1.2. Банковские платежные системы

Банковская система электронных платежей обеспечивает клиенту удаленный доступ к банковским счетам, управление счетами, позволяет работать со всеми основными финансовыми документами и получать оперативную финансовую информацию (такие программные технологии еще называют «тонкий» клиент).

Достоинства банковских систем:

• мобильность - клиент имеет возможность работать в системе 24 часа в сутки, 7 дней в неделю;

• исключения затрат на приобретение специального программного обеспечения;

• экономия времени - нет необходимости приходить в банк;

• оперативное получение информации;

• получение полного комплекса расчетно-кассовых услуг банка, а именно:

  • подготовка клиентом платежей и отсылки их в банк с получением сообщений о принятии или отказе;

  • получение выписок по своим счетам в режиме on-line;

  • получение клиентом из банка оперативной информации, которая его интересует (курсы валют, кредитные ставки, тарифы, виды услуг и т.д.);

  • передача клиентом конфиденциальной информации произвольного формата в банк;

  • ведение архива платежных документов клиента за произвольный период времени с возможностью просмотра, печати, копирования, получения отчетных форм.

Существуют два формата систем:

"РС-Banking", или "Клиент-банк" - установка программы на компьютер клиента, с которого осуществляется удаленное управление счетом (подключение через Dial-UP соединение напрямую к серверу банка или через Интернет с помощью защищенных протоколов связи). С помощью, например, Java-апплета «РС-Banking клиент» может создавать, редактировать, сохранять, распечатывать, подписывать и отправлять в банк следующие выходные документы: Платежное поручение, Письма. Клиент может получать из банка, просматривать и распечатывать выписки по счетам за произвольный период (в национальной или иностранной валюте), а также получать из банка e-mail письма.

«Интернет-Клиент-банк» - доступ к управлению счетом с любого компьютера, имеющего выход в Интернет (подключение к серверу банка через Интернет с помощью защищенных протоколов связи). Средство связи - или браузер, или программа - тонкий клиент на флэш-карте, предоставленной клиенту банком, или мобильный клиент и тому подобное.

Для «дистанционного управления» счетом применяются чаще системы клиент-банк, известные под более распространенным названием Интернет-банк или Интернет-банкинг.

Желаемый для клиентов набор функций Интернет-банкинга включает выписку по счетам, перевод средств между своими счетами, возможность отправки платежа и коммунальные платежи. Отсутствие хотя бы одного из этих базовых опций не позволяет отнести такую ​​систему к классу систем Интернет-банкинга. Остальные функции дистанционных систем зависят как от возможностей, так и от фантазии разработчиков банковских продуктов.

Агентство Markswebb Rank & Report, которое исследовало в январе-феврале 2012 года потребительские предпочтения клиентов российских банков в сети Интернет, провело опрос клиентов банков специально сформированных для исследования фокус-групп. В результате опроса выяснилось, что для пользователей жизненно важно иметь удаленный доступ к балансу и просматривать историю транзакций (это важно 95% и 93% опрошенных по группам). Без этой функции услуги банков в сети не будут востребованы. После того как потребители убеждаются, что их деньги находятся в безопасности, они хотят свободно ими распоряжаться. Переводы и возможность оплаты услуг интересует 90% и 86% опрошенных. Вслед потребитель рассчитывает на дополнительный комфорт, например дистанционное открытие вклада (21% опрошенных). Переводы средств частным лицам на другие счета как услугу считают важным 90% опрошенных потребителей.

Итак, наиболее востребованы услуги Интернет-банкинга

- Он-лайн балансы по счетам;

- Он-лайн - выписки по счетам;

- Полное управление депозитам;

- Погашение кредитов;

- Переводы внутри банка;

- Внешние переводы;

- Управление карточными счетами;

- Конвертация валют;

- Оплата жилищно-коммунальнх услуг;

- Оплата услуг связи и Интернет.

Перейдем к другим возможностям систем Интернет-банкинга. Принимая во внимание, что удобство дистанционного обслуживания заключается в отсутствии необходимости посещать отделение банка, то основной интерес представляет онлайн-проекция стандартных банковских операций: погашение кредита, открытие депозита, заказ новой пластиковой карты, блокировка скомпрометированной карты. Радует то, что ряд банков не останавливается на стандартном наборе услуг, принимая во внимание специфику сети и потребности клиентов. Было бы логичным пополнять кошельки электронных валют непосредственно из веб-интерфейса онлайн-банкинга.

Безопасность Интернет-банкинга.

Банки пытаются использовать различные системы и механизмы, призванные если не гарантировать, то, хотя бы, повысить безопасность использования он-лайн банкинга.

Шифрование данных

На сегодня уже всем или почти всеми банками, которые предоставляют услугу Интернет-банкинга, применяется SSL-шифрование данных, передаваемых от компьютера пользователя в систему банка и обратно. Это мероприятие безопасности позволяет исключить распространенный ранее вид мошенничества. Раньше часто использовалась схема «man in the middle»: данные о платеже перехватываются на этапе, когда они отправлены от клиента, но еще не дошли до банка. Мошенник изменяет данные и только после этого отправляет их в банк.

