Читать онлайн «Мошенничество в платежной сфере. Бизнес-энциклопедия». Страница 60

Угрозы, с которыми сталкивается АТМ [114]-индустрия, можно подразделить на физические и интеллектуальные. К физическим относятся:

— хищение банкомата при помощи ручных приспособлений, механизмов, техники;

— взлом банкомата: разрезание угловой шлифовальной машиной (болгаркой), газосваркой; высверливание замка (ригеля и т. п.); взрыв газообразной смеси;

— вандализм с повреждением монитора, ридера, диспенсера, фальшпанели.

Интеллектуальные угрозы:

— скимминг;

— фальшивый банкомат;

— траппинг (захват карты или наличных);

— кибератаки (вредоносное ПО, др.);

— получение наличных денежных средств по поддельным, утраченным картам.

Эксперты выделяют следующие типы противоправных действий, связанных с банкоматами:

• действия, направленные на держателей карт (ограбление держателя карты при получении или внесении денежных средств (mugging), получение держателем карты денежных средств под принуждением со стороны преступника (forcedwithdrawals) и мошенничество со стороны легитимных держателей карт);

• действия, направленные на денежные средства (хищение банкомата вместе с денежными средствами, взлом сейфа банкомата, хищение денежных средств путем монтажа дополнительных устройств на механизм выдачи купюр (cash trapping), внесение неплатежеспособных/поддельных наличных денежных купюр, ограбление при инкассации и кибератака — хищение наличных денежных средств путем несанкционированного доступа к программному обеспечению);

• действия, направленные на карту и (или) ее реквизиты (копирование магнитной полосы карты (skimming), захват карты в считывающем устройстве (ридере) с целью ее дальнейшего незаконного изъятия (jamming, card trapping), подмена или присвоение карты незаметно для держателя после выполнения операции на банкомате (swapping), фальшивые банкоматы, кибератака — информация о реквизитах карты присваивается путем несанкционированного доступа к программному обеспечению или каналам связи);

• противоправные действия, направленные на ПИН (подглядывание через плечо (shoulder surfing), скрытые видеокамеры, накладные клавиатуры, увеличительные оптические приборы и др.);

• действия, направленные на банкомат (технологию) — нарушение целостности, конфиденциальности или доступности системы (технологии) ATM посредством несанкционированного кибервторжения;

• другие (например, фишинг, обман с использованием социальной инженерии, средств мобильной связи и т. п.).

7.1. Нормативные документы и рекомендации

В настоящий момент появилось достаточно большое количество документов, направленных на обеспечение безопасности банкоматов. Перечислим некоторые из них.

«Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» от 09.06.2012 № 382-П. Данный нормативный документ относит банкоматы к объектам информационной инфраструктуры, к которым предъявляются определенные требования.

Когда штатные средства производителей банкоматов отсутствуют, выполнение требований возможно организационными мерами или применяя решения сторонних производителей.

По смыслу данные требования видимо относятся к необходимости использовать на банкоматах антивирусные решения («регулярное обновление… баз данных»). Но для банкоматов их применение является нецелесообразным: банкомат является закрытой средой с ограниченным и заранее известным набором программ, служб, сервисов. Антивирусные программы распознают только уже известное вредоносное программное обеспечение и при этом требуют постоянного обновления своих баз. Для этого, во-первых, необходимо обеспечить канал связи, а во-вторых, неизвестно (так как тестирование никто не проводил), как поведет себя обновленный антивирус по отношению к прикладным программам банкомата. Поэтому более правильно использовать решения по обеспечению контроля целостности программного обеспечения (белые списки). Производители банкоматов такие решения предоставляют: Diebold — SEP 11 (Symantec Endpoint Protection 11), NCR — Solidcore for APTRA. Существуют также предложения сторонних производителей, например GMV — checker ATM security, SafenSoft — TPSecure.

Проверка на отсутствие вредоносного кода программного обеспечения перед установкой его на банкоматы является необходимой процедурой и должна выполняться в штатном режиме. Чтобы исключить риск случайного заражения банкоматов вредоносным программным обеспечением со стороны инженерно-сервисных служб, установку программного обеспечения необходимо осуществлять с неперезаписываемых носителей информации (CD, DVD).