10.4. Защита электронных платежей

Проблема безопасности банков стоит особенно остро, так как банковская информация, во-первых, представляет собой реальные деньги, а во-вторых, затрагивает конфиденциальные интересы большого количества клиентов банка.

Объем рынка электронной коммерции в 2000 г.Объем и характеристики рынка Оценка, долл.

Объем и характеристики рынка	Оценка, долл.
Общая стоимость всех приобретений Internet-продуктов	4,5-6 млрд.
Общая стоимость всех приобретений на среднего покупателя	600-800
Стоимость среднего приобретения на Internet-транзакцию	25-35
Полный объем транзакций-приобретений по Internet	130-200 млн.
Доля приобретений продуктов on-line	60-70%
Доля приобретений доставляемых товаров	30-40%

Общая схема функционирования электронных платежных систем

Банк, заключивший соглашение с системой и получивший соответствующую лицензию, может выступать в двух качествах - как эмитент платежных средств данной системы, принимаемых к оплате всеми другими банками-участниками, и как банк-эквайрер, обслуживающий предприятия, принимающие к оплате платежные средства данной системы, выпущенные другими эмитентами, и принимающий эти платежные средства к обналичиванию в своих отделениях.

Процедура приема платежа достаточно проста. В первую очередь кассир предприятия должен убедиться в подлинности карты по соответствующим признакам.

При оплате предприятие должно перенести реквизиты карты клиента на специальный чек с помощью копировальной машины - импринтера, занести в чек сумму, на которую была совершена покупка или оказаны услуги, и получить подпись клиента.

Оформленный таким образом чек называют слипом. В целях безопасного проведения операций платежной системой рекомендуются нижние лимиты сумм для различных регионов и видов бизнеса, по которым можно проводить расчеты без авторизации. При превышении лимитной суммы или в случае возникновения сомнения в личности клиента предприятие обязано провести процесс авторизации.

Не останавливаясь на технических аспектах процедуры, укажем, что при авторизации предприятие фактически получает доступ к информации о статусе счета клиента и таким образом получает возможность установить принадлежность карты клиенту и его платежную способность в размере суммы сделки. Одна копия слипа остается в предприятии, вторая передается клиенту, третья доставляется в банк-эквайрер и служит основанием для возмещения суммы платежа предприятию со счета клиента.

В последние годы широкую популярность приобретают POS-терминалы, при использовании которых нет необходимости в заполнении слипов. Реквизиты карты считываются с магнитной полосы на встроенном в POS-терминал считывателе, с клавиатуры вводится сумма сделки, и терминал через встроенный же модем обращается за авторизацией в соответствующую платежную систему. При этом используются технические мощности процессингового центра, услуги которого предоставлены торговцу банком. В этом случае предприятие отчитывается перед банком копией кассовой ленты с образцом подписи клиента и батч-файлами, которые генерирует терминал по закрытии операционного дня.

В последние годы все большее внимание привлекают к себе банковские системы с использованием микропроцессорных карт. Внешне эти носители информации ничем не отличаются от обычных карт, кроме впаянного внутрь карты чипа памяти или микропроцессора и выведенных на ее поверхность лепестков контактных пластинок.

Принципиальным отличием этих карт от всех вышеперечисленных является то, что они непосредственно несут информацию о состоянии счета клиента, поскольку сами являются транзитным счетом. Понятно, что каждый пункт приема подобных карт должен быть оснащен специальным POS-терминалом (с чип-ридером).

Для того, чтобы иметь возможность пользоваться картой, клиент должен загрузить ее со своего счета на банковском терминале. Все транзакции совершаются в режиме OFF-LINE в процессе диалога карта - терминал или карта клиента - карта продавца.

Такая система является почти полностью безопасной ввиду высокой степени защищенности чипа и полной дебетовой схеме расчетов. Кроме того, хотя сама карта и существенно дороже обычной, система в процессе функционирования оказывается даже дешевле за счет того, что в режиме OFF-LINE не используется нагрузка на телекоммуникации.

Электронные платежи с использованием пластиковых банковских карт различных видов представляют собой достаточно гибкий и универсальный механизм расчетов в цепочке “Банк 1 - Клиент - Предприятие - Банк 2” и межбанковских расчетов типа “Банк 1 - ... - Банк N”. Однако именно универсальность этих платежных инструментов делает их особенно притягательным объектом для мошенничества. Ежегодная статья убытков, связанных со злоупотреблениями, составляет внушительную сумму, хотя и относительно небольшую по сравнению с общим оборотом.

Систему безопасности и ее развитие невозможно рассматривать в отрыве от методов незаконных операций с пластиковыми картами, которые можно поделить на 5 основных видов преступлений.

1. Операции с поддельными картами.

На этот вид мошенничества приходится самая большая доля потерь платежной системы. Ввиду высокой технической и технологической защищенности реальных карт, самодельные карты в последнее время используются редко и их можно определить с помощью простейшей диагностики.

Как правило, для подделки используют похищенные заготовки карт, на которые наносятся реквизиты банка и клиента. Будучи технически высоко оснащенными, преступники могут даже наносить информацию на магнитную полосу карты или копировать ее, словом, выполнять подделки на высоком уровне.

