А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

где Wисп (стр, mcc)(i) — число фактов последующего использования скомпрометированных данных в точках использования карты i (страна и категория ТСП);

Wкпр(стр, mcc)(i) — число компрометаций данных карт в точках (страна и категория ТСП), в которых использовалась карта i.

Попытка проведения мошеннической операции может быть пресечена в торговом предприятии, до попадания авторизационного запроса по карте эмитенту. Рассмотрим возможности пресечения проведения мошеннической операции в зависимости от ее типа:

• операция по поддельной карте с известным ПИН-кодом в банкомате — в соответствии с формулой (8) вероятность успеха не зависит от способности выявления подделки банкоматом (за исключением упомянутого случая подделки магнитной полосы комбинированной карты и попытки ее использования в банкомате, поддерживающем проведение операций по микропроцессорным картам);

• операция по поддельной карте в ТСП — согласно формуле (4) вероятность мошенничества зависит от возможности обнаружения подделки кассиром;

• операция без присутствия карты — исходя из формулы (11) вероятность успеха мошенничества зависит от применяемой ТСП схемы безналичных платежей.

Проведенный анализ показывает, что в большинстве случаев мошенничества, связанного с подделкой карт крупнейших МПС VISA и MasterCard, можно избежать, если кассир выполняет следующие визуальные проверки карты:

• на наличие четырех напечатанных цифр под эмбоссированным номером карты;

• на наличие микропечати VISA по периметру логотипа карты VISA;

• на наличие голубя на картах VISA и букв «М» и «С» на картах MasterCard, появляющихся при облучении карты ультрафиолетом;

• при наклоне карты VISA на голограмме должен появиться летящий голубь, а MasterCard — надпись «MasterCard»;

• сравнение номера карты на чеке терминала и на карте;

• на наличие эмбоссированных секретных символов на карте (летящие буквы «V» и «M»).

Современная практика функционирования ПС показывает, что часто описанные проверки в ТСП не производятся, поэтому МПС отказались от использования эмбоссированных секретных символов, а также некоторых видов микропечати.

С учетом изложенных доводов вероятность проведения мошеннической операции по поддельной карте в ТСП с учетом формулы (4) можно, положив Pпод. крт (поп|кпр исп) = 1, рассчитывать по следующей формуле:

Следовательно, риск по поддельным картам в ТСП с учетом формулы (20):

Рассмотрим проведение мошеннических операций без присутствия карты. Если эквайрер блокирует проведение операций, например, из определенной доменной зоны, то такие попытки эмитенту видны не будут. Так, до недавнего времени сервисы PayPal были недоступны для россиян, фильтрация запросов происходила на основе анализа IP адреса клиента, но с конца 2006 г. ситуация изменилась. Если же клиент попадает на электронную страницу магазина, содержащего логотипы МПС, реквизиты его карты должны быть приняты к оплате по правилам МПС.

В случае принятия реквизитов к оплате банк-эквайрер должен обслужить операцию, за исключением случая неподдержки эмитентом схемы 3D Secure при одновременной ее поддержке эквайрером. Эквайрер, применяющий 3D Secure, в принципе может принимать к оплате не только карты эмитентов, поддерживающих данную технологию, но и любые другие. В любом случае оказывается, что если эмитент получает авторизационный запрос по операции без присутствия карты, то самостоятельно принимает решение об одобрении или отклонении ее (с учетом значения индикатора электронной транзакции в запросе авторизации — Electronic Commerce Indicator).

На основе изложенных доводов положим в формуле (11) Pбпк(поп |кпр исп) = 1, тогда вместо формулы (12) получим

Примеры мониторинга операций

Далее приведены несколько примеров применения СМТ для выявления мошеннических операций.

Мониторинг операций в разных странах с присутствием карты

Если совершаются две операции с присутствием карты в разных странах за небольшой интервал времени, то это может свидетельствовать о том, что одна из операций осуществляется по поддельной карте.

