарда 350 миллионов рублей. Объем всех несанкционированных операций, совершенных с использованием платежных карт, эмитированных на территории нашей страны, опять же в 2017 году составил 961 миллион рублей. Ольга Арсланова: Потери от мошенничества с банковскими картами на крупнейших рынках Европы выросли на 30 миллионов евро, или 2% по итогам 2017 года, только за этот год есть данные. На долю Великобритании, Франции и России приходится 77% потерь от мошенничества с картами. Рост такого мошенничества наблюдается в 8 европейских странах: Австрии, как вы сейчас видите, Венгрии, Дании, Норвегии, Польше, России, Чехии и Турции. Повышение безопасности и противодействие мошенничеству в других странах вынудило преступников перейти еще и на другие рынки. Но есть и страны, где снижается количество таких преступлений. Петр Кузнецов: На треть сокращение было зафиксировано в Нидерландах; также удалось сократить потери от мошенничества, вот увидите далее, в Греции, Великобритании, Франции, Португалии, и эту счастливую шестерку замыкает Германия. Ольга Арсланова: Что же делается, для того чтобы таких преступлений было меньше, и как нам с вами себя вести? Вот о чем мы будем говорить в ближайшие полчаса с нашим гостем, руководителем аналитического центра компании «Зикурион» Владимиром Ульяновым. Здравствуйте, Владимир. Петр Кузнецов: Добрый вечер. Владимир Ульянов: Добрый вечер. Ольга Арсланова: Расскажите, пожалуйста, ведь ничего нового, в принципе такие звонки из якобы настоящего банка начались довольно давно в нашей стране. Владимир Ульянов: Много лет назад. Ольга Арсланова: Да, но каждый раз такое ощущение, что мошенники все лучше и лучше маскируются. Владимир Ульянов: Совершенно верно. Ольга Арсланова: Как они это делают? Владимир Ульянов: Ну смотрите, чем лучше люди узнают мошенников, не ловятся на эти истории, когда, знаете, «мама, переведи мне денег, я попал в аварию». Мошенники тоже понимают вот эти механизмы, как работает психика человека, на что надавить, и если при этом они еще получают какую-то информацию, которую они могут использовать, направить на человека, конечно же, все эти схемы социальной инженерии начинают гораздо лучше работать. Люди действительно даже те, которые осведомлены, те, которые понимают, что существуют вот эти современные киберугрозы, мошенники, которые вас пытаются развести, все равно бывает, что люди поддаются на их удочку и выдают те данные, которые от них просят. Ольга Арсланова: Вопрос, откуда у них эти данные? То есть со «Сбербанком» здесь не очень понятная история, была версия, что это действительно настоящая база данных, которую могли получить мошенники только у работников самого банка. Владимир Ульянов: А почему нет? Если мы говорим о современных киберугрозах, то далеко не хакеры, как может показаться, или какие-то компьютерные вирусы. Да, безусловно, есть и хакеры, и вирусы, мы их все боимся, но самая большая угроза безопасности – это собственные сотрудники компании, организации, которые сидят на рабочем месте. Вот представьте, мы приходим с утра на работу, запускаем компьютер и все, фактически мы уже имеем доступ к информации. У нас есть и базы данных, и какая-то конфиденциальная информация, фактически все, с чем мы работаем, причем сотрудники уже понимают ценность этой информации, знают, где она лежит, понимают, как ее можно использовать. Фактически их задача гораздо проще, чем у хакеров. Это хакеры могут взломать, могут не взломать, еще неизвестно, что они взломают, что получат, а сотрудники уже знают, что за информация, какую ценность она представляет. Фактически у них задача сводится к тому, чтобы вынести эту информацию, а учитывая нынешний уровень развития технологий, все вот эти миниатюрные флешки, быстрый Интернет, мессенджеры, электронная почта, фактически это все, что есть у нас уже под руками на рабочем месте. Задача максимально простая, и если нет специализированных систем контроля вот этих информационных потоков, то фактически можно безнаказанно отправлять это себе на домашнюю почту, какому-то своему сообщнику, поэтому утечки происходят всегда. Петр Кузнецов: То есть внутри одного банка, пусть даже и самого большого в нашей стране… Владимир Ульянов: Внутри любого, к сожалению. Петр Кузнецов: …в принципе несложно вычислить, отсюда произошел слив? Владимир Ульянов: Ну смотрите, если мы говорим… Петр Кузнецов: Следы кибермошенничества остаются? Владимир Ульянов: Следы остаются, да, но