Банкова сигурност

БАНКОВА СИГУРНСТ

измами с банкови карти

С навлизането на новите технологии и нуждите на хората да се разплащат навсякъде и по – всяко време без да носят в себе си пари кеш все по-широко налага използването на банкови карти, което  е съпроводено с разрастване на броя и стойността на измамите, свързани с тях. Проблемът изисква координирани усилия и адекватни мерки

Банковите карти са най-широко използваният електронен платежен инструмент в световен мащаб, който се е утвърдил във финансовата практика на развитите страни и притежава значителен потенциал за развитие и у нас. По данни на Европейската централна банка (ЕЦБ) към края на 2008 г. в България са в обръщение 6,02 млн. карти, с които са извършени 22,640 млн. транзакции. Сред платежните инструменти те са на второ място по значимост, тъй като броят на картовите транзакции спрямо общия обем транзакции с всички платежни инструменти има дял от 30,2% (на първо място са кредитните трансфери). Широкото им използване през последните години същевременно е съпроводено с разрастване на броя и стойността на измамите, свързани с тях.

Информация съдържаща се върху банковата карта 

Типове картови измами

Международните картови организации като Visa и MasterCard, а също и Европейската комисия, са възприели разделянето им в четири категории:

1.Измами с изгубени и откраднати карти;

2.Измами с неполучени по пощата карти;

3.Измами, свързани с фалшифициране на карти;

4.Картово безналични измами.

До неотдавна повечето измами с пластики са извършвани чрез налични транзакции “лице в лице” в търговските обекти. Към настоящия момент преобладават измамите чрез терминални устройства и в Интернет .

Измамите в терминалните устройства имат своята еволюция във времето. Неотдавна обичайният начин за измами на банкомати включваше техниките на “наблюдаване през рамо” за придобиване на ПИН кода на потребителя и физическа кражба на картата или задържането и чрез приспособление, пъхнато в банкомата (като т. нар. "ливанска примка"). С развитието на технологиите измамите стават по-високотехнологични и се ориентират предимно към скимиране на данни от магнитни ленти на банкомат или ПОС терминал и узнаване на ПИН кода с помощта на технически устройства. Повечето случаи на измами с фалшифициране на карти включват скимиране.

Видове скимиращи устройства:

1)Устройства тип двойна клавиатура – монтира се върху съществуващата клавиатура записва пин кода въвеждан от картодържателя .

2) Четец на данните от магнитна лента на банковата карта .

3) Камера монтирана в горната част над дисплея записва пин кода въведен  от картодържателя

1)                  2)      3)

Двойната клавиатура както и камерата записват съвместно под пореден номер пин кодовете и данните за копирани от лентата на картата от четеца , така има пин код съответстващ на данните за картата.

След като вече измамниците са се сдобили с данни за съответната банкова карта и нейният пин код следва отпечатването на пластиката , което става посредством принтери за печатане на пластики.Принтерът записва върху пластиката данните от лентата , както върху пластиката се отпечатват всички данни за картата , валидност , лого на банката и др.

    При картово безналични измами картите физически не участват, а се използват техните данни (номер, срок за валидност и др.) при поръчки на стоки основно по Интернет, а също и чрез телефон, факс и по пощата. Измамата се извършва, след като престъпниците първо се сдобиват с данните на картата предимно чрез “фишинг” (phishing). Към настоящия момент тази категория измами, с която се извършва кражба на самоличност на потребителите, е най-често използвана. Повечето от измамите при търговията в Интернет се базират на използването на информация за картата, придобита предимно чрез методи като скимиране или чрез фишинг атаки и шпионски софтуер (spyware), инсталиран на клиентския компютър. След това информацията за картата се използва за картово безналични транзакции, най-често чрез Интернет. По-малка част от измамите в глобалната мрежа включват използване на данни за истинска карта, открадната по пощата или придобита чрез документална измама.

