Безопасность сети банкоматов: время перемен

Дмитрий Сигачев, руководитель проектов по безопасности банкоматов компании «ЛАН АТМсервис»

Сегодня подход к обеспечению безопасности терминалов банковского самообслуживания должен измениться

Читайте также:

Отмена налога на долгосрочные вклады будет стимулировать кредитование

За последние три года в сфере сетей терминалов банковского самообслуживания накопилась критическая масса событий, позволяющих говорить об острой необходимости смены подхода в обеспечении безопасности банкоматов и клиентов – пользователей таких сетей. Эти события можно условно объединить в четыре различные группы.

Группа первая – географическая. С результатами деятельности международных платежных систем по защите данных держателей карт можно ознакомиться в исследованиях, публикуемых EAST (European ATM Security Team). Они показывают, что меняется картина мошенничеств, связанных с устройствами банковского самообслуживания. Мошенники покидают страны, в которых программа перехода на EMV-технологии завершена, или переключаются на менее технологичные способы атак на банкоматы (так, например, увеличивается количество случаев физических атак на терминалы). 

Страны Европы завершили внедрение EMV-технологий на 98%, в числе отстающих – Ирландия и Мальта. В остальных европейских государствах получить наличные «по магнитной полосе» (при наличии признака «есть чип», который не может быть не скопирован при создании подделки скомпрометированной карты вместе с остальными данными полосы) невозможно. Отдельные эмитенты до сих пор продолжают выпускать карты только с магнитной полосой, однако их количество неуклонно снижается, что сильно ограничивает амбиции злоумышленников.

Современные технологическая и компонентная базы дают возможность изготовить магнитные головки и видеокамеры размером   с игольное ушко

И Россия, как пограничный регион, приобретает для мошенников особое значение: огромная территория, где за последние три года количество банковских карт удвоилось и достигло 220 млн, превысив численность населения РФ. Кроме того, за те же три года более чем в 2 раза увеличилось количество точек самообслуживания (банкоматов и платежных терминалов), где можно расплатиться картой (а значит, и столкнуться с риском компрометации ее данных).

По мнению директора департамента регулирования расчетов Банка России Романа Прохорова, в России удельный вес банковских мошенничеств на порядок ниже, чем в странах Западной Европы. Казалось бы, позитивный факт. Но, с другой стороны, это может означать, что преступности есть куда двигаться.

По данным Экспертной ATM Группы АРЧЕ, темпы роста скимминга в России снижаются, но остаются достаточно высокими на фоне расширения географии этого вида мошенничества. 

Вторая группа событий – юридическая. До недавнего времени доверие (или недоверие) держателей карт к уровню безопасности обслуживания не было фактором, на который регулятор обращал пристальное внимание. Банки могли долго, подробно и тщательно расследовать заявления потерпевших, не неся каких-либо рисков, кроме репутационных. Однако уже с 1 января 2013 года ситуация изменилась в корне. Закон № 161-ФЗ «О национальной платежной системе» ввел понятие «презумпция невиновности» по заявлениям о мошенничестве с банковской картой. Теперь банк должен сначала возместить потери, а затем устанавливать степень вины клиента. Дополнительно, в качестве шага, позволяющего минимизировать потери от такого рода случаев, регулятор озаботился выработкой рекомендаций по защите точек самообслуживания. 

Инвестиции в безопасность – это инвестиции в доверие клиентов, еще одно конкурентное преимущество банка

Группа третья – технологическая. Прогресс не стоит на месте. К сожалению, в криминальных сферах – тоже. Еще пару лет назад изготовители скимминговых устройств были вынуждены производить накладки на клавиатуру или слот картридера банкоматов целиком. Современные технологическая и компонентная базы дают возможность изготовить магнитные головки и видеокамеры размером с игольное ушко, а принцип распределенных компонент, когда считывающие устройства отделены от накопителя, расположенного внутри банкомата, усиливают эффект маскировки. Еще более тревожный факт – новые материалы также позволяют изготавливать эффективные экраны, ограждающие скимминговое устройство от внешнего воздействия защитных электромагнитных помех, что в ближайшем будущем может поставить под сомнение эффективность не только пассивных, но и активных антискимминговых устройств. 

Четвертая группа событий – финансовая. Мошенники – люди творческие, только их творчество направлено не на благо человечества, а во вред. Их изобретательности можно завидовать, но одновременно необходимо быть готовыми противостоять их «творческим успехам». 

