Риски мошенничества в платежных терминалах и защита от них

СОДЕРЖАНИЕ 4—7 • СОБЫТИЯ 8—23 • ИСТОРИЯ 24—29 • ЭКОНОМИКА 30—45 • БИЗНЕС 46—57 • ТЕХНОЛОГИИ 58—83 • БЕЗОПАСНОСТЬ
84—89 • ОБЩЕСТВО 90-96
Риски мошенничества
в платежных терминалах и защита от них
Текст: Николай Легкодимов, Старший менеджер отдела управления рисками и комплаенс, КПМГ в России и СНГ
Иностранцы, приезжающие в Россию, часто принимают платежные терминалы либо за банкоматы,
либо за информационные киоски для туристов, и требуется некоторое время для того, чтобы объяснить
им предназначение этих невиданных за рубежом устройств. Культурные и исторические особенности
развития инфраструктуры платежей частных лиц - такие как колоссальный, по сравнению с Западом, объём
наличности на руках у населения, недоверие к банковским картам, особенности российского банковского
законодательства и, главным образом, непопулярность личных расчетных чеков как платежного средства предопределили появление на российских улицах терминалов моментальных платежей.
Революция на рынке
наличных платежей
Николай Легкодимов,
Если в США для оплаты коммунальных
и комплаенс, КПМГ в России и СНГ
Старший менеджер отдела управления рисками
услуг, телефона и интернета человек
посылает письмо с вложенным чеком
КПМГ – это международная сеть фирм,
на требуемую сумму, либо платит через
предоставляющих аудиторские, налоговые
web-сайт с помощью кредитной карты,
и консультационные услуги.
либо, что реже, договаривается со своим
КПМГ предоставляет независимые рекомендации
банком о безакцептном ежемесячном
руководителям организаций и финансовым
списании требуемых средств, то в России
менеджерам, помогая им объективно оценивать
до недавнего времени альтернативы по-
риски финансовых систем и связанных с ними
ходу в отделение банка не было.
процедур и принимать своевременные решения,
Появившиеся в начале 2000-х годов
направленные на предотвращение угроз
терминалы решили эту проблему и про-
безопасности, обосновывать и оптимизировать
извели революцию на рынке наличных
затраты на обеспечение безопасности.
платежей. По данным Национальной
ассоциации участников электронной
торговли, оборот платежных термина-
удобств, принесли как плательщикам,
явления как FaaS (Fraud-As-A-Service),
лов в 2009-м году составил 630 млрд
так и владельцам (или арендаторам)
или «мошенничество, как услуга». Суть
рублей, количество установленных тер-
терминалов и сопутствующие риски
этого явления в том, что если еще не-
миналов перевалило за 350 тысяч, а
мошенничества. Риски, связанные с
сколько лет назад «хакеры» взламы-
количество совершенных транзакций –
информационными технологиями, за-
вали компьютерные системы ради
за 5 миллиардов.
нимают далеко не последнее место.
прямой личной выгоды (и, косвенно,
Приведенная статистика показывает
Одним из основных факторов риска
демонстрации своих возможностей),
значимость платежных терминалов на
является прямой доступ к системам
то сегодня они предлагают мошенни-
рынке электронных финансовых услуг.
«электронных денег». В отличие от тра-
ческие услуги другим нечистоплотным
Представители Банка России отмечали,
диционных платежей за услуги ЖКХ или
пользователям, работая за «комиссию»
что «терминальщики» фактически созда-
сотовую связь, где возврат неверно-
от мошеннической сделки. Так, Рунет
ли параллельную банковскую систему.
го или незаконного платежа провести
полон объявлениями «киньте мне ты-
Однако и банки, и банковский регулятор
относительно легко, платеж, прове-
сячу рублей, и я переведу 1,5 тысячи
обратили внимание на бурно растущую
денный в пользу систем «электронных
рублей вам на мобильный».