Друг вид измама нашумял наскоро в банковите среди е източването на банковите сметки до нула. Обикновено този вид измама се осъществява посредством следене на сделките на даден човек. На пример при покупко - продажба на имот . На измамниците им е необходима връзка с нотариуса или да се сдобият с нотариалният акт за покупко – продажба от там те се сдобиват с номер на лична карта , дата на валидност , дата на раждане и най- важното банковата сметка по – която ще бъдат преведени парите. Така вече те имат всичко необходимо . Създават фалшива лична карта, на която се поставя снимката на лицето което ще отиде да вземе сумата от банката. Така им остава само да следят за постъпването на сумата. В деня на постъплението лицето отива до който и да е клон на банката и с фалшивата лична карта извършва теглене на каса на цялата налична сума. При този вид измами не е необходимо дори измамниците да имат вътрешен човек в банката , необходимо е само добро качество на фалшифицираната лична карта. Банките противодействат на този вид измама като при теглене на сума над 2 000 лева се изисква сравняване на личната карта с копията на личната карта които са направени при откриване на сметката. Следва сигнал до полицията , блокиране на сметката и уведомяване на реалният сметкодържател. За съжаление не винаги се получава тъй като тези измамници обикновено имат вътрешен човек който спомага за приключването на измамата.

Щетите

Картовите измами са най-разпространени в САЩ, където през 2008 г. загубите от тях достигат US$ 3,029 млрд., отбелязвайки ръст от 10,3% спрямо предходната година, като сумата на онлайн измамите възлиза на US$1,729 млрд. (по данни на Celent Communications). В Европа най-засегнати от измами с кредитни и дебитни карти са британците - приблизително 20% от тях са били жертви на подобни посегателства.

В България липсват официални данни за броя на потърпевшите и стойността на картовите злоупотреби. От страна на регулатора на картовия ни пазар - БНБ, на кръгла маса на тема “Развитие на картовите разплащания” към 9-ти Български финансов ИТ форум (18-19 април 2007 г.) бе изразена позиция, според която данните за стойността на загубите от картови измами са “непублични, непредставляващи обект на дискусия”. В медиите, обаче, се изнасят данни за случаи на скимиране на банкови карти, притежание предимно на чуждестранни, но също и на български картодържатели. Например в края на януари се появи информация за източване на дебитни и кредитни карти, както и на банкови сметки на американски граждани на стойност 400 хил. долара. За нарасналите мащаби на картовите измами би могло да се съди и по многократно увеличения брой оплаквания в Помирителната комисия по платежни спорове, която функционира към Комисията за защита на потребителите.

Предотвратяването на картовите измами следва да се разглежда в два аспекта: по отношение на картово наличните (на банкомат или на ПОС устройство) и картово безналичните (основно в средата на Интернет) транзакции.

Предотвратяване на картово наличните измами

Възприетият в световен мащаб метод за предотвратяване на картово наличните измами е въвеждането на чип базираната технология за дебитни и кредитни карти, основаваща се на глобалния стандарт EMV. Той предвижда поетапна замяна на платежните карти с магнитна лента с чип (смарт) карти, използвани задължително с ПИН код както на банкомат, така и на ПОС терминал.

За застрашената от злоупотреби картова индустрия основното предимство на чип картите пред тези с магнитна лента е по-голямата защита, предоставяна на картодържателите. Те обединяват в себе си мощности за обработка и информация, с което се гарантира автономността им и възможността да функционират независимо от потенциално уязвими външни ресурси. За да се получи достъп и да се изучи информацията в чип картата, се изисква притежаване на картата, задълбочено познаване на нейния хардуер и софтуер и допълнително скъпо оборудване. Нейните характерни черти за сигурност освен това са засилени чрез криптографски техники. Обменът на данни между картата и карточетящото устройство може да бъде криптиран. Допълнителна сигурност се гарантира с изискването за въвеждане на ПИН код от картодържателя, което предпазва от възможността картата да бъде използвана от неавторизирано лице.

Благодарение на вградените възможности на чип картата, тя може да управлява транзакции с необходимата сигурност в режим офлайн, при което няма обръщение към оторизационния сървър и опасност от непозволена намеса, а също така намаляват и комуникационните разходи за обработка на транзакцията. Посочените предимства на чип картите и преди всичко ключовото им значение за сигурността на картово наличните операции ги прави изключително надежден инструмент, възприет от картова индустрия в целия свят като средство за намаляване на измамите.

