Почему непрерывно растут потери от киберпреступников и что с этим делать, пытались разобраться на панельной дискуссии «Эволюция щита и меча», состоявшейся в рамках международного форума Antifraud Russia 2017 по борьбе с мошенничеством в сфере высоких технологий. Однако в ходе дискуссии сложилось впечатление, что большинство участников оправдывались и кивали друг на друга. Одни сетовали на пассивность силовых структур, другие – на безответственность банков, третьи – на безграмотность граждан, и все вместе – на законодательство.

«Для нас технические вопросы перестали быть проблемой. Мы научились бороться с вирусами, хакерами и предотвращаем попытки мошенничества с высокой эффективностью. Сейчас основную опасность представляет социальная инженерия, на которую приходится 80% всех атак на клиентов», — заявил Сергей Лебедь, глава службы кибербезопасности Сбербанка. По его данным, за 2016 год в МВД зарегистрировано 60 тыс. киберпреступлений. Однако подавляющее число преступников остаются безнаказанными. Только 19% дел было направлено в суд, и 45% из этих дел развалились уже в суде по различным причинам.

За год в «черных списках» Сбербанка накапливается около 50 тыс. записей по мошенникам, но эта информация не востребована правоохранительной системой. «Ситуация парадоксальная: мы знаем мошенников и номера их телефонов, а операторы связи – личности владельцев телефонов и их местоположение, и даже видят в своих каналах банковские трояны. Но все попытки передать информацию, которая имеется в огромном количестве, не находят понимания», — подчеркнул Лебедь. По его мнению, проблема в том, что МВД отказывается заниматься профилактикой преступлений.

«Мы оказываемся на месте преступления, когда в стене безопасности зияет огромная дыра, и наша задача – найти пушку и тех, кто из нее выстрелил. А вот для укрепления стены надо действовать вместе, и эффективность зависит от обмена информацией, но делиться ею желают далеко не все», — принял эстафету Александр Вураско, заместитель начальника отдела БСТМ МВД России. К сожалению, расследование даже самых банальных преступлений в сфере ИТ – гораздо более сложный и долгий процесс, чем их совершение.

Как отметил Вураско, масштабные атаки шифровальщиков стали возможными благодаря революции в способах распространения троянов. Следует обратить внимание на популярность концепции «преступление как сервис» (Crime as a Service), активное развитие которой привлекает в преступный бизнес огромное количество неподготовленных людей. Любой человек может приобрести в Интернете готовый инструментарий, позволяющий совершать технически сложные преступления. Трояны для банкоматов продаются с видеоинструкцией по использованию, и стоят они около 5 тыс. долл. – вполне подъемную сумму. А если кто-то хочет совершить атаку на мобильные устройства, ему не нужно задумываться о том, как технически это реализовать, — можно арендовать ботнет с «дружественным» интерфейсом. Не меньшую проблему составляет использование злоумышленниками социальной инженерии. Затраты минимальны, охват жертв – колоссален.

«Оператор связи может делать очень многое. К сожалению, когда мы продумываем свои мероприятия по борьбе с преступниками и защите клиентов, приходится думать еще и о том, чтобы нас за это в лучшем случае не уволили, а в худшем – не посадили», — высказался Сергей Хренов, руководитель департамента по гарантированию доходов и управлению фродом «МегаФона». Оператор связи может легко блокировать серверы управления клиентской программой, обезвредив все трояны, но не имеет права делать этого: над ним висит дамоклов меч лишения лицензии. Он может делать очень интересные алгоритмы блокировок мошеннических SMS-рассылок, но не имеет права обращаться к текстам сообщений: статья 138 УК РФ предусматривает ответственность за разглашение тайны связи. Есть много нюансов, которые требуется урегулировать на законодательном уровне.

«Не имея официальных рычагов, мы вынуждены договариваться с банками. Хорошее взаимодействие – одно из следствий плохого законодательства», — резюмировал Хренов.

Защищают не тех?

Как отметил Василий Окулесский, независимый эксперт в области информационной безопасности, значительная часть проблем являются следствием методологического противоречия. Говоря о борьбе с мошенничеством, все подразумевают защиту интересов банков, тогда как атаки проводятся на их клиентов. Пока разрыв будет сохраняться, пока сам объект атаки не защищен, социальная инженерия будет процветать.

«Мы пытаемся решить сверхзадачу: защитить от мошенничества тех, кто защищаться не хочет. Банки должны работать с клиентами, защищая их, но хотят ли клиенты знать то, что до них хотят донести?», — задался вопросом Алексей Сизов, руководитель направления противодействия мошенничеству компании «Инфосистемы Джет». Большинство людей просто не знают, как устроен процессинг операций по банковским картам, не понимают смысл оказываемых им услуг и их работу на техническом уровне. В результате клиенты банков, вооруженные теми или иными платежными инструментами, выглядят примерно так же, как человек, который сложил все свои сбережения в прозрачный полиэтиленовый пакет и вышел с ним на улицу, при этом время от времени оставляя его без присмотра на скамейке. К сожалению, ни в одном банковском договоре вместе с описанием услуг не указывается список соответствующих рисков.