опять же если мы говорим о расследовании киберпреступлений, такие расследования требуют, безусловно, и высокой экспертизы тех людей, которые будут заниматься расследованием, и, конечно же, сбором информации. Следы остаются, но эту информацию нужно собрать, нужно понять, где, что и как утекло. Петр Кузнецов: Правда ли, что сейчас очень много Telegram-каналов, где за определенную плату можно узнать о человеке практически все? За 50 тысяч рублей… Там даже ценники где-то в одном из материалов были опубликованы, за 5 тысяч номер паспорта, за 10 тысяч еще какая-то более конфиденциальная информация, адрес. Если да, то откуда там наши данные? Как они оказываются там? Владимир Ульянов: Вы называете очень высокую цену. Фактически это те люди, которые уже у кого-то перекупили. Изначально берется большая база, вряд ли кто-то будет собирать досье на каждого конкретного гражданина России, это просто невыгодно, хотя да, безусловно, наверное, есть какие-то люди высокопоставленные, которые интересны и киберпреступникам, может, журналистам, кому-то еще. Но если мы говорим об основной массе населения… Ольга Арсланова: …в общем, все мы им не очень интересны. Владимир Ульянов: Да, каждый конкретный, отдельно выбранный человек. Но когда мы попадаем вот в эту огромную базу, то это уже интересно. Большую базу можно купить за какие-то копейки. Вы говорите, что один паспорт стоит 5 тысяч рублей, а можно за 5 тысяч рублей купить целую базу и из нее уже вытаскивать ту информацию, которая вам нужна. Петр Кузнецов: Ну хорошо, паспорт ладно, где-то он все равно, паспортом мы постоянно пользуемся, где-то он так или иначе зафиксирован, не в одной базе. Но вплоть до состояния банковского счета – это-то откуда? Все-таки тоже от сотрудников банка? Владимир Ульянов: Ну вы же понимаете, что мы идем в банк, сотрудники банка знают эту информацию о нас. Вопрос в том, сольют они или не сольют, а это вопрос, во-первых, умысла, доброй воли вот этого сотрудника, будет он или не будет, и конечно же информационной безопасности. И второй момент – это халатность. Дело в том, что часть утечек происходит не по злому умыслу, а вследствие незнания, непонимания ситуации. Таких халатных утечек, наверное, даже более половины всего числа. Ольга Арсланова: Давайте послушаем нашего зрителя из Петербурга Александра. Здравствуйте. Зритель: Да, здравствуйте. Ольга Арсланова: Вы в эфире. Зритель: Вот я, например, согласен с тем, что это, допустим, внутренние сотрудники банка, особенно системные администраторы, которые держат, например, сервер весь, куда поступает вся информация. И кстати говоря, это черта нашей цифровой экономики всей, к чему нас приводит цифровая экономика в отличие от Запада. Потому что в поликлиниках, например, уже переводятся поликлиники на цифровую, отказ от карточек бумажных, все в цифровом виде. И в итоге, мне кажется, тоже оттуда воруют системные администраторы, которые по идее должны контролировать эту электронную базу, оттуда утекают данные пенсионеров, а потом начинается прозвон. Они сливают информацию, допустим, каким-то частным медцентрам, люди звонят, точно знают фамилию, какие болезни у пациента, то есть «не хотите ли прийти к нам бесплатно, чтобы опорно-двигательную систему» и прочее. Петр Кузнецов: Да. Ольга Арсланова: Уже до такого даже, да. Петр Кузнецов: Ладно там состояние банковского счета, болезни. Зритель: А «Сбербанк» вообще ворье. Мне просто интересно, они в свое время «Opel» не смогли купить, зато на миллиарды государственные они ребрендинг проводили… Ольга Арсланова: Ну это уже немножко другое. Петр Кузнецов: Мы здесь не для того, чтобы критиковать конкретный банк. Спасибо большое. Ольга Арсланова: Спасибо. Видимо, история такова. Петр Кузнецов: Нам просто говорили, что перейдем на «цифру», уйдет коррупция, все будем защищены, а в итоге на сегодняшний день проще опять хранить деньги в носке физическом. По крайней мере никто ничего не сольет. Владимир Ульянов: Смотрите, перешли на «цифру», получили больше удобств, но если мы говорим о защите информации, то фактически всегда это поиск какого-то баланса между удобством доступа к этой информации, ее защищенностью… Можем сделать какую-то мегазащищенную систему, которая будет относительно безопасной – не абсолютно безопасной, а относительно безопасной, – но при этом доставать информацию из нее будет неудобно. Если мы хотим сделать какую-то систему, к которой будет действительно легкий