Преход към стандарта EMV

За банките преходът към стандарта EMV е сложен и доста скъп проект. Той се реализира в 2 направления – приемане (акцептиране) на смарт карти, т.е. ъпгрейд на АТМ и ПОС терминалните устройства за работа с тях, и издаване на смарт карти. EMV миграциятa е задължителна за всички финансови институции, членки на MasterCard и Visa International, и за осъществяването и са предвидени съответни срокове в различните региони по света. За стимулирането и двете картови организации използват и икономически санкции чрез т. нар. регулация “Liability shift” (“Прехвърляне на отговорност”). Според нея отговорността за картови измами се прехвърля към страната в транзакцията (търговец или издател на картата), която не е постигнала чип съвместимост. Това означава, че търговци, които не са адаптирали тяхната ПОС инфраструктура да приема EMV карти, понасят разходите за покриване на стойността на картова измама в резултат на използване на карта Visa или MasterCard. Влизането в сила на “Liability shift” се изпълнява поетапно, като за страните в Европейския съюз тази практика е в действие от 01.01.2005 г.

Другият ключов проект, имащ значение за стимулиране на чип миграцията в Европа, е SEPA (Single Euro Payments Area - Единната европейска платежна зона). През септември 2005 г. ЕЦБ въведе SEPA Card Framework  (“Рамка за SEPA картите”), която наложи изискването за внедряване на EMV стандарта във всички страни до 2010 г. Предвиден бе краен срок 01.01.2008 г. за прехвърляне на отговорността за загуби в резултат на измама при транзакциите на АТМ върху EMV несъвместимата страна.

Статистиката за прехода към EMV се поддържа в 3 аспекта – за банкови карти, ПОС терминали и банкомати, като всяка от трите миграции в световен мащаб се намира в различен стадий. Използването на EMV технологията в Европа постепенно увеличава обхвата си. Предвидено е до средата на 2010 г. миграцията да е напълно приключила.

Защита от картово безналичните измами

При използване на банковите карти за поръчка на стоки и услуги по телефона, по пощата и най-вече при електронната търговия в Интернет обикновено се изпращат техните номера и дати на валидност на търговеца. Проблемът в този случай се състои във факта, че нито картата, нито картодържателят присъстват при покупката, респективно плащането. При тези транзакции физическите характеристики за сигурност на картата са недостъпни за проверка и не може да се определи дали тя е истинска. Без подпис или ПИН не е лесно да се потвърди, че потребителят е действителният картодържател. Съответно картоиздателите не могат да гарантират, че предоставената информация е дадена от истинския картодържател.

Като противодействие на този тип измами се използват няколко различни типа “сигурни” решения, които са добавени към картовата инфраструктура на страната на търговците. Към тях се отнасят: система за проверка на адрес (Address Verification System – AVS) и системи за проверка на код за сигурност на картите (Card Security Code). Друг метод се базира на протокола за сигурност “3-D Secure”, който се прилага от двете най-големи картови организации за онлайн транзакции от 2002 г. под две различни брандови имена – “Verified by Visa” и “Master Card Secure Code”. Цели се гарантиране на по-голяма сигурност на всички - картодържател, банка-издател, Интернет търговец, банка на търговеца, чрез изискването при всяко плащане картодържателят да въвежда ПИН код, който се потвърждава в реално време от издателя. По този начин се осигурява надеждно потвърждаване на идентичността на картодържателя пред търговеца и се пречи на използването на крадени картови данни за Интернет транзакции.Предимството на технологията 3-D Secure се основава на това, че тя се базира на отворен, интероперабилен и най-вече глобален стандарт с международно признание, благодарение на който се дава надежден отговор както на местните измами в електронната търговия, така и на презграничните. Освен това тя се отличава с лекотата, с която в нея участват и картодържателите, и търговците. 3-D Secure се налага в практиката, след като разработеният по-рано протокол Secure Electronic Transaction (SET) не успя да затвърди позициите си поради високите разходи, свърз¬ани с прилагането му и недостатъчната му гъвкавост. Към момента технологията 3-D Secure се основава на автентификация, базирана на ПИН (респ. парола), а в бъдеще се предвижда тя да стане чип картово базирана с използването на карточетци и токени за генериране на динамични пароли.

