FinCERT, подразделение Банка России, отвечающее за кибербезопасность, отметило резкий всплеск хищений средств с карт физических лиц в 2018 году. Общая сумма составила 1,4 млрд руб., это в 1,4 раза больше показателя 2017 года, пишет «Коммерсантъ». Треть хищений произошла в четвертый квартал, 97% атак были проведены с использованием социальной инженерии.

В 2019 году тенденция еще более усиливается. По словам экспертов, поиск данных по конкретному человеку доступен на черном рынке, где за небольшие деньги можно по номеру телефона или полному имени владельца карты получить информацию об остатках на его счетах или переводах.

В Банке России считают, что операторы связи обладают техническими возможностями решить проблему мошенничеств через поддельные номера, но вопрос финансирования такой работы не разрешен.

Эксперты советуют ни при каких условиях не называть кому-либо CVV2 с обратной стороны карты, а также кодовое слово или пароль из СМС. Если назвать мошенникам свои данные, потерянные средства банк, поскольку получается, что клиент нарушил правила обращения с электронным средством платежа.

Регуляторы всех стран в ближайшее время должны сформулировать требования к стресс-тестированию банковских систем к киберугрозам, передает слова зампреда Банка России Василия Поздышева «Коммерсантъ». Требования к стресс-тестированию планируется сделать частью требований к системе управления операционным риском, разработка которой сейчас ведется.

В настоящее время в поправках к положению Банка России №382-П уже имеются требования к ежегодному проведению пентестов. Разница между пентестом и стресс-тестом заключается в том, что первый — способ контроля несанкционированного проникновения в систему, а второй — проверка системы на способность работать при активном противодействии.

Эксперты пока не могут оценить плюсы и минусы возможного нововведения, для этого пока мало информации. Наиболее важным условием успеха является подход регулятора к методикам и инструментарию стресс-тестирования для облегчения реализации требований, считают они. Если все будет хорошо продумано и разработано, исполнение новых правил не станет формальным.

Банк России намерен признать потери клиентов банков от атак хакеров и мошенников, использующих социальную инженерию, к операционным рискам, пишет «Коммерсантъ». Регулятор будет «накапливать статистику, классифицировать клиентские потери, анализировать их и требовать от банков устанавливать лимиты допустимых потерь». В случае превышения границы ЦБ будет «настаивать, чтобы банк принимал меры».

Эксперты с опаской относятся к инициативе Банка России и видят в идее больше популизма, чем реальной возможности повлиять на операционные банков. Кроме того, если клиент сам совершил операцию, пусть и при использовании против него социальной инженерии, то в отчетность этот случай включается только при обращении клиента в банк и в правоохранительные органы. Всего 4% граждан подают такие заявления.

Самым распространенным видом кибермошенничества — более 80% случаев — в 2018 году стала социальная инженерия – метод получения доступа к информации, основанный на психологии людей, показали результаты исследования Сбербанка. Например, клиент размещает объявление на сайте, от потенциального «покупателя» совершается звонок, в ходе которого клиент сам сообщает ему реквизиты своей банковской карты, зачастую даже предоставляя СМС-пароли для того, чтобы злоумышленник мог совершить все операции от имени клиента.

В дополнительном сборе характеристик операционного риска есть предел разумной целесообразности, за которым этот сбор только усложняет процесс, не принося дополнительной пользы. Поэтому важно соблюдать баланс между защитой и требованиями, заключили эксперты.

Альянс Terra, объединяющий ряд игроков рынка электронной коммерции из нескольких азиатских стран, собирается подать заявку для попадания на регулятивную площадку Банка России, сообщает РБК. Как подтвердили агентству в Российской ассоциации криптоиндустрии и блокчейна (РАКИБ), в организации, ставя своей целью снижение зависимости бизнеса от международных платежных систем, подобных Visa, MasterCard, PayPal и других, готовят альтернативу, которая позволит расширить присутствие отечественных компаний из сферы электронной коммерции на мировых рынках.

Объединение частично работает через систему электронных денег с использованием криптовалюты Terra, цена которой привязана к корзине, в которую входят пять «обычных» валют: доллар, евро, китайский юань, японская иена и фунт стерлингов. Это позволяет интернет-магазинам вести свою монетарную политику, каждый покупатель получает скидку или кэшбек до 10%, в результате чего происходит замена глобальных платежных платформ, а комиссия для любого магазина, который использует эту систему, составляет 0,5%, хотя обычно в среднем этот показатель варьируется от 1% до 5-7%.