и простой доступ из разных мест, из разных учреждений, то, конечно же, она будет так или иначе уязвима. Ольга Арсланова: Вот нам зрители истории свои пишут. Например, такие: «С кредитных карт мошенники сняли 60 тысяч рублей. Банк заставил все оплатить, хотя факт кражи подтвердился». Давайте поговорим о том, как в идеале должны себя в такой ситуации вести банки. Как они должны предупреждать своих клиентов о таких фактах мошенничества и какие системы они должны вводить, для того чтобы таких вещей не происходило? Владимир Ульянов: Вот смотрите. Во-первых, вы правильно сказали, что банки должны, именно должны вести просветительскую работу среди своих вкладчиков, среди своих клиентов, рассказывать о киберугрозах. Петр Кузнецов: Это просто в их интересах, вот и все. Владимир Ульянов: Не только рассказывать, какие прекрасные новые продукты, услуги, давайте подключим что-нибудь еще, но и какие риски существуют для клиентов. Опять же если мы что-то подключаем, это, возможно, несет дополнительный риск, а человеку не нужен мобильный банк, он не пользуется им, ему достаточно прийти в банкомат и снять деньги с карточки, все. Ольга Арсланова: Просто выдать ему какую-то памятку, в которой написано, в каких случаях это может быть мошенничество? Владимир Ульянов: Обязательны памятки. Ольга Арсланова: Это же недорого. Владимир Ульянов: Опять же если мы говорим об отделениях банка, то наряду с рекламой, которая там расставлена в кармашках, вот такие действительно памятки, инструкции по безопасности. Опять же по-хорошему SMS-уведомления, которые часто подключаются за деньги, стоило бы сделать бесплатными, потому что люди пытаются сэкономить даже вот эти 60, 100 рублей в месяц. Если посмотреть за год, два, три, это уже солидная сумма набегает, и люди пытаются сэкономить на этом. При этом они узнают об этих несанкционированных списаниях, когда уже поздно, когда поздно возвращать эти деньги, они уже ушли далеко за рубеж, и это действительно большая проблема. Для банка, я считаю, даже в масштабах крупного бизнеса, миллионных клиентов это все-таки терпимые расходы, которые банк мог бы взять на себя. Ольга Арсланова: Но наши российские банки, вы бы им какую в среднем оценку поставили за эту работу? Владимир Ульянов: Просветительскую или техническую? Ольга Арсланова: Просветительскую и техническую тоже. Владимир Ульянов: Смотрите, что касается просветительской, это оценка скорее «неудовлетворительно». То, что касается технической защиты информации, все-таки в большинстве банков, которые работают в федеральном масштабе, есть специализированные подразделения по информационной безопасности, и у них есть уже свои инструменты, как они предотвращают утечки с помощью DLP-систем, собственных системных администраторов, как слушатель сказал, контролируют с помощью PM-систем. В принципе они с одной стороны оснащены, с другой стороны они осведомлены об этих угрозах, ежедневно они отражают сотни, тысячи вот этих кибератак. Поэтому в принципе с технической точки зрения, наверное, можно поставить оценку «хорошо». Но вот оценку «отлично» или сказать, что это абсолютно защищенный банк, наверное, ни про кого никогда нельзя будет сказать, потому что в принципе при желании любую систему можно обойти, взломать, что-то еще. Но задача специалистов заключается в том, чтобы минимизировать вот эти риски. Петр Кузнецов: Владимир, смотрите, раз мы… Ольга Арсланова: Раз мы… Я просто хотела сразу обозначить, что раз мы ставим «неудовлетворительно» за просветительскую работу банкам, придется нам ее здесь сейчас провести и объяснить нашим зрителям хотя бы, какие вещи должны в таком звонке насторожить. Потому что ты видишь банк, телефон банка, который у тебя написан с другой стороны карты, никаких проблем. Петр Кузнецов: Сотрудник называет все твои данные. Ольга Арсланова: Полностью, да. Петр Кузнецов: Вплоть до паспортных, даже называет баланс счета. Ольга Арсланова: Как понять, что это мошенник? Петр Кузнецов: И что мы должны ответить. Владимир Ульянов: Это действительно очень страшно. Я просто не знаю таких людей, кто в этой ситуации не засомневался бы, действительно ли у меня хотят что-то своровать, может быть, мне сейчас проще выдать ту информацию, которую от меня просят, и решить эту проблему, вместо того чтобы брать ногами и идти в банк. Петр Кузнецов: Вы знаете, смотря в какой ситуации этот звонок застал конкретного клиента. Владимир Ульянов: Более того, конечно