Первый замдиректора департамента информационной безопасности Банка России Артем Сычев в интервью ТАСС заявил, что россияне порой публикуют в социальных сетях слишком много личных данных, которыми могут воспользоваться кибермошенники, а также рассказал, как противостоять мошенническим техникам социальной инженерии и о закономерности трендов в мире киберпреступности.
— Фиксируете ли вы рост использования техник социальной инженерии против граждан в 2019 году или ситуация стабильна? Если рост есть, то какие техники сейчас используются? За счет чего мошенникам удается обманывать людей?
— Да, как мы и прогнозировали раньше, есть серьезный всплеск использования техник социальной инженерии. Применяются они по-разному. Это могут быть некие опросы от имени кредитных организаций, неожиданные лотереи, где вам предлагают сумасшедший приз, или викторины. Или, например, вам звонят якобы из банка и пугают несанкционированным списанием средств или блокировкой карты. Смысл в том, что у вас так или иначе пытаются выманить данные по вашей карте, — говорят, они нужны для того, чтобы зачислить выигрыш в лотерее или викторине, или чтобы предупредить блокировку. Повод мошенники могут придумать какой угодно. Но понятно, что их конечная цель — заполучить через эти данные доступ к вашему счету и деньгам.
К сожалению, в последние время таких техник становится довольно много, они все основаны на определенных особенностях человеческой психики. Бывает, что человек не может объективно оценить ситуацию из-за жажды быстрых денег. А бывает, на него психологически давят, и, находясь в состоянии стресса, человек просто не понимает, что он на самом деле делает и зачем. В этом состоянии стресса он выдает платежные реквизиты, персональные данные, включая паспортные, плюс какие-то коды и пароли — все, что может быть использовано для проведения операции без согласия клиента.
Мы сейчас активно ведем работу и с банками, и со средствами массовой информации для широкого информирования граждан о всплеске мошенничеств с использованием техник социальной инженерии. Рассказываем людям, что делать, как обезопасить свои деньги.
— Очевидно, что процент удачных хищений при телефонном мошенничестве маленький. Зачем же мошенники им занимаются? Ведь обзванивать множество людей очень трудоемко.
— Мошенники берут свое за счет массовости. Экономика их деятельности основана на том, чтобы при наименьших затратах на подготовку и реализацию атаки получить максимальный куш. Мошенничество со звонками от имени банков — яркий тому пример. Для атаки нужен только телефон и телефонная база, по которой проводится обзвон, а также карта, через которую выводятся эти деньги.
— Откуда у мошенников берутся данные для обзвона?
— Источники информации у злоумышленников разные. Например, это могут быть социальные сети. Как правило, из них можно узнать фамилию, имя, отчество, номера телефонов — этого уже достаточно, чтобы проводить обзвон. Современные люди часто чересчур доверяют социальным сетям, публикуя в них личные данные. Кстати, наверняка мало кто стал бы делиться такой информацией о себе с незнакомым человеком на улице. А в соцсетях эта же информация порой публикуется в открытом доступе.
Другой источник данных — утечки из различных организаций. К сожалению, и из банков тоже, мы с ними в этом направлении работаем. Существует человеческий фактор, утечку данных может спровоцировать недобросовестность отдельных сотрудников различных организаций. А дальше, располагая даже минимальной информацией о потенциальной жертве, злоумышленники обрабатывают ее, подключая психологические техники и заранее написанные сценарии, как общаться в случае того или иного ответа на другой стороне.
— И как же обычным людям этому противостоять?
Основные правила очень простые. Если вам позвонили якобы из банка, и вы понимаете, что звонок этот с тревожным посылом или предложением какой-то сиюминутной выгоды, вы чувствуете, что на вас давят, то прервите разговор, положите трубку. Если у вас есть подозрения, что что-то происходит с вашим счетом, возьмите платежную карту вашего банка и позвоните по номеру, который указан на обратной стороне.
Важный момент: злоумышленники используют еще одну очень интересную технику — подмена номеров. То есть вы получаете звонок якобы от банка, на экране вашего мобильника отражается телефонный номер кредитной организации. Здесь очень важно после прекращения разговора не делать ответный звонок, потому что в таком случае вы можете снова попасть на мошенников. Надо позвонить в банк, вручную набрав телефонный номер, указанный на карте. Тогда ваши деньги будут в безопасности.
— Как проходит борьба с сервисами по подмене телефонного номера?
— Подмена номера возможна, когда звонок совершается с использованием IP-телефонии, мошенники применяют для этого специальное программное обеспечение.
