С повсеместным распространением смартфонов, бесплатного общественного Wi-Fi и мобильных банков мы все чаще рискуем оказаться жертвами хитроумных злоумышленников. Методы хакеров постоянно меняются - теперь лишиться денег можно во время поездки на работу или после SMS из банка. «Лента.ру» выяснила, какие новые опасности ежедневно подстерегают граждан и что нужно сделать для защиты своих сбережений.

Инженеры поведения

В середине марта российские банки забили тревогу: за последние полгода они потеряли почти 2 миллиарда рублей из-за хакерских атак. Причем если раньше преступники в основном пытались взламывать компьютерные системы, то теперь взяли на вооружение человеческий фактор.

Сотрудникам финансовых организаций рассылались письма от имени Центробанка с прикрепленным документом, в котором якобы содержались рабочие инструкции. На самом деле в файле была программа Buhtrap, проверявшая в браузере ссылки на страницы с уже проведенными транзакциями. Поскольку в большинстве случаев на них сохранены все логины, пароли и номера счетов, хакеры беспрепятственно снимали и переводили себе деньги.

Более того, письмо с вирусом пришло и в закрытый чат для членов службы безопасности банков - уже от имени Газпромбанка. Вирус Buhtrap был замаскирован под таблицу с данными «дропов» - людей, на чье имя оформляются поддельные кредитные карты.

Вновь выдать себя за Центробанк преступники попытались 15 марта, когда разослали в десятки банков письма с вредоносными файлами от имени FinCERT - специального отдела в структуре ЦБ, созданного для информирования финансовых учреждений о кибератаках. Рассылка производилась по специально составленной базе, а каждое письмо начиналось с обращения по фамилии, имени и отчеству. Правда в этот раз на уловку хакеров никто не попался.

Эксперты по кибербезопасности называют такой метод взлома «социальной инженерией», ведь ставка делается не на заражение компьютерной системы вирусом, а на предсказуемость человеческих реакций. Хотя случай с сотрудниками банков скорее можно считать исключением. Обычно от таких психологических экспериментов страдают рядовые держатели пластиковых карт.

Чаще всего мошенники узнают имена и контакты будущих жертв в интернете, отправляют им сообщение о блокировке счета, а затем звонят от лица сотрудников банков и пытаются узнать номер карты, а также расположенный на обороте CVV2-код. Эти данные затем используются для вывода средств или крупной покупки в интернет-магазине. В борьбе с таким видом мошенничества большинство российских банков уже ввели СМС-подтверждение любых платежей и переводов.

Но хакеры опробовали новую схему - звонки от автоматизированных программ, которым пользователи доверяют больше, чем живым людям. Роботы сообщают о системном сбое в банке, после чего просят назвать номер карты и данные для входа в интернет-банк. За прошлый год этот способ принес злоумышленникам больше 6 миллионов рублей.

При подобных звонках стоит помнить, что работники банка никогда не требуют назвать любые логины и пароли, а также CVV2-код и пин от карты. К тому же банки в принципе редко звонят своим клиентам, так что любой входящий вызов от имени банка сразу следует воспринимать с подозрением.

Сетевые проказники

В конце марта несколько пользователей Wi-Fi в московском метро столкнулись с необычной проблемой - при подключении к сети вместо страницы авторизации флаг запрещенной в России террористической группировки «Исламское государство» (ИГ). Похожее случилось в ноябре 2015 года - тогда демонстрировались надписи на арабском и черный флаг с подписью: «Вчера - Париж, сегодня - Москва!»

В обоих эпизодах сама сеть столичной подземки взлому не подвергалась, и ее пользователи не пострадали. Демонстрация символики террористов была чьей-то злой шуткой, за которую, однако, предусмотрено уголовное наказание. «МаксимаТелеком» подала соответствующие заявления в полицию. Как объяснил «Ленте.ру» технический директор компании Михаил Миньковский, пользователи могли столкнуться с подменой сети в отдельно взятом вагоне. Неизвестные злоумышленники, предположительно, использовали методику Man in the middle («человек посередине»).

Фото: Сафрон Голиков / «Коммерсантъ»

В одном из вагонов расположился пассажир с ноутбуком и USB-модемом, дав своей точке доступа такое же имя, как и у сети Wi-Fi в метро. Поскольку большинство современных смартфонов и планшетов автоматически подключаются к уже известным им точкам с максимальным качеством сигнала, пассажиры могли невольно воспользоваться сетью злоумышленников, где и был размещен флаг ИГ.

В некоторых случаях сети-клоны могут быть весьма опасны, ведь по незащищенным каналам Wi-Fi злоумышленники нередко получают доступ ко всей хранящейся на устройстве информации, включая личную переписку, фотографии и приложения, к которым обычно привязаны карты или электронные кошельки. Сегодня большинство социальных сетей, почтовых сервисов и мобильных банков автоматически шифруют все данные между пользователем и конкретным приложением. Шифрование по умолчанию получили и все модели iPhone с установленной iOS 8 и выше, а также смартфоны с шестой версией операционной системы Android.

Тем не менее, чтобы по ошибке не подключиться к вредоносной точке доступа, стоит внимательнее относится к URL-адресу стартовой страницы и всех используемых сайтов. Также нужно убедиться, что ресурс работает на защищенном протоколе https - это обеспечивает эффективную защиту передаваемых данных. Наконец, необходимо вовремя обновлять операционную систему устройства, поскольку большинство уязвимостей злоумышленники находят именно в устаревших версиях ПО.