же, злоумышленники понимают, что есть такие моменты, когда человек наиболее уязвим, наиболее восприимчив к той информации, которую ему пытаются донести. Поэтому все, что нужно от пользователя, – это прежде всего, наверное, какая-то изрядная доля скепсиса, может быть, даже параноидальности, если мы говорим о безопасности. Но это параноидальность, которая поможет людям сберечь денег. Поэтому не стоит доверять любым входящим звонкам и письмам, даже если они похожи на обычные письма из банка или звонки из банка. Не стоит им доверять, всегда можно сбросить телефон и перезвонить по номеру, который забит в телефонную книгу. В этом случае вероятность того, что вы попадете действительно в банк, гораздо больше. Петр Кузнецов: То есть метод социальной инженерии тот самый – это по-прежнему ходовой инструмент среди кибермошенников? Владимир Ульянов: Наверное, это самый ходовой инструмент, что сейчас используется. Петр Кузнецов: Смотрите, читаю: в этом году будет принят законопроект, направленный на минимизацию хищений с банковских карт и электронных средств платежа. Это не по итогам сегодняшней истории со «Сбербанком», это еще в начале года была анонсирована новость. Законопроект дает банкам право блокировать подозрительные операции и вводит обязанность незамедлительно обращаться к клиенту за согласием на проведение операции. То есть почти это то, чем уже сейчас должны заниматься банки. Что нового в этом законопроекте? Владимир Ульянов: Собственно, этим банки уже занимаются, по крайней мере я в своей практике сталкивался с таким, что операции, которые выходят из моего стандартного профиля, условно говоря я ежемесячно оплачиваю содержание какой-либо вещи, если что-то нестандартно, выходит за мой обычный платежный профиль, в этом случае банк имеет право обратиться и уточнить, действительно ли это я совершаю операцию, или что-то подозрительное. Опять же если человек все время совершал операции в России расходные, а тут вдруг где-то далеко за рубежом, или в один день он в России, в другой день за рубежом, в третий день в третьей стране, – это, конечно же, очень подозрительно, вызывает вопросы у службы безопасности, поэтому они могут обратиться к клиенту. Ольга Арсланова: Послушаем наших зрителей. Москва на связи, Нина, добрый вечер. Зритель: Добрый вечер. У меня очень интересная история произошла, я до сих пор не вернула свои 30 тысяч. Ольга Арсланова: Так. Зритель: 28 июня 2017 года, в то время когда я меняла, получала новую карту «Visa», у меня через банкомат, я была в это время в «Сбербанке», сняли 30 тысяч моей зарплаты. Причем банкоматом я вообще никогда не пользовалась, никогда близко к нему не подходила. Было заявление в полицию, полиция пишет о том, что да, признанное хищение, но лицо не установлено. Более того, мне полиция сказала, что они обращались в «Сбербанк» за видеокамерой, для того чтобы посмотреть, кто снял, потому что известны и дата, и время снятия, и номер банкомата известен, но «Сбербанк» якобы эту видеокамеру не предоставил. Вот может ли быть такое и как вообще нужно мне в этом случае поступить? Петр Кузнецов: Спасибо большое. Ольга Арсланова: Спасибо. Петр Кузнецов: Владимир? Владимир Ульянов: Ну смотрите, тут, безусловно, чтобы разобраться в этой ситуации, нужны детали. Прежде всего что требуется от человека, который попал в подобную ситуацию? – своевременно обратиться в банк, в течение суток с момента вот этой несанкционированной операции заявить о несогласии с ней. После этого банк обязан будет вернуть деньги и начать разбирательство, что вообще произошло, кто виноват, сам вкладчик, клиент, или какие-то киберпреступники, или сотрудники внутри банка. И если будет доказано, что клиент виноват в этой утечке, может быть, он передал кому-то свою карту, PIN-код разгласил, в этом случае да, клиент несет ответственность. Но если это не будет доказано, то банк обязан вернуть деньги своему клиенту. Петр Кузнецов: Что касается видов карт, сейчас что надежнее, все-таки карта с чипом (знаете, идет такая борьба сейчас) или с PayPal, то есть бесконтактная? Владимир Ульянов: Вы не совсем верно сказали, наверное, вы имели в виду PayPass. Петр Кузнецов: PayPass, да. Владимир Ульянов: Ну смотрите, каждая технология имеет свои преимущества и несет свои риски. При этом то, что касается бесконтактных платежей, они, наверное, хороши тем, что относительно небольшую сумму вы можете списать. Вы или не вы… Ольга Арсланова: Вот именно, вы