отрасль далеко не сразу. Лишь с 1 апре-
денег», может быть оперативно обна-
ля 2010 года полностью вступил в силу
личен, что делает возврат практически
ром является агрессивность некоторых
Федеральный закон «О деятельности по
невозможным. Проблематичен так же
пользователей. В отношении терми-
приему платежей физических лиц, осу-
и возврат платежей в счет погашения
налов случаются акты вандализма,
ществляемой платежными агентами».
кредита, не говоря уже о платежах в
причем как физического характера,
пользу ГИБДД или ФМС.
так и компьютерно-технологического
Основные риски
Дополнительным, «инновационным»
Еще одним немаловажным факто-
(это особенно актуально в регионах,
Как и всякая новая технология, пла-
риск-фактором является появление
удаленных от больших населенных
тежные терминалы, кроме очевидных
на рынке киберпреступности, такого
пунктов, где комиссия за проведе-
86
Аналитический банковский журнал
№4 (178) апрель 2010
«
ние платежа, как правило, выше, чем
в крупных городах, и недовольство
комиссионной политикой владельцев
терминалов сильнее).
Риски, связанные с автоматизацией,
можно условно разделить на две группы: риски, реализующиеся в результате
физических атак, но от которых можно
защититься компьютерными средствами, и собственно «компьютерные» ри-
«Терминальщики» фактически создали параллельную банковскую
систему. Однако и банки, и банковский регулятор обратили
внимание на бурно растущую отрасль далеко не сразу. Лишь
с 1 апреля 2010 года полностью вступил в силу Федеральный
закон «О деятельности по приему платежей физических лиц,
осуществляемой платежными агентами»
ски, связанные с атаками на терминалы, сами платежные системы и каналы
терминала с внешним видом и интер-
же подменять логи валидатора и чеко-
связи между ними.
фейсом, имитирующими терминалы из-
вого принтера (или, с недавнего време-
вестных компаний, что несет репутаци-
ни, контрольно-кассовой техники).
Типичные атаки и методы
противодействия им
онные риски для владельцев. Методов
защиты от такого рода мошенничества,
также традиционными методами: че-
Самой примитивной и часто реализуе-
в общем, немного, но сам по себе риск
рез ручное обновление программного
мой «физической» атакой на терминал
снижен высокими накладными рас-
обеспечения, через «флэшку», через
является его кража. Компьютерные
ходами для злоумышленников (срав-
заражение базы обновлений на сер-
средства защиты включают в себя
нимыми с денежной емкостью кассеты
вере, и через локальную сеть в случае
активный и пассивный мониторинг
купюроприемника).
"проводного" подключения терминала.
Заражение терминала происходит
терминала, включая систему опове-
Ставшие «городскими легендами»
Средства защиты так же традицион-
щения в реальном времени, видео-
рассказы о проведении платежей с
ны: регулярные обновления, своев-
наблюдение (реальное или мнимое)
помощью фальшивых купюр из «банка
ременная установка так называемых
и мониторинг на открывание и удар
приколов», или так называемой «ры-
«патчей», управление конфигурациями,
(«сторожевой таймер», или «watchdog»).
балки», то есть вытягивании уже вве-
отключение ненужных и неиспользуе-
Установка кассет с защитными несмы-
денной купюры из купюроприемника с
мых сервисов.
ваемыми чернилами, часто исполь-
помощью специальным образом при-
зуемая в банкоматах, обычно непопу-
крепленной снасти, на сегодняшний
ляются программы удаленного адми-
лярна.
день уже практически нереализуемы.
нистрирования терминалов. Обычно
Абсолютное большинство современных
низкоскоростные GPRS-каналы для
зической кражи терминала является
терминалов оборудовано валидатора-
удаленного управления терминалом
нашумевший «балаковский» сценарий,
ми высокого качества, исключающими
не используются, однако в случаях,
или, как его назвали журналисты, «раз-
такого рода атаки.