Хакеры пытались украсть 1,5 млрд руб., что составляет около 1% всей прибыли российских банков за 2015 год. Для этого они зарегистрировали платежную систему за рубежом

Угроза для банков

​Правоохранительным органам удалось пресечь в 2015 году попытку масштабного хищения денег практически из всех банков России. Об этом заявил глава управления «К» по борьбе c преступлениями в сфере компьютерной безопасности МВД России Алексей Мошков, передает «Интерфакс» .

Управление «К» предотвратило хищения в прошлом году на сумму 1,5 млрд руб., сказал РБК глава пресс-службы управления «К» Александр Вураско. Это почти 1% от совокупной прибыли банков за 2015 год (192 млрд руб.). Размер реального ущерба оценивается в 400-600 млн руб., но он может вырасти, так как объявляются новые пострадавшие, добавил Вураско. Хакеры разработали около сотни различных схем по хищению средств со счетов как самих банков, так и их клиентов. «Они скомпрометировали международные платежные системы — обнаружили в них уязвимости и написали софт, который бы позволил формировать подложные платежные документы, но применение этого софта удалось остановить», — говорит Вураско.

Платежная система Visa и ее процессинговая сеть VisaNet не были скомпрометированы, говорится в ответе пресс-службы Visa на запрос РБК. « Как нам кажется, примеры, на которые ссылается представитель МВД РФ, касаются сторонних процессинговых компаний, не относящихся к системам Visa. Поэтому мы не можем их комментировать», — говорится в ответе.

По словам Вураско, хакеры чуть не парализовали банковскую систему, скомпрометировав систему обмена межбанковскими сообщениями (самая используемая российскими банками международная система — SWIFT, но МВД не раскрывает информацию, она это или нет).

Для вывода средств со счетов хакеры создали и зарегистрировали собственную платежную систему. Как сказал Вураско, она была зарегистрирована в зарубежной юрисдикции и соответствовала всем международным стандартам. «Вполне возможно, что необходимые для регистрации документы хакеры послали по электронной почте, в некоторых странах такой режим регистрации допустим», — отмечает он.

Источник РБК в одной из международных платежных систем предполагает, что система могла быть зарегистрирована в одной из стран СНГ. «Законодательство Европы и США не предусматривает регистрации платежных систем», — добавляет он. Источник в другой платежной системе говорит, что и в азиатских странах такого режима нет.

Сотрудники МВД задержали преступную группу в ноябре прошлого года. Однако в январе этого года два крупных российских банка снова подверглись хакерским атакам. Это была новая группировка, но она была связана с задержанной в ноябре и состояла из 40-60 человек. «Хакеры атаковали два банка из первой сотни, процессинговые центры банков давали команды на перевод средств со счетов, деньги стали уходить миллионами, и ЦБ даже пришлось отключить эти банки от БЭСП», — говорит Вураско. Участников этой группы тоже задержали.

Идеолог преступной группы — 30-летний москвич с высшим образованием, его имя МВД не раскрывает в интересах следствия.

Хакеры наступают

Представители МВД говорят, что если раньше хакеры воровали деньги в основном клиентов банков, то сейчас они разрабатывают такие программы, которые позволяют списывать деньги со счетов самих банков, которые у них открыты, например, в других банках.

По оценкам ЦБ, в 2014 году со счетов граждан и компаний хакеры списали 3,5 млрд руб. С карточек мошенники списали 1,58 млрд руб. Большую часть суммы (свыше 1 млрд руб.) мошенники украли через интернет-банк и мобильное приложение. Объем неправомерных транзакций, совершаемых через дистанционные каналы обслуживания, вырос на 44,8%. В конце 2015 года Сбербанк оценил ущерб России от киберпреступлений в $1 млрд, и, как говорил первый зампред банка Лев Хасис, оснований для снижения ущерба от таких преступлений нет.

В начале этого года компания Digital Security обзор, в котором специалисты спрогнозировали, что в 2016 году банки и их клиенты столкнутся с увеличением хакерских атак — будет расти количество атак на пользователей с применением так называемой социальной инженерии, когда мошенники стимулируют пользователей самостоятельно устанавливать вредоносное программное обеспечение. Также в 2016 году увеличится и количество атак на счета клиентов через атаки на сами банки, прогнозирует компания. Атакующие могут захватить различные внутренние системы, включая платежные системы, платформы для оплаты госуслуг, мобильной связи, интернета. «Захват контроля над подобной платформой позволит выводить деньги клиентов сразу в электронные кошельки», — предупреждал ранее директор департамента аудита защищенности Digital Security Алексей Тюрин.

При этом внутриигровые деньги зачастую остаются за пределами внимания правоохранительных органов и властей, в отличие от других виртуальных и бумажных валют.

По данным Trend Micro, в наши дни криминальные группы поводят немало времени, конвертируя похищенное в игровые деньги, а затем обратно – в биткоины или обычные доллары. Но одновременно с этим другие хакерские группировки взламывают геймеров и игровые компании, чтобы похитить виртуальные деньги, затем перепродав и обналичив свой «улов» в даркнете. Аналитики пишут, что наибольший интерес для всех киберпреступников по-прежнему представляют игры для ПК, единственным исключением из данного правила выступает мобильная Pokemon GO. Чаще всего целями злоумышленников становится Minecraft, FIFA, World of Warcraft, Final Fantasy, Star Wars Online, GTA 5, Madden NFL, NBA, Diablo и так далее.

Как работает отмывание денег через игры

Если говорить о методиках, которые используют злоумышленники, мало что изменилось. В большинстве случаев игроков взламывают при помощи фишинга, то есть вынуждают их ввести учетные данные своего аккаунта на поддельной странице (примеры фишинговых посланий ниже). Более редки, но все равно встречаются, случаи, когда хакеры обнаруживают уязвимости на серверах компании-разработчика или какие-то внутриигровые баги, которые позволяют им генерировать огромное количество внутриигровых денег, а затем продавать их за деньги реальные.