На европейских рынках ситуация радикально меняется – ожидается вступление в силу GDPR, общего регламента защиты персональных данных в странах ЕС, предусматривающего жесточайшие штрафы за его нарушения. На Западе уже пришли к осознанию совершенно другой ценности персональных данных, и наши законодатели будут вынуждены на это отреагировать. К осени 2018 года 152-ФЗ «О персональных данных», скорее всего, сильно изменится.

«Глазок» видеокамеры уже стал привычной частью городского пейзажа. Не всем это нравится, но бессмысленно отрицать, что тысячи камер, размещенные на улицах, в домах, торговых центрах и других местах, могут не только стать свидетелями совершённого преступления, но и предотвратить его. Записи с камер видеонаблюдения все чаще и чаще становятся одной из важнейших улик в полицейских расследованиях. О том, как это происходит, рассказал Computerworld Россия старший эксперт экспертно-криминалистического центра МВД России Денис Михайлов.

— Расскажите, пожалуйста, чем занимается ваш отдел.

В нашем отделе осуществляются фототехнические, видеотехнические и портретные экспертизы. Непосредственно видеозапись при перечисленных видах экспертиз может выступать и как объект исследования, и как носитель этих объектов. Например, при производстве фототехнической экспертизы по видеозаписи выявляются различного рода характеристики объектов и проводится их сравнение. В случае портретной экспертизы такая видеозапись должна содержать изображения внешнего облика отождествляемого лица. А задача видеотехнической экспертизы, на которой специализируюсь я, — выявить признаки модификации видеозаписи, определить среднюю скорость проезжающего в поле зрения видеокамеры автомобиля, внести изменения в структуру записи, выявить признаки межкадрового или внутрикадрового монтажа. Выявленные признаки означают, что с записи могло быть вырезано какое-либо событие, а оставшиеся кадры потом склеены или внутри кадра видеозаписи был удален какой-либо предмет или человек, который там находился.

- И такое часто бывает?

Да, все чаще и чаще.

- В своей работе вы используете собственные разработки или предпочитаете продукты, представленные на рынке?

Отчасти это наши программные продукты, а отчасти – специализированные. Выбор программы, с помощью которой будет проведена экспертиза, зависит от поставленных задач. Например, мы часто имеем дело с носителями данных, содержащими потоковую видеозапись, которая была частично перезаписана и требуется «восстановить» ее. Это можно сделать по оставшимся так называемым хвостам. Самое главное — обладать нужными умениями и квалификацией, а выбор «инструмента» зависит от специфики объекта исследования.

- Вы работаете с тем, что есть, не предъявляя каких-либо входных требований к качеству видеозаписи?

Да, совершенно верно. Все-таки мы эксперты, то есть специалисты в определенной области знаний, и должны уметь работать с объектами любого качества, чтобы получить достоверную информацию, необходимую для расследования и раскрытия преступлений.

- Насколько мне известно, в Москве, да и в других регионах, поставлена задача создать единые системы видеонаблюдения, «накрывающие» город целиком. Часто ли вы используете данные с видеокамер этих систем или все-таки чаще получаете записи с «частных» камер?

Мы не ведем статистику, с каких именно систем видеорегистрации поступают видеозаписи. Нам поступает очень много материала. Зачастую это видеозаписи одного и того же места происшествия, зафиксированного с разных точек. Поэтому вопрос о том, с какой системы видеорегистрации представлена видеозапись, не имеет принципиального значения. Она даже может быть с автомобильного видеорегистратора. Есть видеозапись — мы с ней работаем.

- Если взять все видеозаписи, с которыми вы имеете дело, можно ли выделить какие-то общие качественные параметры, определить реальный уровень, на котором сейчас находится видеонаблюдение в России? Например, разрешение у видеокамер уже преимущественно HD, картинка чаще цветная, чем черно-белая и т. д.

По нашему опыту технические характеристики систем видеорегистрации зависят от региона. Если мы говорим о Москве или Татарстане, то здесь в большинстве случаев мы имеем дело с качественными видеозаписями.

Все зависит от того, насколько владелец системы видеорегистрации заботится о личной безопасности, безопасности имущества и т. д. Понятно, что системы с высокими характеристиками стоят недешево. Следовательно, чем лучше оборудование, тем качественнее видеозапись, а это напрямую сказывается на результате исследования или экспертизы.