«Проект Terra предусматривает использование криптовалюты, как гарантии обязательств, обеспечения покрытия внутренней электронной валюты, именно поэтому проекту требуется резолюция ЦБ. Российский оборот интернет-торговли сегодня составляет порядка 14,9 млрд долл. Согласно оценке РАКИБ, составленной совместно с компанией Terra, снижение комиссионных, выплачиваемых интернет-магазинами платежным посредникам, до показателя 0,5% за транзакцию, даст возможность компаниям российской электронной торговли сэкономить до 22 млрд руб. в год», — цитирует главу РАКИБ Юрия Припачкина РБК.

Если проект успешно пройдет регулятивную площадку ЦБ и заработает в наше стране на легальных основаниях, то правительство может изменить подход к регулированию рынка цифровых денег. Сейчас правительство рассматривает вариант создания специальных зон, в которых цифровые деньги будут регулироваться более лояльно.

28 января Банк России запустил систему быстрых платежей, передает РБК. Для того чтобы воспользоваться ею, клиент банка сначала должен одобрить привязку своего номера телефона к номеру карты или счета в онлайн-банке. Далее этот номер появляется в системах других банков. Пока финансовые организации предоставляют услугу не всем клиентам, а только представителям фокус-групп.

На первом этапе к системе подключатся 11 банков, среди которых ВТБ, Альфа-банк, «Тинькофф Банк», Газпромбанк, Промсвязьбанк и «Райффайзенбанк». Со временем Банк России подключит еще 40 банков. Первый год быстрые платежи будет проводиться без комиссии для банков, с 2020 года сбор составит от одного до шести руб.

В ВТБ рассказали, что пока нельзя перевести больше 100 тыс. руб. за один раз и 300 тыс. руб. за сутки. Для всех клиентов система запустится 28 февраля.

Ряд брокерских компаний подготовил Банку России материалы по сайтам, распространяющим о них недостоверную и порочащую информацию, сообщает «Коммерсантъ». Фальшивые страницы содержат отрицательные оценки настоящих компаний. Мошенники собирают базу электронных адресов недовольных клиентов для продажи альтернативного проекта или занимаются вымогательством, предлагая администрации сайта заплатить за удаление негативного контента несколько миллионов рублей.

Доменные имена мошеннических ресурсов почти полностью совпадают с доменными именами официальных сайтов брокеров. Как правило, такие сайты имеют очень высокие позиции в выдаче поисковых ресурсов. Им сложно противодействовать, говорят эксперты, поскольку по формальным критериям нарушения законодательства нет.

Компании считают, что защита от черного пиара – задача Банка России. Именно регулятор создал повышенные требования к деятельности брокеров, поэтому он и должен предоставить гарантии безопасности. Бизнес предлагает внести в законодательство изменения, позволяющие ЦБ до суда блокировать такого рода ресурсы.

Банк России стал работать над методическими рекомендациями по обеспечению регуляторных и организационно-технических мер по предупреждению мошенничества с биометрическими данными, пишет «Коммерсантъ». Меры призваны уменьшить риск «подмены личности».

Единая биометрическая система была запущена в России 1 июля 2018 года, с ее помощью россияне могут открывать счета в банках, брать кредиты и переводить деньги, не посещая отделения. Пользователи могут сдать в одном из банков свои биометрические данные (изображение лица и образец голоса), а затем использовать их для удалённой идентификации в других банках. В ноябре Банк России указал ФСБ на невозможность в полном объеме выполнить требования службы по защите собираемых банками биометрических персональных данных граждан.

С предложениями по минимизации ситуаций утечки конфиденциальной информации НП «Национальный платежный совет» еще в конце весны 2018 года. Так, НПС предложил определить порядок использования биометрии в случае их компрометации, в том числе и самим владельцем.

По информации издания, инициативу НПС поддерживает ФАС. В ведомстве считают, что риск получение кредитов с помощью чужой биометрии нужно учитывать и свести к минимуму.

В Госдуму внесен законопроект, ужесточающий контроль за деятельностью в России иностранных платежных систем (MoneyGram, Intel Express) и электронных платежных сервисов (AliPay, WeChat и других), пишет РБК.

Иностранным поставщикам платежных услуг, или электронным кошелькам, запретят оказывать россиянам услуги по переводу денежных средств, а российским банкам — обеспечивать такие переводы. Такие кошельки смогут работать на территории России только со своими клиентами-нерезидентами, следует из законопроекта.

Документ также обязывает иностранные платежные системы, не имеющие зарегистрированного в России оператора, открыть в стране представительство и согласовывать правила работы с ЦБ.