Также по-прежнему актуален дупинг (Duping, от английского Duplication), фактическое багоюзерство, при помощи которого мошенники создают копии внутриигровых предметов, которые потом можно перепродать. Если хакерская группа эксплуатирует подобный баг и может держать это в тайне, в руках злоумышленников оказывается практически неистощимый источник доходов (до тех пор, пока проблему не исправят).

Не забыли в киберкриминальной среде и старом добром фарме голды.

«Голд фарминг на протяжении долгого времени являлся серьезной коммерческой деятельностью в странах Азии. В 2005 году порядка 100 000 китайских геймеров работали на игроков из других стран. На условиях полной занятости они работали голд фармерами в различных популярных RPG. По данным The Guardian, в мае 2011 года китайских заключенных начали принуждать к фарму валюты и внутриигровых предметов, с целью их последующей перепродажи другим игрокам», - рассказывают аналитики.

В то же время одной их основных угроз для игроков по-прежнему остается всевозможная малварь, будь то инфостилеры или программы для сбора паролей. Такой подход злоумышленники используют чаще других, ведь он позволяет похитить не только пароли от игровых аккаунтов жертвы. Зачастую собранные таким образом данные становятся объектом для продажи, а не используются по назначению самими хакерами.

Через аккаунт Instagram продают украденную валюту

В своем отчете исследователи Trend Micro приводят объемный список популярных семейств малвари, которые могут похищать учетные данные от различных игровых аккаунтов.

В 2017-м ущерб, видимо, будет еще больше. Грабить финансовые организации, как ни странно, стало проще, а защита от мошенников нового типа работает плохо.

ВЛАДИМИР РУВИНСКИЙ

Кража года

В последний день зимы 2016 года, 29 февраля, столичный Металлинвестбанк лишился 200 млн рублей. Их, как было установлено позже, украли хакеры. Все произошло быстро. Терминалы, с которых управляется корреспондентский счет кредитного учреждения в ЦБ, начали несанкционированно отправлять с него деньги на сторонние счета. Адресаты — частные лица в коммерческих банках по всей стране.

Подозрительное поведение компьютеров в Металлинвестбанке обнаружили сразу, заверил "Деньги" зампредправления Михаил Окунев. "Это был взлом канала автоматизированного рабочего места клиента Банка России, АРМ КБР",— сказал он. Взлом, по словам Окунева, продлился около часа. Чтобы остановить переводы, банк даже запросил ЦБ отключить его от системы расчетов. К этому времени с корсчета Металлинвестбанка ушло 667 млн рублей. "Треть денег вернулась сразу, примерно треть арестована на счетах в банках, мы рассчитываем, что они к нам вернутся по результатам суда, который, как мы ожидаем, начнется в апреле",— говорит Михаил Окунев. Около 200 млн рублей, как уже было сказано, банк все же не вернул: с подконтрольных счетов злоумышленники их либо быстро обналичили, либо перевели дальше.

У этой истории — нечастый для России финал. Через три месяца, в июне 2016-го, ФСБ и МВД сообщили, что совместно в 15 регионах РФ задержали 50 человек, входящих в хакерскую группу под названием Buhtrap. Ее заметили еще в 2014 году, когда она обчищала компании. А в августе 2015-го группировка переключилась исключительно на финансовые организации:

за полгода, по февраль 2016-го, Buhtrap совершила 13 успешных атак на российские банки, похитив 1,8 млрд рублей, отмечает Group-IB, специализирующаяся на предотвращении и расследовании кибератак.

Данная группировка, как говорят источники "Денег" на банковском рынке, стоит и за атакой на Металлинвестбанк. В Group-IB это мнение разделяют.

Рост на 300%

Хищение у Металлинвестбанка 667 млн рублей было в числе самых крупных в РФ — из тех, что были обнародованы. Средняя хакерская кража у российских банков в период с июня 2015-го по май 2016 года составляла около 140 млн рублей. Хотя были и большие суммы. "В двух случаях сумма хищений в 2,5 раза превзошла уставный капитал банка",— отмечается в прошлогоднем отчете Group-IB.

Всего за 2016 год, сообщил в феврале 2017-го ЦБ, у российских коммерческих банков хакеры похитили 2,2 млрд рублей.

"Если говорить о покушениях на хищения денежных средств со счетов кредитных организаций, то в 2016 году подобным атакам подверглись девять организаций,— уточнила "Деньгам" пресс-служба регулятора.— Злоумышленники пытались похитить около 5 млрд рублей. При этом удалось остановить хищения на общую сумму порядка 2,8 млрд рублей". Очевидно, банки в 2016 году лишились бы еще большей суммы, если бы не захват членов Buhtrap, группировки, на которую, по сведениям Group-IB, приходилось две трети украденного у банков.

Общая сумма киберхищений у финансовых организаций за минувший год, впрочем, может быть и больше. По крайней мере, по подсчетам Group-IB, за период с июня 2015-го по май 2016 года у российских банков в результате целевых атак (когда жертва не случайна, а подбирается со знанием дела) хакеры похитили 2,5 млрд рублей.

Сумма целевых киберхищений у банков, по сведениям Group-IB, к аналогичному периоду 2013-2014 годов выросла на 292%. (По данным ЦБ, с июня 2015-го по май 2016 года у российских банков хакеры украли 1,37 млрд рублей.) "Нас часто обвиняют, что мы цифры завышаем,— я считаю, что мы занижаем",— подчеркивает директор департамента киберразведки Group-IB Дмитрий Волков.