Чтобы воспользоваться всеми преимуществами защищенной передачи данных, следует соблюдать элементарные меры безопасности в Интернете - не реагировать на подозрительные сообщения (полученные якобы от банка) и не переходить по неизвестным ссылкам.

Одноразовые пароли, получаемые в банкомате.

При такой системе защиты, кроме обычного логина и пароля, для входа в систему и подтверждения операций клиент должен ввести одноразовый пароль, список которых он может получить в банкомате своего банка.

С точки зрения безопасности такая система имеет преимущество - чтобы осуществлять операции с карточным счетом через Интернет-банкинг, лицо должно как минимум иметь в наличии непосредственно саму карту, а также знать ПИН-код, чтобы получить список паролей в банкомате.

Вместе с тем нельзя не отметить ряд недостатков такой системы защиты. Во-первых, список паролей, распечатанный в виде чека из банкомата, придется сохранять для подтверждения будущих операций. Это означает, что если клиент случайно потеряет или выбросит чек (или просто использует все пароли), необходимо лично получать новые. Кроме того, список могут завладеть злоумышленники.

Рекомендуется не хранить список одноразовых паролей вместе с логином и паролем от аккаунта. Последний вообще не рекомендуется записывать.

Одноразовые СМС-пароли.

Этот способ аутентификации клиента в системе Интернет-банкинга является едва ли не самым распространенным в предложениях украинских банков. При такой системе каждая операция, которая осуществляется с помощью он-лайн банкинга, должна быть подтверждена одноразовым паролем, полученным клиентом в СМС-сообщении на мобильный телефон. При этом мобильный номер клиента должен быть «привязан» к номеру счета.

Такая система имеет ряд преимуществ. Во-первых, она достаточно проста в использовании - клиенту не нужно специальное оборудование, а процедура подтверждения операции занимает всего пару минут. Во-вторых, она позволяет обезопасить парную запись от использования злоумышленниками - даже если мошенникам станет известен логин и пароль для входа в систему, они не получат доступ к деньгам, а клиент узнает о попытке провести несанкционированную операцию по СМС-сообщения. Кроме этого, клиенту не нужно хранить список одноразовых паролей, а значит, он не сможет его потерять, и его украдут.

На этом преимущества системы заканчиваются. Действительно, злоумышленникам достаточно сложно завладеть одноразовым паролем, действующим в течение короткого времени. Если только они не завладели мобильным телефоном. И совершенно бесполезной система будет в том случае, если клиент пользуется Интернет-банкингом с мобильного телефона и при этом сохраняет пароли в браузере. Тогда, украв у клиента телефон, мошенник получит его счет в полное распоряжение.

Если банк использует аутентификацию клиента по СМС, необходимо придерживаться следующих правил:

- Не пользоваться Интернет-банкингом с мобильного телефона;

- Не хранить пароль от аккаунта в браузере;

- В случае потери или кражи мобильного телефона - немедленно обратиться в банк с просьбой заблокировать аккаунт Интернет-банкинга.

Электронная цифровая подпись (ЭЦП).

Этот механизм чаще всего используется при обслуживании банками компаний, но иногда его предлагают и индивидуальным клиентам. Плюс ЭЦП в том, что она позволяет однозначно идентифицировать пользователя. Недостаток же заключается в том, что ЭЦП также может быть уязвима для мошенников. Злоумышленники могут похитить ключ от цифровой подписи, заразив компьютер пользователя вредоносным программным обеспечением. Существуют вирусы- «трояны», которые умеют находить и красть на зараженном компьютере аутентификационные данные (идентификаторы, пароли и ключи ЭЦП) пользователей для доступа к различным сервисам (в том числе и серверов удаленного обслуживания клиентов банков.

Если для подтверждения финансовых операций через Интернет клиент использует ЭЦП, он должен регулярно пользоваться актуальными антивирусными программами и проверять компьютер на предмет заражения компьютерными вирусами. Также эксперты не советуют оставлять ключ ЭЦП подключенным к компьютеру, если он на флэш-карте, и установленным в браузере, если он в виде файлового сертификата.

Внешние электронные устройства.

Некоторые банки предлагают пользователям онлайн банкинга приобрести (или взять в аренду) специальное устройство - генератор одноразовых паролей. Генератор подключается к компьютеру через usb-порт и не требует специального программного обеспечения.

Другие финансовые учреждения предлагают использовать внешний электронный ключ, который генерируется при первом подключении к системе Интернет-банкинга, записывается на внешний носитель и затем используется при проведении операций в системе (именно о таком варианте ЭЦП на флэш-карте говорилось чуть выше).

