Hands off! Руки прочь от наших данных

Для защиты от злоумышленников банки предлагают своим клиентам использовать различные технические и программные средства (USB и OTP-токены, среды безопасного доступа — песочницы, sms-информирование и т.д.). Очевидным минусом подобных средств является невозможность заставить клиента их использовать. Дополнительным фактором опасности служит доходность и, как следствие, развитость данной индустрии мошенничества. Еще одной проблемой является превосходство средств атаки над средствами защиты: свежий троян безнаказанно функционирует, как минимум, несколько дней, прежде чем попасть в сигнатуры антивирусов.

Существенным риском для банков является и мошенничество со стороны сотрудников. Как правило, мошенничеством занимаются люди, работающие в компании несколько лет и хорошо знающие бизнес-процессы банка, их уязвимые места. Самыми распространнными нарушениями сотрудников являются некорректное кредитование, хищение средств со счетов клиентов и «слив» информации о клиентах банка.

История с преступной группой Carbanak наглядно показала, что самая качественная, эшелонированная техническая защита организации вполне может быть взломана, пусть это и займет несколько месяцев.

В условиях, когда техническая защита не дает 100% гарантии защиты от мошенничества, на сцену выходят специализированные решения — системы противодействия мошенничеству и гарантированию доходов. Такие решения показали эффективность в деле минимизации потерь от внутреннего и внешнего мошенничества и стали общемировой практикой. Антифрод системы защищают клиентов банка (физических и юридических лиц) и позволяют контролировать действия сотрудников. Основной принцип работы таких решений — поведенческий анализ действий клиента. Обрабатывая данные текущей сессии и профиль клиента, антифрод система может блокировать подозрительные транзакции, запрашивать дополнительную авторизацию у клиента, оповещать уполномоченных сотрудников банка. Поскольку антифрод работает целиком на стороне банка, его внедрение и использование происходит незаметно для клиентов. Как следствие, повышается лояльность клиентов за счет повышения качества (защищенности) предоставляемых услуг.

Дистанционное банковское обслуживание

Самой актуальной угрозой для ДБО являются атаки на клиентские устройства с целью получения контроля над ними и проведения несанкционированных списаний денежных средств на подконтрольные мошенникам счета. Как известно, далеко не все клиенты выполняют даже минимальные рекомендации работы с ДБО (например, не используют антивирусы), что повышает уровень опасности данной угрозы. Рынок мошенничества велик, и на нем есть четко выраженное распределение специализаций: одни группы мошенников пишут трояны (и продают их), другие —занимаются заражением клиентских станций и выводом средств, третьи специализируются на «дропе» (т.е. выводе денег из мошеннической схемы).

Основное средство защиты — поведенческий анализ действий клиентов. Транзакции совершаемые мошенниками, как правило, отличаются от клиентских транзакций и имеют ряд характерных признаков. Антифрод система сравнивает каждое действие клиента с профилем его поведения и ищет признаки мошенничества.

Характерные признаки мошеннических транзакций:

• Вывод не менее 75% остатка на счете.
• «Разбивка» — переводы на несколько новых счетов.
• Переводы нескольких клиентов банка на новый счет.
• Несколько сессий разных клиентов с одной станции за короткий промежуток времени.
• Минимальный промежуток времени между операциями (при ручном вводе требуется больше времени).
• Сессии из разных регионов за короткий промежуток времени.
• Неурочное время и новая клиентская станция.

Пластиковые карты

Количество выпускаемых карт в России стабильно растет, и вместе с тем растет и риск мошенничества с пластиком. Несмотря на обилие технических и организационных мер по повышению защищенности банковских карт, ущерб от мошенничества с пластиком остается высоким.