Более свежих цифр за 2017 год пока у компании нет, но в банковском сообществе неофициально "Деньгам" подтверждают если не увеличение суммы украденного, то рост числа кибератак в российских финансовых организациях. (При этом сумма похищенного за один раз может и снижаться.) "Атаки ради денег самих банков совершаются все чаще. Есть мнение, что в последние несколько лет число атак удваивается ежегодно",— подтверждает Эльман Мехтиев, исполнительный вице-президент Ассоциации российских банков (АРБ). А компания Positive Technologies, также занимающаяся расследованиями киберпреступлений, прогнозирует, что в 2017 году хакерских атак на банки в РФ будет больше на 30%. Это касается и процессинговых, брокерских структур, операторов денежных переводов — их потери от киберхищений также возрастут.

Не признаются

Металлинвестбанк — редкое исключение из правила. Он публично признал факт кражи и сумму ущерба от действий хакеров. О киберкражах (правда, без подробностей) сообщали также Русский международный банк и казанский Алтынбанк. Остальные предпочитают о потерях не распространяться.

Между тем в США, например, финансовые организации, если хотят избежать больших штрафов, сведения об ущербе от хакеров обязаны не только доводить до регулятора, но и раскрывать публично. У нас, говорят банкиры, такую информацию финансовые и кредитные учреждения не предавали широкой огласке, опасаясь больших имиджевых и репутационных потерь (а закон их к откровенности не обязывает).

Открытых полных данных о том, сколько хакеры украли со счетов у банков, их клиентов — физических или юридических лиц — в России нет.

Соответствующая статистика ЦБ формируется из отчетности банков, которые до 2015 года не спешили делиться с регулятором конфиденциальной информацией о киберкражах. Чуть более года назад их обязали это делать. "Данные Центробанка в целом по киберхищениям в РФ не отражают картины,— считает бывший руководитель подразделения в управлении К МВД, пожелавший остаться неназванным.— Их гораздо больше, чем говорят банки". Это, правда, касается в первую очередь киберкраж у клиентов финансовых организаций. Скрывать от ЦБ такие атаки против самих себя не в интересах банков, уверены собеседники "Денег". Но сделать это вполне реально.

"Формируя статистическую отчетность, Банк России исходит из того, что кредитные организации добросовестно подходят к формированию отчетности,— сообщила пресс-служба регулятора.— По итогам 2016 года статистика Банка России практически полностью коррелирует со статистикой МВД по такого рода преступлениям".

Банки — главная мишень

Несколько тысяч рублей, украденных с вашей карты,— добыча "щипачей". Профессиональные компьютерные преступники "берут" за раз сотни миллионов.

Если еще в 2013 году главной мишенью опытных хакеров были клиенты банков, то теперь — сами финансовые организации, говорят опрошенные "Деньгами" эксперты. Самые профессиональные киберпреступники, потренировавшись на компаниях, переориентировались на банки. Там риски и азарт выше, дело — сложнее, но и куш куда заманчивее.

Доход хакеров от целевых атак на банки за период с июня 2015-го по май 2016 года, по данным Group-IB, "перекрыл суммарный заработок от всех остальных способов хищений, сделав банки самой привлекательной мишенью". Если у банков за указанный период хакеры украли 2,5 млрд рублей, то у юрлиц — 956 млн, у физлиц через настольные компьютеры — 6,4 млн, у них же, но через смартфоны,— 348,6 млн.

С юрлиц за одну кражу в интернет-банкинге можно было "получить" почти в 300 раз меньше, чем с банков: 480 тыс. против 140 млн рублей.

С теми и другими работают наиболее квалифицированные хакеры — "элита". Счета обычных граждан обчищает отдельная группа кибермошенников — это, говорят эксперты, по сути, аналог малоквалифицированных щипачей в цифровую эпоху. С банковских счетов граждан через настольные персональные компьютеры они похищают в среднем за раз по 51,6 тыс. рублей, через смартфоны на Android — в среднем по 4 тыс. за раз (немного, но зато тут кражи совершаются намного чаще).

Российский рынок киберхищений за II кв-л 2015 — I кв-л 2016 г.

Тип хищения Число хакерских групп Средняя сумма одного хищения, руб. Общая сумма хищения, руб. Рост к прошлому периоду, % Целевые атаки на банки 5 140 млн 2,5 млрд 292 Интернет-банкинг у юрлиц 6 480 тыс. 956 млн -50 Настольные ПК у физлиц 1 51,6 тыс. 6,4 млн -83 Смартфоны на Android у физлиц 11 4 тыс. 348,6 млн 471 Обналичивание похищаемых средств 1,7 млрд 44 Итого 5,5 млрд 44

Источник: Group-IB

Неуязвимых нет

Всего в стране сейчас действует около 570 коммерческих банков, и хакеры, скорее всего, прощупали всех (включая более 300 закрытых в ходе затеянной ЦБ чистки). "Банков, которые не атакуют, нет",— уверен Эльмар Набигаев, руководитель отдела реагирования на угрозы информационной безопасности компании Positive Technologies. "Атакам хакеров подвергаются все,— соглашается Алексей Голенищев, директор по мониторингу электронного бизнеса Альфа-банка.— Но в защищенный банк, откуда сложно вывести деньги, мало кто полезет".

Многие финансовые организации, прежде всего региональные, слабо готовы к кибератакам. "Банки, особенно в регионах, до сих пор уверены, что кибермошенники потрошат лишь клиентов, за что уже поплатились",— замечает топ-менеджер из банковской сферы, пожелавший остаться анонимным. По словам Эльмара Набигаева, как правило, после первой кражи банки меняют свой подход. "Сейчас вообще таких стало меньше",— отмечает он. Меньше в том числе потому, что основная масса закрывшихся банков — региональные.

