Напомним, что на днях в ряде СМИ появилась информация о «новом виде мошенничества» – краже денежных средств с бесконтактных карт россиян. Согласно этой информации, «сигналы таких карт» мошенники якобы «перехватывают с помощью специальных устройств».

Суть тиражируемой в СМИ схемы похожа на перехват сигналов электрозамков угонщиками автомобилей. Как сообщили в компании Zecurion, средства c бесконтактных карт PayPass и payWave списываются мошенниками с помощью «самодельных считывателей, способных сканировать банковские карты с RFID-метками». По большому счету, пишут СМИ, это «аналоги легальных бесконтактных POS-терминалов с RFID-ридерами». «Хакерский ридер очень похож на легальное устройство, но он отличается более продвинутой функциональностью, – рассказывает СМИ руководитель аналитического центра Zecurion Владимир Ульянов. – Злоумышленнику достаточно приблизить на 5–20 см такое устройство к карте с чипом RFID, как вся необходимая информация будет считана».

Информационный портал PLUSworld.ru, учитывая, что информационные вбросы о «небезопасности бесконтактных карт» появляются с завидной регулярностью чуть ли не с момента их появления на рынке, в свою очередь обратился за комментариями к независимым экспертам.

По словам руководитель Лаборатории компьютерной криминалистики Group-IB Валерия Баулина, демонстрации подобных способов обмана часто показываются на различных конференциях, но реального применения в мошеннической среде не получается.

«Действительно, хищение денежных средств с бесконтактных карт, как и с любых других, возможно, но, как это часто бывает, здесь есть много нюансов, которые де-факто препятствуют развитию «промышленного» мошенничества с ними – говорит В. Баулин – Во-первых, радиус действия «самодельных терминалов» – максимум 20 см, т.е. преступник должен лично подобраться к вам действительно близко. Кроме того, бесконтактные платежи без ввода ПИН-кода ограничены по сумме. Как правило, это суммы до 5 тысяч рублей, при этом украсть в прямом смысле ваши деньги себе преступники не могут, они теоретически могут только единоразово купить что-то от вашего имени. При этом пользователь может достаточно легко опротестовать такую транзакцию», - подчеркивает эксперт.

Банковские ИТ-системы на пути мошенников

Алексей Голенищев, директор дирекции мониторинга электронного бизнеса Альфа-Банка, уточняя этот момент в комментарии нашему порталу, отметил, что в процессе обмена данными бесконтактного чипа карты и считывающего устройства действительно происходит передача данных карты, по набору почти аналогичных данным так называемой «второй дорожки» магнитной карты (куда входит и номер карты, и срок действия).

"Поэтому даже в случае успешного копирования этих данных, выпущенная мошенниками поддельная карта может быть использования в терминалах, работающих «по полосе», при этом, если эмитент придерживается правильных политик разделения CVV и iCVV, а также корректной обработки сервис кодов карт и платежных терминалов, то операция будет неуспешной", – говорит А. Голенищев.

Заметим, что и тут на пути мошенников будут стоять банковские ИТ-системы: так, если читался только трек магнитной полосы, а терминал упорно сообщает что читал чип (то есть «врет»), то по iCVV фрод можно определить уже на этапе авторизации.

«Технологически такой вид мошенничества (вывод похищенных средств через карты с магнитной полосой и через соответствующие POS-терминалы – ред.) возможен, но только в случае грубого нарушения банками, выпустившими чиповые (в т.ч. бесконтактные) карты требований безопасности, связанными с настройками фронтальных процессинговых систем, – подчеркивает г-н Голенищев. – А они по умолчанию должны определять, с какого устройства (чиповое/нечиповое, контактное/бесконтактное) и по какой карте (чиповая/ с магнитной полосой, контактная/бесконтактная) пришел запрос на подтверждение операции. В случае любой «нестыковки» банковская система настроена так, что в операции будет отказано».

И все же есть некая гипотетическая возможность хищений с использованием данных бесконтактных карт по операциям на небольшие суммы, для которых не нужен ввод PIN-кода, считает эксперт.

«Но для этого мошенникам необходимо как минимум подписать договор обслуживания (эквайринга) с банком и официально зарегистрировать бесконтактный терминал. Тогда средства по таким операциям, совершенным вне ведома клиента (хотя он должен получить SMS по операции) будут зачисляться на счет мошенников» – говорит А. Голенищев.

«Относительно же возможности использования скопированных таких образом данных бесконтактных карт при Интернет-покупках можно сказать, что такой вид мошенничества будет сегодня практически нереализуем. Напомним, что помимо номера карты и срока действия карты для покупок в интернет-магазинах сегодня как минимум используется код безопасности CVC2/CVV2, напечатанный на полосе для подписи (которого ни в чипе, ни на магнитной полосе нет). Перехват же «по воздуху» информации об истории операций по карте, упоминаемый в статьях о бесконтактном фроде – мягко говоря, абсурд» - заключает А. Голенищев.

Оба внешних эксперта «ПЛАС», тем не менее, сходятся в том, что простые меры защиты своих платежных инструментов не помешают никому из держателей.

«Защита в данном случае простая – никому не передавать карту, не расплачиваться, если рядом находятся подозрительные антенны и устройства, а для любителей гаджетов – купить металлический кейс для банковских карт» - говорит В. Баулин.

«Специальный защитный кошелек/чехол для бесконтактных карт не будет лишним» – соглашается с ним А. Голенищев из Альфа-Банка. Эксперт, тем не менее, считает, что от гипотетического фрода по бесконтактным картам, описанным Zecurion, держателей карт более всего могут защитить сами банки.

«Эмитентам и эквайерам, выпускающим и обслуживающим в т.ч. бесконтактные чиповые карты, достаточно придерживаться известным требованиям как платежных систем, так и производителей устройств и программных решений и быть в безопасности», – подчеркивает эксперт.

По материалам PLUSworld.ru