когда выезд ИТ-специалиста для на-
Любопытной вариацией на тему фи-
Еще одной целью для «хакеров» яв-
стройки терминала обходится слишком
множатель денег»: в пригороде Саратова мошенники похитили и увезли тер-
Компьютерные атаки
дорого или сопряжен с организацион-
минал, подключили его к сети в своем
Говоря о компьютерных атаках на пла-
ными сложностями, могут применять-
гараже и многократно «прокатывали»
тежные терминалы, важно помнить,
ся программы типа «remote desktop».
через него одну тысячную купюру, про-
что, как и банкоматы, терминалы вклю-
Методы защиты включают в себя все
водя платежи в свою пользу.
чают в себя обычный, хоть и специаль-
те же «контрольные меры ИТ», что и в
ным образом защищенный и настро-
вышеприведенном сценарии с наме-
включали бы следующее: энергонеза-
енный компьютер. Как и для обычного
ренным заражением компьютерными
висимое питание купюроприемника,
компьютера, для терминалов актуаль-
вирусами.
мониторинг оповещений о его откры-
на угроза заражения компьютерными
Само программное обеспечение
тии (или частоте выключений терми-
«вирусами» и «троянами», что, в случае
терминала также подвержено ата-
нала), географический мониторинг
получения злоумышленником контроля
кам, в частности, на саму архитектуру
модемов и настройки на серверном
над терминалом, может позволить ему
приложения (на последовательность
программном обеспечении, которые
проводить незаконные платежи, созда-
и связность формирования платежа,
позволили бы обнаружить нетипичный
вать новых получателей платежей, под-
электронно-цифровую подпись (ЭЦП),
случай многократного, частого платежа
менять «иконки» на сенсорном экране
на методы хранения ключей, и т.д.). От
купюрой одного и того же номинала.
терминала, удалять или добавлять за-
атак такого рода владельцы термина-
Известны так же случаи установки
писи, накапливающиеся в файле тер-
лов могут защититься либо анализом
«неавторизованного», или «черного»
минала для «офлайн-платежей», а так
текущей архитектуры программного
Аналитический банковский журнал
№4 (178) апрель 2010
Методы защиты от такого рода атаки
87
«
СОДЕРЖАНИЕ 4—7 • СОБЫТИЯ 8—23 • ИСТОРИЯ 24—29 • ЭКОНОМИКА 30—45 • БИЗНЕС 46—57 • ТЕХНОЛОГИИ 58—83 • БЕЗОПАСНОСТЬ
Как и всякая новая технология, платежные терминалы,
кроме очевидных удобств, принесли как плательщикам,
так и владельцам (или арендаторам) терминалов и сопутствующие
риски мошенничества. Риски, связанные с информационными
технологиями, занимают далеко не последнее место
84—89 • ОБЩЕСТВО 90-96
можных решений – это и программы «security awareness» для агентовучастников, и внедрение методов
«сильной» или «двухфакторной» аутентификации, и, возможно, обязательный
набор антивирусного и фильтрующего
ПО для агентов.
Кроме того, для самих платежных
систем актуальны давно традиционные
для банков внутренние атаки на про-
обеспечения (ПО) на предмет уязви-
«session hijacking», «session replay»,
цессинг платежей (сдвоенные платежи,
мостей, либо разработкой нового ПО с
«man-in-the-middle», и так далее. Ме-
«коррекция», сторнирование и воз-
учетом методологий безопасной раз-
тоды защиты столь же традиционны –
врат, возврат по рекламациям, и т.д.).
работки, таких, как, например, SDL
это защита как на уровне протоколов
Ожидается, что и меры защиты будут
(Security Development Lifecycle).
(SSL/VPN), так и на уровне инфраструк-
аналогичны банковским: гибкая систе-
туры – использование коммутаторов,
ма настраиваемых лимитов, принципы
обеспечения для терминалов были по-
логическое разделение локальной сети
«двух рук», «четырех глаз», разделение
пулярны также атаки с целью полу-
на VLAN, фильтрацию трафика внутри
обязанностей на уровне ролей в про-
чения доступа к командной оболочке
сети - «списки доступа».