"Готовность — разная, в зависимости от величины банка. Крупные готовы к атакам, средние и малые — не все... Но никогда нельзя быть готовым на сто процентов к предательству внутри организации вне зависимости от размера банка",— замечает Эльман Мехтиев из АРБ. Роман Чаплыгин, директор направления анализа и контроля рисков кибербезопасности PwC, обращает внимание на нехватку финансирования: "В России существует множество банков, которые не обладают достаточным количеством финансовых средств для выстраивания системы кибербезопасности внутри организации и отражения атак".

Впрочем, есть и другая проблема. "Некоторые банки в России и за ее пределами не верят, что компьютерная преступность существует,— говорит Илья Сачков, гендиректор Group-IB.— Даже в уважаемых государственных учреждениях есть люди, которые тоже в это не верят".

О слабой готовности кредитных учреждений к кибератакам свидетельствуют и тесты на проникновение в информационную систему компаний и банков, проведенные в 2015 году Positive Technologies. Проверялось 17 учреждений в России и за рубежом, треть из которых составляли банки и финорганизации.

В 82% систем оказалось возможным попасть в сеть, в каждом втором случае удалось получить контроль над критически важными ресурсами компаний, а в 28% был получен полный контроль над всей инфраструктурой организации.

По словам Эльмара Набигаева, ситуация к сегодняшнему дню существенно не изменилась: "В банковской сфере с точки зрения безопасности все не очень хорошо. У большинства злоумышленников не вызывает затруднений получение полных привилегий в сети. Результаты наших расследований инцидентов в банках показывают, что в большинстве случаев атаки заканчивались полной компрометацией сети и кражей средств".

Слабость банков

Кредитные учреждения вроде бы вкладываются в кибербезопасность. Даже несмотря на кризис. "По нашим данным, в 2017 году в России бюджет на кибербезопасность вырос на 18%",— говорит Роман Чаплыгин из PwC.

Увеличение бюджета, однако, не всегда помогает. "Многие банки ограничиваются инвестициями в безопасность на уровне соответствия стандартам,— поясняет Эльмар Набигаев.— Галочку поставили в документе, правильное средство защиты купили — значит, все хорошо. Но нельзя просто купить железку и забыть, информационная безопасность — это процесс, инфраструктура банковской организации меняется, киберпреступники обновляют инструменты и схемы атак, поэтому и в безопасности постоянно должно что-то совершенствоваться".

Те, кто обеспечивал киберзащиту, которая не помогла, оказывались в очень щекотливой ситуации. "К сожалению, многие сотрудники службы информационной безопасности скрывали от менеджмента банков проблему, и это могло длиться до 2013-2014 года,— рассказывает Илья Сачков.— Ты потратил много денег, но проблему это не решило. И ты должен потратить еще. У нас с некоторыми банками даже были конфликты, когда мы через систему мониторинга были способны определять преступления на этапе их подготовки, знали, у кого могли украсть деньги, сообщали об этом сотрудникам службы информбезопасности, а они эти сведения никак не использовали, боялись показать руководству. И происходило хищение".

Те же, кому руководство банка средств на киберзащиту не выделило, используют это как повод снять с себя ответственность: мол, мы же просили деньги, а вы не дали, говорит пожелавший остаться анонимным топ-менеджер из банковской сферы. "В тех банках, где IT-безопасность — это часть службы, выросшей из службы физической безопасности, так и происходит чаще всего",— уверен наш собеседник.

Сергей Голованов, ведущий антивирусный эксперт "Лаборатории Касперского", участвовавший в расследовании киберкраж в финансовых организациях, соглашается: "Чаще всего проблемы у банков не с бюджетами, а с информированностью об инцидентах.

Большинство атак происходит по глупости, недосмотру, случайно, если хотите. И так во всем мире.

Если банк формально следует букве закона (так называемая бумажная кибербезопасность), то он все равно станет жертвой злоумышленника".

"Мало накупить дорогих систем,— отмечает Эльмар Набигаев.— Для их эффективной эксплуатации и настройки необходим высококвалифицированный и весьма дорогостоящий персонал, а далеко не каждый банк может себе позволить держать в штате таких профессионалов. Да их и мало очень".

Знающих специалистов мало не только в банках, но и в правоохранительных органах, говорит источник "Денег" в управлении К МВД: "Почти нет оперативников, следователей, способных понять техническую сторону дел, объединить эпизоды и объяснить их суть прокурору и судье".

Вор у вора

Пользуясь исключительно инсайдом, крадут в России деньги и у обнальных банков, которые принимают средства и получают указания, куда их перевести. "Есть группы злоумышленников — они получают доступ к такой почте у обнального банка или отправителя денег,— рассказывает Дмитрий Волков из Group-IB.— Мошенники видят переписку и со взломанной почты сами отправляют эти поручения банку.

Например, сегодня деньги должны уйти в Китай — злоумышленники перехватывают такое письмо, подменяют его: да, тоже Китай, но другое юрлицо. И 200 млн долларов уходят не в ту компанию.

Почту они контролируют. Банк спрашивает: "Точно туда отправлять?" Хакеры отвечают: "Да, туда". И все. Суммы хищений здесь большие, многое делается по наводке".

И кто признается ЦБ, клиентам или партнерам, что украли серые деньги, что пострадала отмывочная или обнальная, криминальная по сути, схема?

Как грабят банки

Ваши сотрудники отказались от подписки на бумажную газету или популярный еженедельник? Ждите хакеров-грабителей.

Человеческий фактор

Атака на банк — в первую очередь атака на человека.

Злоумышленникам для начала важно проникнуть в компьютер банковского служащего.