Защита от картовите измами в България

У нас, още в края на 2001 г., БОРИКА, в ролята си на системен картов оператор и обслужваща организация на Master Card Europe, Visa International и на голяма част от членуващите в тях местни банки, започна работа по стратегически проект за миграция към EMV смарт карти. Формиран е и Национален комитет за миграция към EMV.Създадените организационни предпоставки способстват за стартиране на прехода към новия стандарт. За етапите на неговата реализация относно миграцията на банкоматите, ПОС терминалите и платежните карти не се публикуват официални обобщени данни. На организираната през 2007 г. кръгла маса, посветена на картовите разплащания, от БОРИКА отчитат следните данни за акцептирането на смарт карти (т.е. приемането им на банкомати и ПОС устройства или т.н. acquiring): около 70% от банкоматите са мигрирали към EMV; при ПОС устройствата делът е приблизително 20-25%. Зад тези усреднени проценти при отделните банки са налице значителни колебания. Така например, някои банки изцяло или в по-голяма степен са приключили миграцията на банкоматите си (Уникредит Булбанк, Първа Инвестиционна Банка, Обединена Българска Банка, Райфайзенбанк (България), Банка ДСК), а при други тя е в начален етап.

По отношение на издаването (т.н. issuering) на смарт карти изискването да бъдат сертифицирани от страна на картовите организации Visa и/или MasterCard е изпълнено от около една трета от банките в България . Пет от тях са сертифицирани да издават EMV карти и от двете картови схеми (Банка Алианц, Уникредит Булбанк, Райфайзенбанк, Първа Инвестиционна Банка, ЦКБ). Две банки - Сосиете Женерал Експресбанк и СИБанк , са в процес на сертификация.Наблюдаваното у нас забавяне, предимно по отношение на издаването на чип карти и акцептирането им на ПОС устройства, се дължи най-вече на необходимостта от сериозни финансови инвестиции в проекти за миграция. Засега преобладаващата част от финансовите институции в България все още не са реализирали такива проекти. Високите парични разходи във връзка с миграцията се изтъкват като съществена причина не само от българските банки, но и от представители на ЕЦБ.Важно основание за ускоряване на процесите на миграция към EMV е установената тенденция за преместване на измамите от страни, които са EMV готови към такива, в които преходът не е завършил. Специалистите в картовите плащания отчитат наличието на такава тенденция и у нас. Потенциалните финансови загуби за банките в страната следва да бъдат стимул за по-бързото изпълнение на проекти за преход към Новия стандарт.Съществена част от превенцията на измами при картовите транзакции представляват системите за следене за злоупотреби и анализ и управление на риска. От началото на 2004 г. националният картов оператор БОРИКА предлага на търговските банки системата за мониторинг на съмнителни картови транзакции Aristion. Към момента тя се използва от 9 банкови институции (Райфайзенбанк, Сосиете Женерал Експресбанк, УниКредит Булбанк, Централна Кооперативна Банка, Юробанк И Еф Джи, МКБ Юнионбанк, ПроКредит Банк, Първа Инвестиционна Банка и Токуда Банк). Системи за наблюдение на картови транзакции се използват и от банките, които разполагат със собствени авторизационни центрове извън системата на БОРИКА като Банка ДСК и Обединена Българска Банка. В условията на неприключил преход към EMV в България те имат съществен принос в борбата със злоупотребите, поради което е препоръчително да се превърнат в задължителен софтуерен елемент от картовата инфраструктура на всяка банка. Допълнителна защита може да се предостави и чрез оборудване на банкоматите с антискимиращи устройства, които имат за цел предотвратяване на скимирането на данните от магнитните ленти на картите.Като мярка за превенция на картовите измами и повишаване на сигурността на плащанията с карти българските банки предлагат услуга уведомяване с SMS на картодържателя за извършена транзакция с банкова карта. Изпратената на клиента информация най-често включва дата и час на операцията, точна сума и валута, място на извършване и пр. Проучванията в сайтовете на търговските ни банки показват, че повече от една трета от тях разчитат клиентите им да се възползват от подобна услуга с цел намаляване на злоупотребите с карти (вж. табл. 2).