Оценка принципиальной невозможности для держателя карты перебраться из места совершения первой операции в место совершения второй за время между операциями может быть сделана с учетом географического расстояния между местами совершения операций. В параметрах транзакции в соответствии с ISO 8583 присутствует название города и код страны совершения операции, в свободном доступе имеются географические координаты городов мира, поэтому возможно создание таблицы географических координат городов мира в БД для расчета расстояния между ними.

Геодезические задачи решаются на плоскости, если размеры площади невелики. Если исследуемая часть поверхности занимает несколько градусов широты или долготы, то необходимо учитывать и кривизну поверхности — в этом случае можно использовать сферу. Более точно описывает форму Земли не сфера, а эллипсоид.

В случае сферической модели Земли расстояние между двумя точками рассчитывается с помощью сферической тригонометрии. Длина дуги большого круга — кратчайшее расстояние между любыми двумя точками, находящимися на поверхности сферы, измеренное вдоль линии, соединяющей эти две точки, и проходящей по поверхности сферы или другой поверхности вращения. Через любые две точки на поверхности сферы, если они не прямо противоположны друг другу, можно провести уникальный большой круг. Две точки разделяют большой круг на две дуги (рис. 3.4).

Длина короткой дуги — кратчайшее расстояние между двумя точками. Между двумя прямо противоположными друг другу точками (антиподами) можно провести бесконечное количество больших кругов, но расстояние между ними будет одинаково на любом круге и равно половине окружности круга.

В данном случае расчет может быть произведен, например, с использованием сферической теоремы косинусов, причем при использовании радиуса сферы в 6 372 795 м возможна ошибка вычисления расстояния порядка 0,5 %, но в случае маленьких расстояний и небольшой разрядности вычисления использование формулы может приводить к значительным ошибкам, связанным с округлением:

Для перевода углового расстояния в метрическое угловая разница умножается на радиус Земли (в данной модели это 6 372 795 м). Для преодоления проблем с небольшими расстояниями может быть использована формула гаверсинусов.

В программной среде (в том числе на уровне функций и хранимых процедур БД) легко реализуемым является также и расчет расстояний между двумя точками на поверхности Земли, если принять в качестве модели поверхность эллипсоида.

Таким образом, рассчитав расстояние между двумя городами, в которых проводятся две операции по банковской карте, и используя максимальную скорость перемещения между ними (например, скорость гражданского самолета с учетом времени регистрации в аэропорту), можно с использованием временного интервала между операциями выявить принципиальную невозможность перемещения держателя карты из одной точки Земли в другую. Проблемой в данном случае является некорректная регистрация терминальных устройств банками-эквайрерами, что может приводить к ошибкам определения их географического положения. Возможны ошибки следующих типов:

• некорректное указание города установки терминального устройства;

• ошибки в названии города установки терминального устройства;

• некорректное указание страны установки терминального устройства.

На практике известны примеры наличия всех отмеченных ошибок, так, вариантов названия города «Санкт-Петербург» в качестве города установки терминальных устройств автором обнаружено более сотни, большая часть из которых подпадает под одну из следующих масок:

%S%PET%, %PETER%, SPB%.

Ввиду отсутствия контроля со стороны МПС за корректностью указания эквайрером данных регистрации терминального устройства не приходится рассчитывать на решение указанной проблемы. Тем не менее практическое применение отмеченного подхода для выявления мошеннических операций по поддельным картам доказало свою эффективность.

Мониторинг операций по картам, использовавшимся в регионе возможной компрометации

Практика показывает, что в некоторых регионах мира существуют продолжительное время мошеннические схемы, связанные с компрометацией данных карт (и/или ПИН-кодов) и/или использованием поддельных карт. Например, особое внимание со стороны МПС и банков уделяется операциям в ТСП Азиатско-Тихоокеанского региона, где часто происходит компрометация данных магнитной полосы карты, после чего поддельная карта используется в ряде стран того же региона или мира.