или не вы. Владимир Ульянов: Эта сумма ограничена. В случае с чиповыми картами они, безусловно, более надежны, чем обычные, классические старые карты с магнитной лентой, но у них тоже есть свои риски. Поэтому тут поиск какого-то баланса. Если вы постоянно расплачиваетесь вот этими быстрыми, небольшими бесконтактными платежами, – пожалуйста, пробуйте, пользуйтесь, не стоит возвращаться в каменный век. Но если вы раз в месяц хотите ради интереса просто попробовать вашу карточку, наверное, не стоит такую дополнительную возможность себе подключать. Ольга Арсланова: Послушаем еще один звонок из Челябинской области. Александр, добрый вечер. Петр Кузнецов: Здравствуйте, Александр. Ольга Арсланова: Что у вас произошло? Зритель: Добрый вечер. Я бы хотел обратить внимание на два момента. Во-первых, конечно, мошенники сейчас на голову выше правоохранителей. Об этом, например, говорят такие случаи, что в Москве когда задержали банду несколько лет назад, которые выпускали дублирующие банковские карты, то организатор этой банды проводил курсы повышения квалификации для сотрудников крупных банков и как раз для представителей правоохранительных органов. Кроме того, у них существуют специализированные сайты, где они очень четко координируют между собой работу, в отличие от правоохранителей, которые работают на оклад, в принципе лишь бы быстрее отделаться. Второй момент – технический. Я бы хотел обратить внимание, что сейчас многие смартфоны, особенно недорогих марок, несколько лет назад стали подцеплять вирусы, от которых практически невозможно избавиться. Они встроены сразу как бы в основу, в систему телефона. У меня, например, когда стоял такой вирус, я как понял, он передавал люди всю информацию с телефона, копировал от и до совершенно все действия. Чтобы быть в безопасности, я просто не подключаю никакие онлайн-сервисы тем более к телефону, все наличные сразу снимаю с карты, как только они туда приходят. Петр Кузнецов: Спасибо. Ольга Арсланова: Спасибо. Петр Кузнецов: Владимир, то есть невозможно, наверное, предупредить новые виды мошенничества, новые вирусы? Потому что мы о них узнаем, собственно, когда они начинают уже действовать, тогда уже выходит антивирус. Владимир Ульянов: Совершенно верно, всегда есть какой-то временной промежуток, когда угроза появилась, между тем моментом, когда мы ее детектировали и выпустили какое-то обновление, выпустили рекомендации, как с ней бороться. Поэтому на протяжении вот этого временного периода злоумышленники как раз собирают максимум денег. А то, о чем рассказал слушатель, в принципе это нормальный случай, когда люди действительно не держат вот эти электронные деньги, тем более если они не нужны. И смартфоны – это действительно некоторая проблема. Вот сейчас, кажется, это удобно, вынул из кармана, быстро перевел кому угодно, кому нужно деньги. Ольга Арсланова: У тебя есть онлайн-банк, ты всегда можешь посмотреть, что у тебя происходит с твоим счетом. Владимир Ульянов: Да, это классно. Ольга Арсланова: Классно. Владимир Ульянов: Но мы понимаем, что в случае, если на этом смартфоне поселилась программа-шпион, то фактически она все ваши финансы берет под собственный контроль. Потому что те же самые одноразовые пароли, которые приходят на телефон, ведь для чего их сделали? Изначально, когда люди работали с Интернет-банком на компьютере, вот у нас есть компьютер, там логин и пароль, вот у нас есть телефон, на который приходит одноразовый пароль. Два разных устройства, и мы предполагаем, что они не могут попасть в руки злоумышленника одновременно. А тут, когда все на одном устройстве (и программа, которая управляет деньгами, и SMS, которые приходят с одноразовыми паролями), то фактически, если есть программа-шпион, она может уже и формировать платежки, и сама же получать подтверждения и отправлять. Ольга Арсланова: А где можно этот вирус поймать? Владимир Ульянов: Фактически везде. Поэтому если мы говорим о каких-то критичных сервисах, как Интернет-банк или электронная почта, то лучше пользоваться ими на каком-то отдельном устройстве, а те гаджеты, которые у нас всегда доступны под рукой, использовать для каких-то более простых вещей, не знаю, прогноз погоды посмотреть или с кем-то пообщаться в мессенджере. Ольга Арсланова: Спасибо большое за ваши советы и объяснения. У нас в гостях сегодня был руководитель аналитического центра компании «Зикурион» Владимир Ульянов. Петр Кузнецов: Спасибо.