Предприети и предстоящи мерки

По повод на защитата от  картовите измами е необходимо да се активизира дейността на Българската асоциация за сигурност при картовите разплащания (БАСКР), която би могла успешно да координира действията на всички заинтересовани институции в борбата с картовите измами (търговски банки, БНБ, картовия оператор БОРИКА, онлайн търговци, системи за електронни разплащания и пр.), както и да води статистика относно броя и стойността им. Създаването на база от данни за случаите на картови злоупотреби у нас би било в синхрон с намеренията на европейските институции за създаване на такава в рамките на цялата Еврозона. Асоциацията би могла да предприема законодателни инициативи по отношение защитата на електронните платежни инструменти, като например въвеждане на изискване търговските банки да уведомяват централната банка за случаи на картови измами.

Постигането на съгласие в ЕС за успешно защитаване чрез EMV на картово наличните плащания превръща картово безналичните транзакции в Интернет в прицел за злоупотреби. Този факт, заедно с нарастването на техния обем в световен и европейски мащаб (включително и за България, при това с много бързи темпове), поставя като изключително съществен и неотложен проблем постигането на съгласуваност между страните-членки в превенцията на свързаните с тях измами. Основното затруднение при безналичните картови плащания в он-лайн търговията е сигурното удостоверяване на самоличността на потребителите, което изисква да се предприемат общи стъпки за въвеждане на задължителна двуфакторна автентификация на клиентите. Това ще допринесе за намаляване на кражбите на самоличност и картовите злоупотреби.

Процесите по предлагане на сигурна електронна търговия, базирана на използването на стандарта 3-D Secure, са в твърде начален етап както в Европейския съюз, а още повече у нас. УниКредит Булбанк е търговската банка, която първа получава разрешение от Visa International, да акцептира плащания с карти през Интернет чрез БОРИКА, посредством “Verified by Visa”. От октомври 2006 г. банката предлага на онлайн търговците възможността да поддържат 3-D Secure в своите електронни магазини. Като начало към технологията за сигурни плащания се включват четири пилотни сайта за търговия. Тази технология към момента се предлага още от Райфайзенбанк и Първа инвестиционна банка, а Централна Кооперативна Банка е в процес на сертификация. Същите банки се сертифицират и за "Secure Code" на MasterCard. УниКредит Булбанк започва проект за сертифициране по тези програми и в частта издаване на карти.

Фактът, че при електронната търговия към момента защитата е на най-ниско ниво, поставя като актуален въпрос необходимостта от разширяване предлагането от банките и търговците в Интернет на 3-D технологията за защита, с което се гарантира запазването на тенденцията за нарастването и.

Въвеждането на надеждни технологии за защита не е достатъчна гаранция за сигурност на картовите плащания. Целесъобразно е българските банки да работят по-активно за създаване на осведоменост у потребителите за опасностите, свързани с картовите плащания, риска да станат жертва на измама или кражба на самоличност и предприетите мерки за сигурност. Участието на потребителите за предотвратяване на злоупотребите е изключително важно и тяхната роля не бива да се подценява. Ето защо отговорността за загубите в резултат на неавторизирани платежни транзакции, включена в европейската правна рамка чрез Директивата за платежните услуги, е поделена между банковите клиенти и доставчиците на услугите. В директивата е предвидено потребителят да отговаря за загуби, настъпили в периода преди уведомяване на доставчика, в размер на не повече от 150 евро, при условие, че не е действал небрежно. Тази разпоредба и към момента е действаща в българското законодателство чрез текста на чл. 33, ал.1 от Закона за паричните преводи, електронните платежни инструменти и платежните системи. Според нея “оправомощеният държател понася вредите от неправомерното използване само до размера, посочен в договора между издателя и държателя, като този размер не може да надхвърля 400 лв. „

Извънредно важно е потребителите да са наясно с новитетехнологични разработки и възможности за защита (например относно съществените предимства при използването на чип карти в сравнение с тези с магнитна лента), да са информирани за нивото на сигурност с огледнарастване на тяхното доверие. На търговците е необходимо да се предложат обучаващи програми относно видовете измами, обучение относно новите процеси и технологии за кражби, разпознаване на фалшифицирани карти, включително и в онлайн търговията и пр.

Основното предизвикателство пред българската банкова общност в близка перспектива е присъединяването към Единната европейска платежна зона. В идеологията за успешно изграждане на SEPA борбата с картовите измами се разглежда като решаваща и приоритетна. Предстоящото присъединяване на България към зоната задължително изисква изпълняване на определени изисквания, между които е и приключването на миграцията към EMV. Според очакванията влизането ни в зоната ще се реализира след 2010 г., но въпреки това сроковете са близки и българските кредитни институции следва да се съобразят с необходимостта от ускоряване на процесите.

