А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

Вместе с тем НСД имеет место также при совершении мошенничества без платежной карты с использованием ее реквизитов, например, при совершении покупок в интернет-магазине, так как независимо от способа НСД возникает одно и то же вредное последствие — модификация данных на сервере кредитного учреждения.

Упомянутый ранее скимминг может быть квалифицирован не только как НСД, но и как НСВ, так как его осуществление связано с созданием или использованием программ, управляющих работой используемого криминального оборудования, что является законченным преступлением.

Субъект и субъективная сторона

Субъект преступления по ст. 272 и 273 УК РФ — вменяемое физическое лицо, достигшее 16-летнего возраста.

С субъективной стороны преступления характеризуются наличием прямого умысла (осознание неправомерного доступа, предвидение наступления вредных последствий и желание их наступления) или косвенного умысла (осознание неправомерного доступа, предвидение наступления вредных последствий и сознательное допущение их наступления либо безразличное отношение к наступлению последствий).

Не признается преступлением доступ к информации без намерения совершить общественно опасное деяние (техническая помощь пользователю не допущенным к ЭВМ работником, выполнение работы за другое лицо с целью ускорения производственного процесса, непроизвольный доступ к информации вследствие ошибки непосредственного пользователя и т. п.).

В отличие от широко распространенной точки зрения о том, что субъектом преступления по ст. 272 и 273 УК РФ является специалист, обладающий глубокими знаниями в компьютерной технике и программировании, при совершении хищений в сфере оборота платежных карт субъектом НСД и НСВ (в форме использования программ для ЭВМ в составе оборудования, использованного для совершения преступления) могут быть неквалифицированные физические лица[54].

Как сказано ранее, обычно компьютерные преступления в рассматриваемой области совершаются на этапе подготовки и совершения хищений с использованием платежных карт. При этом подготовка и совершение обычно производятся разными группами лиц, а также на различных территориях как внутри России[55], так и за рубежом[56]. Однако в практике имеются случаи, когда изготовление «белого пластика» и снятие наличных денег осуществлялись одним лицом[57].

Например, в указанном ранее деле граждане Болгарии Г. Т. Илиев и Ц. Н. Божилов осуществляли копирование реквизитов платежных карт без снятия наличных денег. Более того, программное обеспечение, управлявшее криминальным оборудованием, находившимся в распоряжении осужденных, обеспечивало конфиденциальность полученных реквизитов, в том числе и от осужденных, за счет шифрования данных. Данное обстоятельство вместе с тем послужило одним из препятствий на пути доказывания того, что копирование данных было фактически осуществлено[58], что было определено в ходе осмотра с привлечением специалистов ЭКЦ МВД РФ.

«Банковская тайна» — ст. 183 УК РФ

В случае получения незаконным способом (например, в результате скимминга, покупки через Интернет дампов вторых дорожек или использования фишинга[59]) сведений, составляющих банковскую тайну (номеров банковских карт), такие действия будут составлять объективную сторону преступления, предусмотренного ст. 183 УК РФ.

Статья 183. Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну

1. Собирание сведений, составляющих коммерческую, налоговую или банковскую тайну, путем похищения документов, подкупа или угроз, а равно иным незаконным способом —

<…>

3. Те же деяния, причинившие крупный ущерб или совершенные из корыстной заинтересованности…

Объект преступления — общественные отношения в сфере обращения информации, составляющей банковскую тайну. Данная информация составляет предмет преступного посягательства.

Субъективная сторона характеризуется виной в форме прямого умысла. При этом квалифицирующим признаком будет являться корыстная заинтересованность (информация используется для последующего хищения денежных средств), что влечет более тяжкое наказание.

Субъект преступления — вменяемое лицо, достигшее 16-летнего возраста.

Насколько же законодатель считает данные преступления общественно опасными, какие уголовные наказания за их совершение предусматривает УК РФ?

