А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

Помимо финансовых затрат со стороны банка на фрод-мониторинг, страхование рисков, оплату высококвалифицированных специалистов по претензионной работе мошенничество влечет невосполнимые репутационные риски. Даже сам факт возможности мошенничества является сильным сдерживающим фактором популяризации оплаты товаров и услуг в сети Интернет по банковским платежным картам.

По данным НАФИ, лишь 18 % россиян совершают покупки в сети Интернет, 36 % из них используют для оплаты товаров и услуг банковские платежные карты. Webmoney и Яндекс-деньги популярны у 54 и 49 % опрошенных.

Мероприятия по противодействию мошенничеству:

• обучение держателей карт мерам безопасного обслуживания карт, в частности не передавать реквизиты карты третьим лицам. Рекомендации клиентам использовать для оплаты товаров и услуг в Интернете только специализированные карточные продукты типа «виртуальная карта» (Virtual card);

• контроль за транзакционной активностью ТСП, периодическая проверка соответствия деятельности ТСП заявленной им при заключении договора с банком-эквайрером;

• выполнение со стороны банка-эмитента и банка-эквайрера требований PCI DSS по сокрытию информации о платежных реквизитах карт в электронных базах данных;

• использование фрод-мониторинга авторизационного трафика;

• переход участников электронной коммерции на использование протокола 3D Secure.

Использование персональных данных третьих лиц в мошеннических целях (ID Theft)

Цель ID Theft — получение мошенником дебетовой банковской карты или карты с кредитным лимитом на чужое или подставное лицо. На такой карте отсутствует подпись владельца, что упрощает ее незаконное использование. Финансовые обязательства возникают у третьего лица — законного владельца карты, но фактически убытки несет банк-эмитент, который или не может юридически обоснованно предъявить клиенту счет, или не способен осуществить возврат средств от неплатежеспособного клиента.

Дебетовые карты активно используются мошенниками для «отмывания» — обналичивания денежных средств, полученных противозаконным путем.

Для получения таких карт используются украденные/утерянные/поддельные документы, удостоверяющие личность, а также подставные заведомо неплатежеспособные лица — финансово неграмотные пенсионеры или студенты, алкозависимые личности и прочие граждане, желательно имеющие легальную регистрацию места жительства.

Мошенники подготавливают правильным образом анкету подставного лица, указывают «заряженные» телефоны ложных работодателей, завышают реальный доход, оформляют регистрацию на липовые адреса. Зачастую подставное лицо появляется в банке для подачи документов на оформление карты в компании сопровождающего, представляющегося его родственником или доверенным лицом. Анкета подставного лица с заявлением на выпуск карты (равно как и само лицо с сопровождающим «родственником») может кочевать из банка в банк, выискивая брешь в скоринг-системах.

Отдельная разновидность этого мошенничества — перехват счета (Account takeover) — более распространена в европейских странах и США. В этом случае мошенник получает данные о реквизитах карты/счета (например, из оказавшихся в его распоряжении банковских выписок держателя карты), далее следует звонок в банк об изменении домашнего адреса и запрос новой карты с ее доставкой по новому адресу.

Мероприятия по противодействию мошенничеству:

• детальная проверка анкет потенциальных клиентов для обнаружения несоответствий. Проверка клиентских данных в базах данных бюро кредитных историй, правоохранительных органах, иных источников информации;

• профессиональное взаимодействие между службами безопасности банков по выявлению «гастролеров» — мошенников, обращающихся поочередно в разные банки;

• разъяснительная работа с лицами, замеченными в регулярном обналичивании больших сумм денежных средств;

• использование фрод-мониторинга для выявления фактов обналичивания денежных средств. Критерием для мониторинга являются транзакции на суммы более 300 тысяч рублей;

• установка заградительных тарифов за снятие наличных денежных средств, превышающих установленный лимит;

• всесторонняя идентификация клиента при принятии заявления о каких-либо изменениях анкетных данных.