- Так как все-таки обстоят дела с видеонаблюдением в России — скорее плохо или все-таки хорошо?

Прежде чем ответить на этот вопрос, нужно сказать, что специалисты разделяют системы видеонаблюдения на две составляющие: собственно видеонаблюдение и видеорегистрацию. Задача видеонаблюдения — непосредственное наблюдение за объектом в режиме реального времени и оперативное реагирование на происшествие. При видеорегистрации происходит фиксирование происшествия, включающее кодирование, запись и воспроизведение, с целью возможного дальнейшего распознавания или идентификации личности или предметов. Таким образом, если говорить о видеонаблюдении, то в целом ситуация неплохая. А что касается идентификации объектов, то в ряде случаев провести ее не представляется возможным из-за плохого качества видеозаписи.

- Есть ли область преступлений, с который вы сталкиваетесь чаще всего? Может быть, ограбления банков или махинации с банкоматами, ведь там наличие видеокамер является фактически обязательным?

Мы проводим экспертизу в связи с самыми разными преступлениями. Видеокамеры, установленные в банках, не основной источник видеозаписей для нас. Сейчас системы видеонаблюдения и видеорегистрации устанавливаются с самыми разными целями. Например, на остановках общественного транспорта для наблюдения за его движением по расписанию. Такие видеозаписи могут оказаться полезными для идентификации пассажира или прохожего, определения номера проезжающего мимо автомобиля и т. д.

Российское министерство внутренних дел готово выделить 3,9 млн руб. на разработку метода идентификации пользователей в сети Tor.

Программное обеспечение Tor делает возможным анонимное прохождение трафика Интернета благодаря его шифрованию и пропусканию по случайному маршруту через несколько промежуточных звеньев. Таким образом, при потенциальном перехвате трафика инициировать его отправителя и получателя фактически невозможно. Первоначально программное обеспечение разрабатывалось в рамках проекта исследовательской лаборатории Военно-морского флота США, сейчас же оно поддерживается некоммерческой организацией The Tor Project.

Сеть Tor пользуется популярностью у журналистов, политических активистов и тех пользователей, которым важна конфиденциальность. В то же время криминальные элементы могут использовать ее для сокрытия следов своей противоправной деятельности.

Научно-производственное объединение «Специальная техника и связь», созданное при МВД России, ищет подрядчика на проведение исследований по разработке методов сбора технической информации о пользователях и их оборудовании в анонимной сети Tor.

В чем заключается смысл борьбы с анонимностью в сети Tor, пока неясно, но, поскольку инициатива исходит от министерства внутренних дел, резонно предположить, что борьба эта будет вестись в интересах правоохранительных органов.

ФБР и полиции ряда стран ранее уже удавалось пресекать деятельность противозаконных сайтов в сети Tor и даже выявлять некоторых их владельцев и посетителей. Однако в большинстве случаев правоохранительные органы используют уязвимости, имеющиеся на этих сайтах, изучая цифровые следы, оставленные их администраторами.

Согласно прошлогодним отчетам, в основе которых лежат секретные документы, преданные гласности бывшим сотрудником Агентства национальной безопасности США Эдвардом Сноуденом, АНБ и подразделения правительственной связи добились определенных успехов в деле идентификации пользователей Tor. При этом взлом осуществлялся не через сам протокол Tor, а через уязвимости в браузере Tor, созданном на базе Firefox. Предпринимались также попытки отслеживать файлы cookie, остававшиеся после закрытия сеансов Tor.

Впрочем все это вовсе не исключает наличия в сети Tor слабых мест, через которые можно было бы демаскировать ее клиентов. Исследователи из группы Computer Emergency Response Team, организованной при университете Карнеги-Меллона, собирались представить информацию о ее слабых местах на конференции по безопасности Black Hat. Утверждалось, что, зная уязвимые точки сети, атакующий с бюджетом в 3 тыс. долл. сможет лишить анонимности сотни и тысячи клиентов Tor.

В конечном итоге презентацию отменили по запросу университета, объявив соответствующую информацию закрытой, но похоже, что слабые места в сети действительно есть. Разработчики со своей стороны утверждают, что им уже удалось выявить существующие недостатки, и в настоящее время они занимаются их устранением и укреплением безопасности сети.

С учетом того, что надежные методы идентификации пользователей Tor – исключительная редкость (по крайней мере, если говорить о методах, известных широкой общественности) и ценятся очень высоко, обнаружение слабых мест сети явно стоит значительно дороже тех 4 млн руб., которые были предложены российским МВД. Эксплойт нулевого дня, ранее неизвестный, позволяющий в удаленном режиме запустить исполняемый код в мобильной операционной системе Apple iOS, по слухам, оценивается на черном рынке в 500 тыс. долл., а ведь такие эксплойты встречаются значительно чаще.