Оттуда открывается доступ в локальные сети, хакеры получают привилегии администратора, что позволяет атаковать системы, отвечающие за финансовые трансакции: АРМ КБР, банкоматные сети, биржевые терминалы, электронные расчеты и межбанковские переводы, SWIFT и процессинговые системы. Что и дает возможность красть средства.

Именно так, скорее всего, произошла кража в Металлинвестбанке: платежные терминалы и корпоративная сеть здесь были объединены, что сыграло на руку хакерам. "Достоверно сложно утверждать, что послужило изначальной точкой входа в банковскую систему,— говорит Михаил Окунев.— Но все уязвимости мы закрыли и постоянно совершенствуемся в этом. Мы разделили физически общую банковскую сеть и те машины, которые отвечают за отправку любых платежей. Банк провел полную перестройку системы информационной безопасности".

Почтовый взлом

Способов проникновения на компьютер банковского служащего несколько. Самый распространенный — через электронную почту. Конкретным сотрудникам присылается некое письмо с документом, куда встроена вредоносная программа с так называемыми эксплойтами. Используя уязвимости в программном обеспечении, они находят черный ход на компьютер сотрудника. Чтобы вредоносный файл открыли, злоумышленники отправляют его от имени клиентов банка, или от ЦБ (как делала группа Buhtrap), или от госорганов.

Письмо может подтверждаться и телефонным звонком: мол, проверьте реквизиты договора, акт сверки, последние распоряжения. И необязательно это будет письмо с фальшивого адреса: хакеры могут отправлять зараженные файлы и с настоящих, но взломанных адресов. Кроме того, это может быть и подлинное письмо от партнеров, но с вредоносной программой.

"У злоумышленников появляются дополнительные возможности совершать атаки через многочисленных банковских контрагентов, у которых система защиты от киберугроз зачастую совсем не развита", —

говорит Роман Чаплыгин.

Что происходит дальше? Сотрудник открывает документ, например, в формате.pdf, а встроенная в него вредоносная программа проверяет, есть ли уязвимости в "читалке". Часто они есть, так как обновления, которые ставят "заплатки" на программное обеспечение, делаются нерегулярно. Впрочем, обновления не панацея, они только снижают риски: у программ, на радость хакерам, существуют уязвимости, неизвестные разработчикам.

Используя эти уязвимости, с помощью эксплойтов, встроенных в присланный документ, киберпреступники входят через черный ход на компьютер жертвы. "Злоумышленник ставит программу, которая позволят получить пароли администратора сети, потом он ходит по разным компьютерам и получает полный доступ,— рассказывает Илья Сачков.— Мы расследовали случай, когда злоумышленники контролировали всю банковскую сеть, похитив большую сумму с корсчета, которую потом распылили по разным счетам и обналичили. У них был доступ на почтовый сервер, главные серверы, и они читали, как банк реагировал на расследование".

Подлом через газету

Другой способ попасть на компьютер к сотруднику банка — массовый, уходящий, как говорят эксперты, в прошлое. Мошенники совершают так называемый подлом популярных сайтов, например деловых и новостных изданий, юридических или государственных справочников. Незаметно для их владельцев хакеры встраивают в сайт небольшую программу, которая проверяет у всех посетителей, какой у них браузер, операционная система, флеш-проигрыватель, pdf-ридер, версии их обновлений и пр. "Таким образом находится уязвимое программное обеспечение — в среднем у 13-15% посетителей",— рассказывает Дмитрий Волков. Кстати, сейчас этот способ, по данным Group-IB, активно используется для заражения троянами и краж денег со смартфонов на Android. Затем через обнаруженные черные ходы на компьютер загружаются программы, которые проверяют, в частности, есть ли у него связь с банковскими или бухгалтерскими программами, какой антивирус стоит и пр. Часть таких компьютеров может оказаться в банке.

Но злоумышленники не знают, на какой компьютер они попали. Чтобы справиться с проблемой, они, например, загружали модифицированную вредоносную программу, выясняющую, есть ли следы работы с банковскими или бухгалтерскими приложениями. "В некоторых случаях это работает: повезет, и

один из тысячи взломанных окажется компьютером бухгалтера, антивирус на нем плохой, появляется возможность украсть деньги",—

поясняет Волков. Если дело касается проникновения в банковскую сеть, то мошенники в последнее время, проникнув в компьютер, часто используют законные или бесплатные инструменты удаленного управления. Это раньше нужно было писать трояны, сейчас система хищений в банках сильно автоматизируется и удешевляется, проникновение в банковскую сеть, отмечает Group-IB, "не требует особого опыта или труднодоступного программного обеспечения".

Украсть и обналичить

По словам источника в управлении К МВД, за обналичку киберпреступники платили 30-60% от похищенного, в зависимости от "чистоты" денег, сложности схем. Если сумма большая, деньги распыляются: скажем, заранее покупается так называемый зарплатный проект, когда 50 млн рублей через юрлицо выводится на 50 банковских карт.

Или деньги летят, например, на две тысячи Qiwi-кошельков и 100 тыс. сим-карт, а с них — на банковские карты. Для снятия денег нанимают людей, которым приходится "светиться" у банкоматов; им платят около 5% от снятого.

Если же нужно получить много и сразу, человека отправляют в отделение банка с заверенными документами от директора фирмы-однодневки, и он получает все через кассу. Когда группы, занимающиеся обналичиванием, распадаются или уходят на дно, хищения временно прекращаются. Впрочем, обналичить деньги можно где угодно, говорит Эльмар Набигаев: хакеры успешно пользуются зарубежными счетами.