Распространенные виды мошенничества:

• Мошенничество с кредитными картами (в том числе с участием сотрудников банка) – получение карт по фальшивым документам (или без них).
• Мошенничество с POS-терминалами — двойная прокатка карт, установка скимера работниками сферы обслуживания.
• PoS RAM scrapers — атака нацеленная на получение данных карт непосредственно из оперативной памяти терминала. Функционально, это некий аналог скимера, фактически - вирус для платежного терминала. Постепенное развитие mPoS-ов делает этот вид атак все более актуальным.
• Фишинг — получение конфиденциальной информации клиентов путем обмана. Например, создается сайт, внешне и адресом URL похожий на существующий интернет-банк. Злоумышленники выводят свой сайт в топ выдачи поисковиков, размещают рекламу на сайтах, рассылают письма содержащие ссылки на фальшивый сайт.
• Вишинг и смишинг — получив установочную информацию о клиенте, мошенники совершают транзакцию перевода средств или покупку чего-либо. Далее следует звонок от «сотрудника банка» или смс, где просят указать поступивший sms-код якобы для «отмены платежа».
• Таргетированые атаки — злоумышленники собирают данные о клиентах с большим остатком на счете. По фальшивой доверенности от имени клиента переоформляют абонентский номер сотовой связи на другую сим-карту, что позволяет обойти защиту 3D Secure и не допустить своевременного информирования клиента о неправомерном доступе к его счету.

Методы обнаружения

В случае CNP (card not present) алгоритмы выявления подозрительных действий аналогичны алгоритмам, используемым при защите ДБО. При операциях с использованием физической карты появляются дополнительные факторы для анализа (расположение и принадлежность платежных устройств). Использование статистических данных позволяет оперативно выявлять скомпрометированные терминалы.

Внутреннее мошенничество

Все действия сотрудников оставляют «следы» в бизнес-системах банка. Антифрод-система собирает информацию о действиях сотрудников из разрозненных систем, и агрегирует их в единую модель данных. Посредством многомерного анализа собранных данных выявляются подозрительные действия сотрудников имеющие, либо признаки мошеннических схем, либо аномальные активности (отклонения от поведенческого профиля). Подобный подход позволяет выявлять неправомерные действия сотрудников во всех сферах банковской деятельности — от кредитования и присвоения активов клиентов, до непреднамеренных ошибок и «слива» информации о клиентах.

Оформление кредитов с предоставлением заведомо некорректных данных — один из самых старых видов мошенничества. Нечестные сотрудники оформляют кредит на своего сообщника, используя фальшивые документы или вообще обходясь без них. Кроме того, сотрудники могут оформлять кредит на имя существующего клиента банка без его(клиента) ведома.

Имея физический доступ к выпушенным, но не выданным картам, сотрудники могут изготовить их дубликат.

Разглашение информации о клиентах — поиск и использование в личных целях данных о клиентах, например, предоставления злоумышленникам информации для проведения таргетированых атак. Этот вид мошенничества характеризуется высоким уровнем косвенного ущерба, поскольку появление в прессе информации о подобных нарушениях сотрудников банка ведет к репутационным потерям.

Хищение небольших сумм со счетов клиентов может быть осуществлено, если сотрудник периодически производит небольшие списания с карт, которые активно используются клиентами. При существенном количестве операций, осуществляемых клиентами, особенно, при отсутствии смс-информирования, невысокая сумма может попросту затеряться.

 «Спящие» счета — те, которыми давно не пользуются, с существенным остатком на счете. Хищение с таких счетов характеризуется тем, что клиент очень долго может не замечать пропажу. Анализ действий сотрудников, проводимый антифрод-системой, легко выявляет подозрительные активности, связанные со спящими счетами.

Меры противодействия

Проактивный мониторинг данных, проводимый антифрод-системой, является самым эффективным средством противодействия мошенничеству (по данным отчета ACFE за 2014 год, применение подобных инструментов снижает ущерб в два раза). Как правило, бизнес-системы логируют доступ к информации только в случае внесения изменений, т.е. просмотр информации не фиксируется. Антифрод системы способны перехватывать сетевой трафик и логировать, в том числе, и просмотр данных. Полнота информации о действиях сотрудников позволяет выявлять неправомерные действия на раннем этапе. Например, легко отслеживаются попытки «пробивки» клиентов, поиск спящих счетов с существенным остатком и так далее.

Обрабатывая все действия сотрудников, антифрод-система с помощью интеллектуальных фильтров выявляет подозрительные.