Признаемся откровенно: универсальное средство защиты изобрести невозможно. Зато можно оснастить банкомат целым комплексом защитных устройств, правда, стоимость такого комплекса может быть сопоставима со стоимостью самого устройства. Сегодня существует достаточно большое количество типов систем защиты устройств самообслуживания: системы контроля физического доступа, системы контроля целостности ПО, системы контроля доступа к ПО, системы видеофиксации, системы контроля физической целостности устройства, антискимминговые системы. И если не оценивать риски и уровень угроз в каждой конкретной точке установки каждого устройства сети, стоимость оснащения такими системами безопасности потребует от банков значительных инвестиций. 

Все четыре группы тенденций в равной степени важны для понимания, почему подход к обеспечению безопасности терминалов банковского самообслуживания должен измениться. Традиционный подход базируется на следующих принципах:

• Безопасность устройств самообслуживания воспринимается бизнес-подразделениями как статья расходов, в рамках которой трудно просчитать отдачу от инвестиций;
• При планировании бюджетов безопасности основным критерием зачастую является минимизация расходов;
• Развертывание систем безопасности не является приоритетной задачей и растягивается на длительный период;
• По мере развертывания систем и получения отчетов об установках растет уверенность в защищенности сети, возникает эффект «плацебо»: принял – значит «здоров», но работает ли средство на самом деле – понять невозможно. 

Основные его принципы:

• инвестиции в безопасность – это инвестиции в доверие клиентов и, следовательно, еще одно конкурентное преимущество банка; 
• планирование происходит на основании оценки эффективности защиты сети, в основе которой лежат актуальная информация о работоспособности систем защиты и статистические данные об угрозах, получаемые и анализируемые в режиме реального времени;
• развертывание систем безопасности должно рассматриваться как высокоприоритетный процесс, со строгим контролем сроков и, главное, результатов;
• без обеспечения непрерывного контроля работоспособности систем безопасности и своевременного реагирования на выход их из строя невозможно быть уверенными в эффективности инвестиций в безопасность. При этом, если необходимость современного подхода к обеспечению безопасности систем самообслуживания не вызывает сомнений, то предложение по инструментам реализации такого подхода в настоящий момент на рынке ограничено. 

С практической точки зрения безопасность банкоматов, платежных терминалов и реализация современного подхода в этой сфере, по мнению специалистов «ЛАНАТМсервис», возможна при соблюдении двух условий:

Первое.

1. О штатных событиях системы безопасности. Например, вход в систему банкомата авторизованного пользователя.
2. О нештатных событиях системы безопасности. Например, о попытке (удачной или неудачной) взлома замка верхней части банкомата.
3. О сбоях в работе программных или аппаратных компонент системы безопасности. Например, о выходе из строя жесткого диска системы видеонаблюдения.
4. О состоянии системы безопасности (путем периодической подачи сигнала типа «я живой»). На этом свойстве строится (об этом чуть ниже) система активации тревоги по нештатным ситуациям.

Второе. В структуре мониторинга сети систем самообслуживания необходимо иметь специализированный инструмент – Рабочее место офицера безопасности, что позволит расширить вовлеченность сотрудников безопасности в процессы управления рисками функционирования сети. Стоит более подробно остановиться на том, почему необходимо организовывать специализированное Рабочее место офицера безопасности:

• Техническое состояние современной системы самообслуживания контролируется по многим параметрам (более десяти). Это состояние принтеров, модулей выдачи и приема наличных и т. д. Если добавить в систему мониторинга достаточно большое (около семи) количество систем безопасности, то параметров станет чрезмерно много для эффективного отслеживания оператором, т. е. для наблюдения за системами безопасности необходим отдельный монитор.
• Порядок действий и время реакции на события систем безопасности отличен от порядка действий и реакции на события технического мониторинга. Немедленное реагирование может стать ключевым фактором в предотвращении ущерба, а также нейтрализации как отдельного преступника, так и всей преступной группы.
• Реакция на события системы безопасности не допускает неопределенности в оценке состояния, причин и способов восстановления работоспособности системы безопасности. Например, потеря сигнала «я живой» по регламенту должна означать «началась атака» – и вызвать запуск адекватных мер реагирования.
• На устранении причины, вызвавшей тревогу в системе безопасности, работа не заканчивается. Необходимо убедиться, что работоспособность восстановлена, проанализировать и зафиксировать тип нападения, методы атаки и поделиться информацией с банковским сообществом.