Атака на банкомат

Новые технологии меняют схему. Проникнув в сеть банка, можно украсть деньги из банкоматов. "Сейчас хакеры проникают в корпоративную сеть банка, находят банкоматную сеть, то есть внедряются на компьютеры сотрудников, которые эти банкоматы обслуживают, и загружают вредоносное ПО на банкоматы",— рассказывает Набигаев. Сообщники хакеров, занимающиеся обналичиванием, подходят к банкоматам, а хакер удаленно дает команду устройству на выдачу наличных. Такая схема кражи денег, по его словам, набирает популярность. Случаи подобных хищений попадали в СМИ, но суммы краж, а также владельцы банкоматов не уточнялись.

Схема удобна хакерам тем, что небольшое число обнальщиков позволяет обчистить много банкоматов. "Банки могут это не сразу заметить, так как инкассация банкоматов не ежедневная, а банковские системы могут сообщать, что деньги в банкоматах еще есть,— говорит Набигаев.— Может пройти неделя, пока выяснится: деньги похищены. Найти злоумышленников трудно, так как время уже потеряно, а следы их преступления, как правило, заметаются — например, хакеры отключают камеры на банкоматах".

Проникнув в компьютерную систему финансовой организации, в июле 2016 года группа молодых людей в масках организованно атаковала 34 банкомата одного из крупнейших тайваньских банков, First Bank, унеся 83,27 млн тайваньских долларов (более $2 млн).

В августе по аналогичной схеме было похищено 12 млн бат (около $350 тыс.) из 21 банкомата Government Savings Banks в Таиланде. В сентябре подобные атаки, отмечает Group-IB, были зафиксированы в Европе, однако огласке их не предали.

"Этапы киберхищения денег у банков"

Этап Способ действий Проникновение Основной — отправка фишингового письма с вложением в виде документа с эксплойтом/макросом, исполняемого файла или запароленного архива с исполняемым файлом. Создать вложение c эксплойтом можно с помощью готовых инструментов. Для отправки исполняемого файла не требуется никаких специальных средств. Удаленный доступ После успешного заражения все группы используют различные средства удаленного управления. Как правило, это легитимные и бесплатные инструменты. Получение привилегий Получив удаленный доступ в сеть банка, атакующие часто применяют бесплатный инструмент, который позволяет извлекать логины и пароли в открытом виде из оперативной памяти зараженного компьютера. Исходный код этой утилиты доступен всем желающим без ограничений. Поиск целей Имея привилегии администратора домена, мошенники начинают исследовать внутреннюю сеть банка в поисках интересующих систем. Целями могут быть системы межбанковских переводов, системы мгновенных переводов для физических лиц, сети управления банкоматами, платежные шлюзы, карточный процессинг. Поиск осуществляется в ручном режиме и не требует специальных инструментов. Работа с целевыми системами Обнаружив интересующие системы, злоумышленники с помощью тех же средств удаленного управления отслеживают действия легальных операторов, чтобы впоследствии повторить их шаги и отправить деньги на подконтрольные счета. Более продвинутые группы используют готовые инструменты для модификации платежных документов — простые скрипты или исполняемые файлы, повторяющие работу скриптов, которые автоматизируют формирование мошеннических платежей. Обналичивание Если первые пять этапов доступны многим хакерам и каждый из них можно реализовать с минимальными затратами, то для обналичивания больших объемов денежных средств нужны люди с опытом и ресурсами. Поэтому, когда профессиональные группы, занимающиеся обналичиванием, распадаются или уходят на дно, хищения прекращаются.

По оценкам экспертов, на руках у россиян сегодня находится около 200 млн банковских карт. И это неудивительно – всё больше организаций переводит выплату зарплат на карточки, терминалы для безналичной оплаты появляются даже в небольших киосках. За всем этим пристально следят преступники. Объём похищений денег со счетов владельцев пластиковых карт на сегодняшний день достиг небывалого масштаба. Поэтому «Наша Версия» составила инструкцию, как не потерять свои деньги.

По приблизительным данным международных организаций, ущерб от краж денег с банковских карт в целом по миру оценивается в 13–15 млрд долларов в год. Около 4 млрд долларов из них приходится на Россию. Сегодня в опасности и счета обычных клиентов, и счета юридических лиц в банках, и платёжные системы торговых сетей.

50 миллионов достались мошенникам

Однажды полиция города Иванова почти одномоментно получила более 200 заявлений о незаконном списании со счетов крупных сумм денег. В большинстве случаев жертвами оказались клиенты одного из крупных банков, подключённые к системе «Мобильный банк» и имеющие гаджеты на платформе ОС Android. Как оказалось, на мобильное устройство приходило SMS, предлагавшее загрузить открытку к празднику или популярную мелодию. При загрузке одновременно на гаджет закачивалась программа, которая взламывала банковский счёт и переводила деньги. Только за последний год количество вредоносных программ-троянцев, обнаруженных в мобильных устройствах российских граждан, выросло в девять (!) раз. В российских банках в 2014 году программы-троянцы были обнаружены 12 тыс. раз. Сегодня в системе МВД работает Управление «К», имеющее своих специалистов во всех регионах. Регулярно его сотрудники находят и ловят кибермошенников. Так, недавно специалисты из отделов «К» ГУ МВД России по Свердловской и Челябинской областям пресекли деятельность преступной группы, осуществлявшей хищения денежных средств со счетов клиентов российских банков. Всё началось с того, что к полицейским поступила информация о появлении на территории страны нового вида вредоносного программного обеспечения – Trojan-Banker.AndroidOS.svpeng.a, целью которого являются устройства, также работающие на платформе Android. Руководителем преступной группы, распространявшей вирус, оказался 25-летний житель Челябинской области, имеющий всего девять классов образования. Программа, которую использовали мошенники, после установки на устройство запрашивала баланс привязанной к номеру банковской карты, скрывала поступающие уведомления и начинала осуществлять переводы денежных средств с банковского счёта на счета, подконтрольные злоумышленникам. Всего таким образом они похитили свыше 50 млн рублей.