        Съвети към клиентите използващи кредитни и дебитни карти

1. Да се свържат веднага с банката - издател на картата, при съмнения за злоупотреба с нея, загубване, кражба, блокиране на картата или необичайно движение на средства по нея.

2. Да не съобщават своя ПИН код на никого. Да го запомнят наизуст, без да съхраняват запис за него, особено на място, където държат и картата си.

3. Да променят периодично ПИН кода си, особено при съмнения, че картата може да е станала обект на злоупотреба или че кодът може да е научен от друго лице.
4. Да прикриват с ръка клавиатурата на банкомата, когато въвеждат ПИН кода си.
5. Преди транзакция на банкомат да огледат дали на отвора за карта на машината не е прикрепено допълнително устройство и дали няма нещо друго съмнително, оглежадането на банкомата става изключително лесно по него не трябва да има места които да могат да бъдат премахнати с ръце тъй като на самото устройство има само фабрични дупки за поставяне на картата, ако  видите нещо което не е наред не използвайте устройството , обадете се на телефона изписан на банкомата и уведумете банката чийто е банкомата

6. Да не изпускат от поглед картата си при плащания в търговски обекти, ресторанти и др. Най-добре е плащанията с нея да стават пред очите им.

7. Да проверяват по-често наличността и движението на средствата по картата им; удобен начин за това е интернет банкирането, което често е безплатно.
8. Да ползват услугата SMS известяване, при която за всяка транзакция с картата получават уведомление за датата, часа и сумата.

9. Когато използват картата си в интернет, да изчитат внимателно условията на съответния сайт, преди да въведат информация за кредитната си карта като номер и срок на валидност, да проверяват дали сайтът е защитен.

10. Да предоставят на банката - издател на картата, актуални телефони за контакт, защото при необходимост тя трябва да се свърже с клиента.

        Последователното предприемане на мерки и реализиране на мероприятия за предотвратяване на картовите измами е въпрос от ключово значение, определящ бъдещето на банковите карти като електронен платежен инструмент. Тези мерки са важни за осигуряване на благоприятна среда и възходящото развитие на картовия пазар. От тях зависи доверието на потребителите и възприемането на картите като удобно и сигурно средство за безналични плащания в реалния свят и в Интернет. Активното участие на картовата индустрия, търговците, централнaтa банкa и не на последно място на картодържателите в този аспект е с изключителна важност. Предстоящите предизвикателства във връзка с реализирането на проекта SEPA са сериозен стимул за решителни действия в тази насока.

Skimming

Скимиране - процес, при който истинските данни от магнитната лента на картата се копират електронно и след това се записват върху върху друга карта дубликат. Скимирането може да се извърши на банкомати, към които е прикачено скимиращо устройство и миникамера за записване на ПИН-кода, а също така и на ПОС устройства в магазини, заведения за хранене, хотели, бензиностанции и пр.

Phishing

С phishing се обозначава способът чрез фалшиви е-mail съобщения или уеб сайтове да се придобиват лични данни за кредитни карти или банкови сметки. Измамата включва получаване от потребителите на фалшив е-mail, в който се твърди, че е от тяхната банка или от популярни сайтове като eBay, Amazon и др. В него те се приканват да актуализират чувствителни данни като номера на кредитни карти, ПИН код, лични идентификационни номера, кодове за потвърждение на истинността на картите, като кликнат на линк, който обаче ги насочва към фалшив сайт, наподобяващ истинския сайт на банката или сайта за търговия.

Източници :

Статия на д-р Силвия Парушева : „Предотвратяване на измамите с банкови карти – технологии и подходи”

 Презентацията на Димитър Цолов, началник на сектор “ИТ” в Дирекция ”Противодействие на организираната и тежката престъпност” при Главна дирекция ”Криминална полиция” на Министерство на вътрешните работи в рамките на 7-ма национална конференция “Информационна сигурност и системи за съхранение на данни”.

 http://comitex.net/index.php?nAction=100070&nServiceCategoryID=7