Мы сейчас работаем над решением проблемы вместе с банками и телеком-операторами. Нам ясно, как это сделать с технической точки зрения, но важно еще и отрегулировать все нормативно. Многое зависит от Министерства связи и массовых коммуникаций. Мы с ними в контакте. Они проблему понимают.
— Вы упомянули, что злоумышленники могут получить телефонные номера граждан различными путями. Фиксировали ли вы в последнее время какие-то утечки личной информации клиентов в банковской сфере?
— Недавно СМИ сообщали о якобы имевшей место массовой утечке данных из банков, однако наш анализ говорит, что это утечки не текущего года.
Хочу подчеркнуть, что банковские утечки — все-таки единичные случаи. Как правило, злоумышленники пользуются данными, полученными из совершенно других источников. Это могут быть социальные сети, торговые точки, интернет-магазины. Мы это понимаем, анализируя структуру и содержание информации, которая попадает к мошенникам: к примеру, у банков это один набор сведений, у магазинов — другой.
— Как в целом вы оцениваете уровень киберзащищенности финансового сектора РФ?
— Он в целом адекватен тем рискам, которые возникают. Кредитные организации постепенно понимают, что их бизнес напрямую зависит от того, как они защищены, и серьезно занимаются этими вопросами. Мы в свое время приложили для этого немало усилий.
— Ожидаете ли вы появления новых видов киберугроз в ближайшие годы? Несет ли внедрение 5G какие-либо риски? Можно ли ожидать, что киберпреступники для своих целей начнут использовать искусственный интеллект?
— Не так важно, какая технология в ближайшее время будет развиваться, — искусственный интеллект или роботизация. Для нас важнее понимать, какие технологии и методы может использовать злоумышленник не просто для атаки, но и для вывода денег. Наш вектор внимания будет обращен как раз в эту сторону. Например, если мы увидим, что злоумышленники обучатся быстро выводить деньги по какому-то определенному каналу, а мы это увидим, то, соответственно, будем выстраивать дополнительные меры защиты по этому направлению.
— Если посмотреть стратегически, есть ли какие-то закономерности в мире киберпреступлений? Может, какая-то цикличность трендов?
— Когда-то мошенники в основном ориентировались на хищения средств у граждан с использованием технологий скимминга (кража данных банковской карты при помощи считывающего устройства — прим. ТАСС). Банком России и кредитными организациями были приняты меры, все банковские карты стали выпускаться с чипом. Это привело к тому, что использовать скимминговое оборудование стало бесполезно. Потом было время, когда целью злоумышленников являлись юридические лица, которые обслуживались в банках дистанционно. На тот момент кредитные организации не имели эффективных техник защиты, сами юридические лица тоже практически не умели защищаться, особенно если это субъекты малого и среднего предпринимательства. Мы вместе с банковским сообществом обратили на это внимание, научились противостоять таким атакам. В итоге их результативность и маржинальность для злоумышленников существенно сократились. Что сделали злоумышленники? Они переключились на кредитные организации. Мы вместе с банками разработали и внедрили защитные меры, и доходы злоумышленников резко упали. Сейчас мы наблюдаем очередной виток мошенничества, нацеленный на граждан. Получается спираль.
— Вы озвучили вопрос вывода денег. Может быть, есть данные, как часто злоумышленники используют криптовалюты?
— В Российской Федерации это используется крайне редко. Да, иногда криптовалюты используют для вывода средств, но сейчас это не носит массовый характер, потому что гораздо проще злоумышленнику получить наличность.
— Но через карту он может себя засветить.
— Карта, через которую выводят деньги, используется два-четыре раза. Дальше она засвечена и ее выкидывают.
— В прессе не раз звучали опасения, что запущенная Банком России система быстрых платежей (СБП) может в какой-то мере способствовать увеличению хищений. Руководитель одного из крупнейших банков сказал, что одна из причин их неприсоединения к СБП — это проблема кибербезопаности. Также мошенники могут узнать, в каком банке у человека открыт счет. Как вы считаете, насколько СБП безопасна? СБП работает для широкого круга пользователей с конца февраля. За это время были ли зафиксированы какие-либо случаи мошенничества при помощи этой системы?
— Нет, атак не было. Уровень фрода в Системе быстрых платежей — нулевой. При построении системы мы оценили риски и заложили необходимые механизмы, позволяющие корректно ими управлять. Действительно, изначально были опасения, что система позволяет перебором номера узнать какую-то информацию. Это не так. Для исключения такого риска мы реализовали специальный алгоритм. Он позволяет в случае обнаружения подобных попыток со стороны банка отправителя не доводить эти запросы до банка получателя. Мы видим, что в ряде банковских систем такие переборы делают, но на уровне СБП они блокируются. Это мешает злоумышленникам получать данные.
Беседовал Анатолий Пестич