НА ЗАМЕТКУ

Что делать, если вас обворовали?

1. Немедленно сообщите об этом службе безопасности банка, который вас обслуживает, и напишите заявление.

2. Заполните и отправьте заявление о случившемся на сайт МВД https://mvd.ru. Поданное таким образом заявление будет зарегистри-ровано, и на него должны обязательно ответить. Получите номер регистрации и отслеживайте действия специалистов. Если все пострадавшие будут сообщать полиции о факте кражи, это значительно облегчит работу по поимке преступников.

«Мобильный банк» может сделать ваши деньги излишне мобильными

Следует признать, что в этом случае, как и во многих других, жертвы аферы сами дали доступ к своим счетам, пойдя на поводу у мошенников. Подобных способов обмана с помощью мобильного телефона в арсенале преступников немало. Один из самых популярных – отправка широким веером случайным людям SMS как будто от лица банка с предупреждением об обнулении счёта и просьбой позвонить по указанному телефону. Затем в ходе телефонного разговора мошенники говорят, что, возможно, произошла ошибка и деньги со счёта никуда не ушли. А для того чтобы это проверить, жертве надо подойти к любому банкомату, назвать его номер, вставить в приёмник карту и ввести пин-код. После этого злоумышленники получают доступ к счёту клиента и переводят деньги на подотчётные им счета. Не меньшую опасность несёт в себе услуга «Мобильный банк», которую сегодня активно предлагают своим клиентам многие банки. Главное, что нужно помнить: при утере телефона или смене SIM-карты обязательно отключайте услугу «Мобильный банк». Ведь после того, как номер не использовался в течение трёх месяцев, оператор связи может повторно продать его. И если новому хозяину вашего старого мобильного номера (или телефона) придёт в голову по приходящим извещениям снять ваши деньги, сделать это будет нетрудно.

Фальшивый банкомат

Нередко преступники используют в качестве орудия банкоматы. Один из самых распространённых методов – наложение фальшивой клавиатуры с блоком памяти на клавиатуру банкомата, позволяющей узнать пин-код. Либо злоумышленниками на банкомат устанавливается видео­камера, фиксирующая набор пин-кода, причём порой её даже открыто крепят на стену, делая вид, что устройство установлено банком. В таком случае камера крепится в паре с устройством, через которое проходит карта при её введении в терминал. Это устройство считывает данные магнитной полосы карты и передаёт информацию на недалёкое расстояние. Если неподалёку от терминала вы видите подозрительных людей или автомобиль, возможно, что именно там находится приёмник сигнала. В паре эти устройства позволяют сделать дубликат банковской карты и снять деньги. Также нужно иметь в виду, что часто в отделениях банков двери помещений, где находится банкомат, открываются с помощью карты, а это даёт возможность преступникам в месте установки блока для считывания данных магнитной полосы для открытия двери установить и свои устройства. Так что будьте внимательны. Впрочем, есть и более простые способы. Например, если банкомат установлен в плохо освещённом месте, аферисты могут просто заклеить прозрачной плёнкой щель для выдачи денег. В результате владелец карточки считает, что банкомат не сработал, и уходит, а мошенники извлекают деньги, оставшиеся в банкомате. Но всё же самым оригинальным способом из зафиксированных на сегодняшний день, пожалуй, является установка фальшивых банкоматов несуществующих банков, которые при введении карточек считывают их данные и передают жуликам, естественно, не выдавая денег.

ТЕМ ВРЕМЕНЕМ

В 2015 году Лаборатория Касперского объявила о крупном кибермошенничестве, в котором оказались замешаны хакеры из России, Китая и Европы. Со счетов клиентов более 100 банков в 30 странах мира было похищено 300 млн долларов (выявленная сумма). Используя фиктивные счета, хакеры завладели

миллионами долларов клиентов банков России, Японии, Швейцарии, США, Нидерландов и т.д. Злоумышленникам из группировки Carbanak (как они себя назвали) удалось внедрить одноимённую вредоносную программу в компьютеры банковских служащих, которые обрабатывали данные о ежедневном трансфере и вели бухгалтерский учёт. Благодаря программе хакеры могли отслеживать все действия сотрудников банков, вплоть до нажатия клавиш. Деньги снимались через

банкоматы или перечислялись на подставные счета. Стоит отметить, что ни один банк из 100 не признался в случаях кражи денег со счетов, опасаясь оттока клиентов (предполагается, что реальная сумма похищенного приближалась к 1 млрд долларов).

При заполнении документов для вашего банка указывайте только лишь четыре последние цифры счёта.

Если вы вставили карту в картридер и банкомат отказывается вам её отдавать, необходимо немедленно заблокировать свой «пластик» через банк или по телефону.

Расплачиваясь карточкой где-нибудь в кафе, всегда смотрите на содержимое чека. Если же вы обнаружили ошибку, обязательно порвите первый чек и попросите удалить старый счёт с предоставлением нового, иначе с банковского счёта могут списать сумму оплаты дважды.

Пользуйтесь только чипованной картой. Она более защищённая. Подделка чиповой карты сложнее и дороже подделки нечипованной.

Если вам пришло sms-сообщение о том, что ваша карта заблокирована, и предложено позвонить по неизвестному телефону, не следует по нему звонить. Лучше обратиться за разъяснением в ближайший офис банка.

Снимайте деньги в проверенных банкоматах, находящихся под видеонаблюдением.