Такие системы, по сути, является упрощенной версией ЭЦП. Среди недостатков их можно выделить то, что клиент не сможет получить доступ к своему счету, не имея под рукой «ключа», а всегда носить его с собой может быть не очень удобно и безопасно.

Кроме вышеперечисленного, банки чаще всего применяют дополнительные меры для обеспечения безопасного пользования Интернет-банкингом:

- Ограничение использования личного сертификата - система некоторых банков позволяет использовать электронный ключ (электронный сертификат) только на том компьютере, на котором он был сгенерирован. Таким образом, осуществлять платежи через Интернет-банкинг вы сможете только со своего личного компьютера (хотя просматривать выписки по счету можно и на других устройствах);

- Виртуальная клавиатура - предназначена для того, чтобы мошенники не могли «считать» ваши регистрационные данные при введении их с обычной клавиатуры с помощью компьютерных вирусов («троянов»);

- Ограничение продолжительности сессии - в случае неактивности пользователя, сессия в системе Интернет-банкинга через определенное время (обычно 10-15 минут) будет закрыта (в Приват24 через 15 минут). После этого для восстановления работы нужно заново пройти аутентификацию;

- История подключений - с помощью этой функции пользователь Интернет-банкинга узнает, если кто-то кроме него подключался к системе, а также сможет отследить все несанкционированные операции, если они были сделаны (в Приват24 сохраняется список IP, с которых были попытки неудачных подключений с неверным паролем ).

Эксперты отмечают, что чаще всего причиной мошеннического доступа к счету пользователя Интернет-банкинга является невнимательность и неосторожность самого пользователя. А потому, чтобы избежать возможных проблем, владельцу аккаунта следует беречь данные доступа к ней. Во-первых, эксперты советуют периодически менять пароли для доступа в систему, желательно делать это раз в месяц и не использовать Интернет-банкинг на непроверенных компьютерах (например, в Интернет-кафе).

Во-вторых, следует соблюдать осторожность при работе в Интернете. Мошенники широко используют приемы «социальной инженерии» для того, чтобы выманить аутентификационные данные (логин, пароль и т.д.) клиентов. Наиболее старый метод - «фишинговые» письма электронной почты, которые провоцируют получателей отправить свои аутентификационные данные злоумышленникам или предлагают пройти по ссылке на мошеннический сайт. С ростом популярности социальных сетей («Одноклассники», Twitter, Facebook) мошенники тут же начали использовать для «фишинга» сообщения социальных сетей. Также злоумышленники создают поддельные копии сайтов для Интернет-банкинга с именами, очень похожими на настоящие (в России, например, было уже несколько громких конфликтов, причем копии создавались для сайта Сбербанка и других крупных банков). И если клиент введет на таком сайте данные своей учетной записи, то они тут же попадут в руки к мошенникам. При этом СМС - пароль, как правило, выманивает у клиента по телефону под предлогом того, что оператор (на самом деле злоумышленник) с его помощью отменит последнюю ложную операцию (на самом деле переведет все средства со всех счетов клиента себя). Надо знать, что пароли на отмену операций в Интернет-банках никогда не приходят, только на выполнение. На ложные операции клиент должен составлять специальную заявку, и они будут не отменены, а возвращенные средства по ложному транзакций через время, и то при наличии возможностей (если транзакция физлицу, необходимо его согласие). Во время работы с сайтом Интернет-банку необходимо также обращать внимание на адресную строку в браузере. Если это действительно адрес Интернет-банка, то работа идет по защищенному SSL протокола, и адрес должен начинаться с префикса HTTPS. Если же сайт поддельный (при этом доменное имя может совпадать), то, скорее всего, адрес будет начинаться с префикса обычного TCP / IP протокола - HTTP. Однако и здесь не стоит терять бдительность, поскольку на сегодня сервисы, позволяющие защитить сервер любому пользователю с помощью протокола SSL, и, следовательно, и сервер мошенников тоже может быть защищен.

Если у клиента возникли опасения, что мошенники получили доступ к его счету через Интернет-банкинг, эксперты советуют сделать следующие действия:

- Отключить компьютер от Интернета;

- Обратиться в контакт-центр (а при необходимости - в отделение) банка, изложить проблему и попросить заблокировать аккаунт;

- Проверить компьютер на предмет заражения вредоносным программным обеспечением;

- Возобновить работу с системой он-лайн банкинга только тогда, когда подтверждено, что угроза отсутствует;

- Изменить пароль от аккаунта.

Если подозрения клиента оправдались, и со счета были списаны несанкционированные им платежи, следует составить заявление о событиях в банк и в правоохранительные органы. В этом случае не рекомендуется предпринимать никаких действий на компьютере (устанавливать или удалять программное обеспечение и т.п.) до прибытия сотрудников правоохранительных органов или специалистов банка, поскольку любые изменения могут помешать расследованию инцидента.

Оценить системы Интернет-банкинга в целом можно с помощью критериев и вопросов, приведенных в таблице 1

Таблица 1