Исполнителями подобных акций являются, как правило, организованные преступные группировки, иногда вступающие в сговор с сотрудниками банков-эмитентов, имеющими доступ к информации о счетах клиентов, процедуре проведения транзакций. Отдавая должное международному преступному сообществу, надо отметить, что поддельные карты появились в России практически одновременно с началом развития этого сектора банковского рынка.

2. Операции с украденными/утерянными картами.

Нанести крупный ущерб по украденной карте можно лишь в том случае, если мошенник знает PIN-код клиента. Тогда становится возможным снятие крупной суммы со счета клиента через сеть электронных кассиров - банкоматов до того, как банк-эмитент украденной карты успеет поставить ее в электронный стоп-лист (список недействительных карт).

3. Многократная оплата услуг и товаров на суммы, не превышающие “floor limit” и не требующие проведения авторизации. Для проведения расчетов преступнику необходимо лишь подделать подпись клиента. Однако при данной схеме становится недоступен самый привлекательный объект злоупотреблений - наличные деньги. К этой категории можно отнести преступления с картами, похищенными во время их пересылки банком-эмитентом своим клиентам по почте.

4. Мошенничество с почтовыми/телефонными заказами.

Этот вид преступлений появился в связи с развитием сервиса доставки товаров и услуг по почтовому или телефонному заказу клиента. Зная номер кредитной карты своей жертвы, преступник может указать ее в бланке заказа и, получив заказ на адрес временного места жительства, скрыться.

5. Многократное снятие со счета.

Данные преступления, как правило, совершаются работниками юридического лица, принимающими платеж от клиента за товары и услуги по кредитной карте, и осуществляется путем оформления нескольких платежных чеков по одному факту оплаты. На основании предъявленных чеков на счет предприятия поступает больше денег, нежели стоимость проданного товара или оказанной услуги. Однако по совершении ряда сделок преступник вынужден закрыть или покинуть предприятие.

Для избежания подобных действий пользователям карты рекомендуется внимательнее относится к документам, подписываемым при совершении сделок (даже на незначительные суммы).

Применяемые подразделениями безопасности методы можно разделить на две основные категории. Первый и, пожалуй, самый важный уровень связан с технической защищенностью самой пластиковой карты. Сейчас с уверенностью можно сказать, что с точки зрения технологии карта защищена лучше, чем денежные знаки, и изготовить ее самому без применения сложнейших технологий практически невозможно.

Карты любой платежной системы удовлетворяют строго установленным стандартам. Карта имеет стандартную форму. Идентификационный номер банка в системе (BIN код) и номер счета клиента в банке, его имя и фамилия, срок действия карты эмбоссированы и размещены в строго установленных позициях на лицевой стороне карты. Там же располагается символ платежной системы, выполненный голографическим способом. Последние четыре цифры номера карты эмбоссированы (рельефно выдавлены) непосредственно на голографическом символе, что делает невозможным копирование голограммы или переэмбоссирование кода без разрушения символа.

На обратной стороне карты размещены магнитная полоса и область с образцом подписи владельца. На магнитной полосе в строго определенных позициях и с использованием криптографических алгоритмов записываются реквизиты самой платежной системы, защитные метки, символы, препятствующие копированию информации, и дублируется информация, нанесенная на лицевую сторону карты. Область образца подписи владельца имеет специальное покрытие. При малейшей попытке сделать подчистки или переправить подпись покрытие разрушается и проявляется подложка другого цвета с защитными символами платежной системы.

Остальная площадь поверхности карты предоставлена целиком в распоряжение банка-эмитента и оформляется произвольным образом символами банка, его рекламой и необходимой для клиентов информацией. Сама карта защищена знаками, которые видны только в ультрафиолетовом свете.

К техническим мерам защиты также относится защита коммуникаций банка, банковских сетей от незаконных вторжений, поломок и прочих внешних воздействий, приводящих к утечке или даже уничтожению информации. Защита осуществляется программно-аппаратными средствами и сертифицируется полномочными организациями платежной системы.

Ко второй категории мер защиты относятся меры по предотвращению утечки информации из банковских отделов по работе с пластиковыми картами. Основным принципом является четкое разграничение служебных обязанностей сотрудников и, в соответствии с этим, ограничение доступа к секретной информации в объеме, не превышающем необходимого минимума для работы.

Эти мероприятия снижают риск и возможность вступления в сговор преступников со служащими. C работниками проводятся тематические семинары для повышения квалификации. Платежные системы регулярно распространяют бюллетени безопасности, в которых публикуют служебный материал и статистику по преступлениям с картами, сообщают приметы преступников и признаки поддельных карт, поступающих в незаконное обращение. Посредством бюллетеней проводится обучение персонала и организуются профилактические и специальные мероприятия, направленные на снижение преступности.

Обращается особое внимание на кадровый отбор служащих отдела. Все вопросы безопасности находятся в ведении специального должностного лица из службы безопасности. Среди профилактических мер самое важное место занимает работа с клиентами, направленная на повышение культурного уровня обращения с “пластиковыми деньгами”. Внимательное и аккуратное обращение с картой существенно снижает вероятность стать жертвой преступления.