Законопроект вводит в законодательство новое понятие — «иностранные поставщики платежных услуг». Это зарубежная организация, имеющая право оказывать услуги по переводу денежных средств в соответствии с законодательством государства, на территории которого она зарегистрирована. Под это определение, в частности, попадают китайские электронные кошельки WeChat и AliPay.

Поправки к закону о Национальной платежной системе вводят прямой запрет на оказание такими сервисами услуг гражданам России. Кроме того, российские банки смогут запрашивать у них информацию для соблюдения законодательства о противодействии отмыванию доходов, а ЦБ — получать от банков документы и «иную необходимую информацию» о взаимодействии с электронными кошельками. В обычном случае банки будут работать с иностранными поставщиками платежных услуг по договорам (подлежат предоставлению в ЦБ), но если и банк, и кошелек являются участниками одной платежной системы, то переводы нерезидентам могут осуществляться без договора.

Законопроект также ужесточает требования к деятельности иностранных платежных систем и вводит более широкое определение этого понятия.

Под иностранной платежной системой предлагается понимать «совокупность организаций, взаимодействующих в целях осуществления трансграничных переводов денежных средств» (раньше этой фразы в определении не было). В отличие от электронных кошельков у такой системы есть оператор и банки-участники, которые придерживаются правил системы, составленных в соответствии с законодательством другого государства.

Visa, MasterCard, American Express, китайская UnionPay или японская JCB под ужесточение законодательства не попадают — у них есть зарегистрированные в России компании-операторы, которые включены в Реестр операторов платежных систем Банка России, уточняет издание.

В ходе «SOC-Форума 2018», организаторами которого в этом году стали ФСБ и ФСТЭК России, компания «Ростелеком-Solar» сообщила о вводе в действие нового аналитического центра по кибербезопасности и представила основные положения отчета о кибератаках на отечественные организации, произошедших в первой половине 2018 года.

Компания «Ростелеком-Solar» была сформирована «Ростелекомом» после покупки в мае 2018-го Solar Security, «дочки» «Инфосистем Джет» (см. «‘Ростелеком’ приобрел Solar Security для создания национального провайдера кибербезопасности», Computerworld Россия, 30 мая 2018).

Как заявил Игорь Ляпунов, ее генеральный директор, новый аналитический центр, расположенный в здании Центрального телеграфа, призван осуществлять круглосуточный анализ ситуации в области киберугроз и выявлять тенденции их развития. По его словам, в Solar всегда уделяли большое внимание аналитике, а с началом работы в рамках «Ростелекома», инфраструктура которого охватывает значительную территорию нашей страны, появилась возможность заметно расширить географию исследований в области информационной безопасности.

Данные же отчета о кибератаках основаны на результатах работы Solar JSOC, центра мониторинга инцидентов в области информационной безопасности и реагирования на кибератаки, в котором зафиксировали в первой половине 2018 года 360 тыс. компьютерных атак. Это почти вдвое больше, чем за тот же период прошлого года.

Характерной особенностью российского ландшафта информационной безопасности становится интерес злоумышленников не только к вымогательству денег, но и к получению контроля над ИТ-инфраструктурой: число кибератак такого рода увеличилось примерно в полтора раза.

Подобные атаки, по словам Ляпунова, характеризуются медленным, порой многомесячным проникновением в инфраструктуру, использованием сложных инструментов, включая бесфайловые вредоносы и работающие в оперативной памяти приложения, тщательным удалением всех возможных следов внешних воздействий. Все эти ухищрения весьма затрудняют обнаружение действий злоумышленников, выявление которых становится возможным главным образом на основе анализа аномального поведения сетевых и ИТ-компонентов инфраструктуры предприятий.

Интерес к проникновению в инфраструктуру стимулируется в том числе появлением значительного пласта политически мотивированных атак, полагают аналитики.

Атаки, связанные с выводом денежных средств, также продолжались, их рост составил 10%, но успешность снизилась. Так, по данным ЦБ, в течение восьми месяцев 2018-го потери российских банков от целевых атак уменьшились в 14 раз по сравнению с предыдущим годом.

Этому способствует, по мнению экспертов, не только улучшение защиты информационных систем банков, но и повышение эффективности информационного обмена, осуществляемого в рамках деятельности Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (FinCERT) в составе Главного управления безопасности и защиты информации ЦБ.