Виды мошенничества для эквайрера

Предприятия, регистрируемые для совершения мошенничества

Целью мошенничества является регистрация предприятия в банке на услугу «Торговый эквайринг» с открытием расчетного счета или перечислением на счет в другом банке, совершение ряда операций по утерянным, украденным или/и поддельным картам, получение по операциям возмещения от банка-эквайрера и последующее исчезновение до момента обнаружения мошенничества.

В ТСП могут проводиться операции как с использованием POS-терминала, так и импринтера. Последний расширяет возможности мошенников для использования эмбоссированного «белого пластика» без кодированной магнитной полосы. По совершенным операциям банк-эквайрер получает опротестования, которые становятся его убытками. Повышенный риск представляют такие «одноразовые» торговые предприятия в среде Интернет-торговли, где мошенникам нет необходимости использовать реальный пластик. Убытки от их деятельности могут иметь на порядки больший размер.

Показателен пример с мошенничеством в бизнесе продажи авиабилетов. ТСП, занимающееся продажей авиабилетов, принимает от клиентов оплату наличными. Далее ТСП оформляет бронь авиабилетов через интернет-ресурсы автоматизированных систем бронирования с оплатой по украденным или поддельным платежным картам. С учетом высокой стоимости авиабилетов данная схема мошенничества остается актуальной.

Регистрация фиктивного ТСП может иметь целью сбор платежных реквизитов карт для их последующего использования в мошеннических целях. Для этого удобно подходят технологии телемаркетинга, когда от клиента для оформления покупки требуется передать реквизиты карты через Интернет, факс или телефон. До получения реального товара или услуги дело, как правило, не доходит. В этом плане подозрительными являются заманчивые предложения о продаже ходовых товаров или услуг с несоизмеримыми с реальной ценой товара скидками, о бесплатной рассылке товара с предоплатой по карте клиентом только почтовых затрат.

Причина этого вида мошенничества — неспособность банка-эквайрера распознать криминальные цели организации на этапе проверки ее документов до подписания договора на услугу и отсутствие контроля за деятельностью ТСП.

Мероприятия по противодействию данному мошенничеству:

• комплексная проверка ТСП до подписания договора на предоставление услуги;

• мониторинг проводимых в ТСП операций, а также отказов в авторизациях, их причины;

• инспекция ТСП посещением сотрудника банка, проверка на соответствие характера деятельности ТСП заявленному ранее.

Мошенничество персонала торговой точки

Сговор работника ТСП с ворами-карманниками или организованными криминальными структурами с целью получения товара или денежных средств с использованием украденных, утерянных или поддельных карт. Работники ТСП могут пойти на сговор под давлением преступников, контролирующих бизнес ТСП (его владельцев), или «гастролеров».

К этому же виду относится мошенничество работника ТСП, связанное с использованием служебного положения:

• двойное проведение операции посредством POS-терминала (electronic data capture);

• неоднократное копирование торгового слипа и выставление его к оплате (multiple imprints);

• ручной ввод на POS-терминале платежных реквизитов карты в отсутствие карты и ее владельца (PAN key entry).

Здесь же уместно напомнить о таком старом виде мошенничества, как подделка торговых слипов (altered sales drafts), когда после подписания законным держателем карты слипа работником ТСП изменяется в большую сторону сумма операции, которая без ведома держателя авторизуется.

Выявить компрометацию карт в ТСП — организационно сложная задача. Во многих сетевых ресторанах и супермаркетах текучка кадров — явление постоянное, на работу принимаются нерезиденты-мигранты, студенты, временные работники. Низкая оплата труда, правовая и финансовая безграмотность, а также запугивание и шантаж со стороны криминала — причины, по которым сотрудники ТСП начинают сотрудничать с мошенниками. Следует помнить, что работники ТСП являются самым слабым звеном в построении системы безопасности карточного бизнеса.

Мероприятия по противодействию данному мошенничеству:

• комплексная проверка ТСП до подписания договора на предоставление услуги;