Анализ уголовного законодательства применительно к преступлениям с банковскими картами

Общественная опасность

Руководствуясь ст. 15 УК РФ «Категории преступлений», мы видим, что по неквалифицированным (часть первая) ст. 158, 159, 183, 272 УК РФ характер и степень общественной опасности определены как преступления небольшой тяжести: умышленные деяния, за совершение которых максимальное наказание, предусмотренное Уголовным кодексом, не превышает двух лет лишения свободы. Часть 1 ст. 273 УК РФ предусматривает максимальное наказание до трех лет лишения свободы, что составляет преступление средней тяжести (умышленные деяния, за совершение которых максимальное наказание, предусмотренное настоящим Кодексом, не превышает пяти лет лишения свободы). Единственная неквалифицированная (часть первая) ст. 187 УК РФ относится к тяжким преступлениям: умышленные деяния, за совершение которых наказание, предусмотренное Уголовным кодексом, составляет от пяти до десяти лет лишения свободы.

Сведем в таблицу максимальные наказания по приведенным статьям и соответствующие категории преступлений (табл. 1.6).

Конфликт интересов дознания и следствия

Как видим, законодатель не усматривает большой общественной опасности в противозаконных деяниях в сфере банковских карт, кроме ст. 187 УК РФ (фабрики). Только максимально точно квалифицированные преступления признаются тяжкими. Но, чтобы предъявить такое обвинение, следствию необходимо обладать определенными доказательствами, которые можно зачастую получить только в рамках оперативно-следственных мероприятий по уже возбужденному уголовному делу.

Первоначальное выявление преступления, как правило, дает основания возбудить уголовное дело только по неквалифицированной части соответствующей статьи УК РФ. И только потом, в ходе расследования уголовного дела, могут появиться доказательства, дающие основания изменить квалификацию на более тяжкую статью УК РФ.

В данной ситуации кроются следующие проблемы. Самым распространенным случаем выявления злоумышленников является задержание их на месте совершения преступления: при использовании поддельных платежных карт в торгово-сервисных предприятиях, у банкоматов, при установке (снятии) скимминговых устройств. В таких случаях еще ничего не известно о всей противозаконной деятельности задержанного, если только он на момент задержания уже не находился в оперативной разработке. Обвинение может быть предъявлено только по ч. 1 ст. 158, 159, 183, 272 УК РФ и то скорее всего преступление не будет окончено, а будет установлен только факт покушения. Возбуждение уголовного дела по части первой указанных статей УК РФ влечет за собой следующие особенности.

Во-первых, согласно ст. 108 УПК РФ в отношении подозреваемого или обвиняемого в совершении преступления, за которое предусмотрено наказание в виде лишения свободы на срок до двух лет, заключение под стражу в качестве меры пресечения может быть избрано только в исключительных случаях, при наличии одного из следующих обстоятельств:

1) подозреваемый или обвиняемый не имеет постоянного места жительства на территории Российской Федерации;

2) его личность не установлена;

3) им нарушена ранее избранная мера пресечения;

4) он скрылся от органов предварительного расследования или от суда.

Заключение под стражу в качестве меры пресечения не может быть применено в отношении подозреваемого или обвиняемого в совершении преступлений, предусмотренных ст. 183 УК РФ при отсутствии обстоятельств, указанных выше в п. 1–4.

Иными словами, если отсутствуют обстоятельства, перечисленные в п. 1–4 ч. 1 ст. 108 УПК РФ: подозреваемый имеет постоянное место жительства на территории РФ, личность его установлена (для выполнения первых двух условий достаточно предъявить паспорт), а обстоятельства, указанные в п. 3–4, могут и вовсе отсутствовать (если подозреваемый задержан впервые, никакая мера пресечения в отношении его не избиралась и он ни от кого не скрывался), то подозреваемый должен быть отпущен на свободу. Мера пресечения избирается в виде подписки о невыезде. Таким образом, после этого злоумышленник имеет все возможности предупредить потенциальных сообщников и уничтожить все имеющиеся следы преступления.