Авторы отчета подчеркивают, что кибератаки становятся все более профессиональными, хорошо организованными и массовыми. Об этом свидетельствуют в том числе данные Solar JSOC о еженедельном появлении пяти-шести новых инструментов организации атак. Для их разработки применяются «легитимные элементы операционной среды, популярные средства удаленного администрирования или управления операционными системами».

Стоимость таких инструментов и их эффективность постоянно растут, для защищающейся стороны чрезвычайно важно актуализировать знания об их возможностях, чтобы повысить уровень защиты, подчеркнул Ляпунов.

Почти каждый пятый инцидент, зафиксированный за период исследования, в Solar JSOC отнесли к критичным. Такие инциденты, поясняют они, способны привести к значительным финансовым потерям, превышающим миллионы рублей, компрометации конфиденциальных данных, прерыванию работы критически важных ИТ-систем и бизнес-процессов.

Доля подобных инцидентов увеличивается: в течение первого полугодия 2018-го, 2017-го и 2016 годов она составила соответственно почти 19%, немногим более 17% и около 11%. Возможная причина роста — повышение интенсивности массовых и целенаправленных атак.

В то же время становится заметной тенденция уменьшения таких «хулиганских» действий и актов вандализма, как дефейс (то есть подмена страниц веб-сайтов), компрометация публичных сайтов, уничтожение и искажение данных. По сравнению с первым полугодием 2017-го их число уменьшилось на 45%.

Авторы отчета подчеркивают, что сложные внешние кибератаки начинались чаще, чем раньше, с внедрения вредоносного кода в инфраструктуру компании средствами социальной инженерии. Они считают, что именно фишинг, который становится весьма маржинальным бизнесом, служит сегодня одной из наиболее действенных угроз информационной безопасности организаций. Доля таких атак возросла с 62% в прошлом до 71% в 2018 году.

Виновниками же внутренних атак – утечек данных и компрометации учетных записей — в 60,5% случаев стали рядовые сотрудники предприятий, а в 28% ИТ-администраторы. Поэтому становится особенно важным повышение осведомленности персонала о возможных киберугрозах и доступных средствах противодействия им.

«Профессионализм и квалификация киберпреступников стремительно растут, меняются цели, которые они преследуют. Всесторонняя аналитика, технологии Threat Intelligence, исследование ландшафта угроз в различных регионах России и секторах экономики, от корпораций до небольших предприятий, повысят эффективность борьбы с киберугрозами», — подчеркнул Ляпунов.

Сейчас нет необходимого рынку отечественного криптографического оборудования, которое может обеспечить защиту собранных у граждан биометрических данных по классу КВ. Именно такой класс защиты — на уровне гостайны — определен приказом ФСБ №378, пишет «КоммерсантЪ» со ссылкой на первого заместителя главы департамента информационной безопасности ЦБ Артема Сычева.

Банкиры подтверждают, что выполнить требования ФСБ не могут: чтобы шифровать направляемые в единую биометрическую систему собранные образы, необходимо интегрировать в системы специальное оборудование (HSM-модуль), а после этого получить ключи сертификатов электронной подписи класса КВ. Ключи класса КВ выпускает только ФГБУ НИИ «Восход», а порядок выдачи ключей утвердили лишь в середине октября. Как сообщили в «Ростелекоме», «Восход» обладает нужным количеством ключей. Однако методики корректного встраивания HSM нет, после интеграции модуля нужно получить заключение ФСБ. Но без методики получить заключение ФСБ нереально. По данным «Ростелекома», внедрение HSM идет в 26 банках, но нигде не закончено.

ЦБ готов предложить банкам несколько вариантов решений по информационной безопасности при сборе биометрии. Как пояснил Сычев, в настоящее время есть стандартизированное решение, которое отвечает требованиям информационной безопасности для подключения к ЕБС. Банк России совместно с ФСБ также проработал вариант облачного решения и типового решения по подключению банков к ЕБС с выполнением всех необходимых требований. По словам Сычева, вариант облачного и типового решения по подключению банков к ЕБС является дополнительным и разрабатывается в целях снижения издержек банков. Выполнить требования по информационной безопасности банки должны к концу 2019 года.

Но по словам собеседников издания в банках, уже работающих по стандартному решению, шифрования по классу КВ нет. Типовое решение «Ростелекома», по которому коммерческое предложение было направлено банкам, еще не сертифицировано. Облачное решение и вовсе находится на стадии проработки.

Банки готовы выполнить требования ФСБ, когда появится хоть одно полноценное решение. Впрочем, санкции от силовиков участникам рынка не грозят – согласовывать все вопросы с ФСБ придется регулятору, иначе сбор данных просто остановится, отмечают эксперты.