цессинговом ПО, и другие подобные
На заре появления программного
(shell). Эти атаки опирались на манипу-
Кроме того, злоумышленники не об-
контрольные меры.
ляции с сенсорным экраном и переза-
ходят вниманием и серверы (или шлю-
грузкой терминала, а также на недоку-
зы платежных систем), к которым под-
И лечение, и профилактика
ментированные возможности доступа
ключаются терминалы. Атаки ведутся
Подводя итоги, можно сказать, что пла-
к отладочному режиму, (манипуляции с
и на серверное программное обеспе-
тежные терминалы, в принципе, под-
поиском кнопки «Пуск», быстрое пере-
чение как таковое (sql injection), и на
вержены всем традиционным компью-
ключение клавиш, не отключенные ме-
хранимые ключи электронно-цифровой
терным уязвимостям. Сети платежных
тоды сенсорного экрана, несовпадение
подписи, и на сопутствующую информа-
терминалов, разрабатываемые бан-
размеров «покрытия» сенсорного экра-
цию (логи, адреса и другая информация
ками (или для банков) «с нуля», скорее
на и физического экрана, иконки «за
об агентах, используемая позже для
всего, будут защищены на привычном
гранью экрана», выход в «safe mode»,
"фишинга"), и на хранилище обновле-
для банков уровне, но уже существую-
выход в инженерное меню через «спе-
ний к программному обеспечению (и
щие сети, приобретаемые банками,
циальный» телефонный номер, и т.д.).
заражение их вирусами).
будут нуждаться в «доводке» методов
На сегодня большинство подобных
защиты от мошенников.
уязвимостей устранены как на уровне
Атаки конкурентов
программного обеспечения, так и на-
Сами платежные системы не раз стано-
КПМГ в области рисков, связанных с
строек операционной системы и само-
вились объектами атаки мошенников
компьютерными системами, в том чис-
го сенсорного экрана.
(или, как считают некоторые, недобро-
ле банковскими и платежными, клю-
Существуют также атаки на трафик
На основании многолетнего опыта
совестных конкурентов). В числе их и
чевым фактором безопасности систем
GPRS-модема, поскольку многие тер-
известная атака типа «отказ в обслужи-
платежных терминалов является следо-
миналы не используют VPN, и огра-
вании» (DDoS) на популярную россий-
вание методам разработки безопасных
ничиваются шифрованием на уровне
скую платежную систему два года на-
приложений в сочетании с последую-
программного обеспечения (симме-
зад, и относительно недавняя атака на
щим периодическим тестированием
тричным и ассиметричным), фильтра-
агентские пароли в той же платежной
информационной безопасности этих
цией динамического диапазона IP на
системе.
систем, либо собственными силами,
уровне сервера и IP-сервера на уровне
Методы защиты от атак DDoS – сей-
либо внешними - сторонними консуль-
терминалов. К счастью, подобные ата-
час одна из самых «горячих» тем, как
ки упираются в сложность метода пере-
для телекоммуникационных провайде-
хвата GPRS-трафика и сравнительную
ров, так и для всех компаний, опираю-
медицине, постоянно появляющиеся
дороговизну необходимого для этого
щихся в своем бизнесе на интернет, в
новые «заболевания» ведут за собой и
оборудования.
частности, для систем ДБО в банках.
эволюцию методов защиты, а здоро-
Что же касается защиты от атак на
вый образ жизни и ранняя профилак-
через локальную сеть включают в себя
пароли, то здесь платежные системы
тика возможных проблем оказываются
все традиционные атаки на канал:
обладают широким диапазоном воз-
лучше терапии пост-фактум.
88
Аналитический банковский журнал
№4 (178) апрель 2010
Атаки на трафик при подключении
тантами.
В защите от мошенничества, как и в
A