Стандартные виды фильтров

• Контроль рисковых операций (например, спящие счета, корректировки).
• Нехарактерные действия (например, поиск клиентов по остатку на счете).
• Обращение к информации по чужому VIP-клиенту.
• Операции по клиенту, от которого нет обращений в CRM.
• Нестандартные следы операции обслуживания (например, мало времени между шагами операции).
• Аномально высокое количество операций по сравнению с другими сотрудниками (например, повышение кредитных лимитов, разблокировка счетов).
• Неоднократное обращение к данным клиента (шпионаж).
• Высокая сумма выданных плохих кредитов.
• Обращение к счету клиента незадолго перед мошенничеством.
• Нарушение процедур обслуживания.
• Просмотр счетов сотрудников.

Результаты внедрения антифрод-решения в банке:

• снижение ущерба от мошенничества;
• контроль сотрудников;
• выполнение требований регуляторов;
• оптимизация работы СБ.

Ритейл

Для ритейлеров всего мира актуальна проблема мошенничества (в России в среднем потери составляют 1,5% от годового оборота)[1]. Примерно треть потерь приходится на воровство покупателей, оставшаяся часть потерь приходится на мошеннические действия сотрудников компании, поставщиков, а также ошибки в IТ-системах. Поскольку вся информация, начиная от кассовых операций до поставок товаров и выплаты премий, содержится в IТ-системах компании — самым эффективным средством сокращения расходов от мошенничества общепризнано являются системы проактивного мониторинга данных (антифрод-системы).

Распространенные схемы мошенничества в ритейле

• Сторнирование чеков.
• Модификация сумм-количества товаров в чеке.
• Выставление экономически неоправданных скидок.
• Браковка товара - продавец в сговоре с сотрудником СЦ.
• Использование карты продавцом для накопления баллов за покупки.
• Предоставление продавцом существенных скидок по своей карте аффилированным лицам.
• Пополнение счета без внесения средств в кассу.
• Оформление фиктивных кредитов.
• Завышение потерь товара при хранении (усушка).
• Фиктивные возврат и продажа товара со скидкой.

Немного о мошенниках

Согласно исследованию PwC за 2014 год, «респонденты, которые столкнулись с внутренним мошенничеством, к самым важным факторам относят наличие возможности (76%), мотивацию и давление внешних обстоятельств (12%) и возможность самооправдания (9%). Таким образом можно говорить о том, что риск мошеннических действий связан в первую очередь с наличием возможности совершения мошенничества, причем в этом отношении ситуация в России соответствует глобальным тенденциям».

В ритейле большое количество территориально распределенных офисов и магазинов вынуждает предоставлять солидные полномочия сотрудникам на местах и затрудняет контроль за ними. Таким образом, широкие возможности для совершения мошенничества сотрудниками компаний-ритейлеров вызваны в первую очередь объективными требованиями бизнеса. В этой ситуации наиболее эффективным фактором удерживающим сотрудников от мошенничества является оперативное раскрытие прецедентов мошенничества. Это позволяет создать у сотрудников ощущение четкого контроля и неотвратимости наказания.

Зачем нужен антифрод?

Антифрод-решения предназначены для постоянного мониторинга данных в бизнес-системах с целью выявления признаков мошенничества. Для этого используются два основных метода:

1. Поиск в данных признаков известных схем мошенничества;
2. Статистический анализ данных с целью выявления неизвестных схем мошенничества и ошибок в IТ-системах.

Антифрод-решение посредством оперативного анализа данных:

• оперативно выявляет случаи мошенничества сотрудников;
• оперативно выявляет случаи мошенничества с участием партнеров и клиентов;
• выявляет утечки доходов;
• автоматизирует работу сотрудников безопасности;
• предоставляет инструменты анализа и проведения расследований;
• оперативно оповещает об инцидентах.

Выгоды от внедрения антифрод решения для ритейл-бизнеса:

• минимизация ущерба от мошеннических действий и ошибок IT-систем;
• гарантирование доходов (revenue assurance);
• помощь в проведении расследований;
• автоматизация действий сотрудников СБ.

Эффективность использования антифрод решений: по данным исследований позволяет[2] снизить прямые потери от мошенничества на 60% и сократить время жизни мошеннических схем в два раза. Кроме того, своевременное выявление мошенничества существенно сокращает непрямые потери от мошенничества.