ЦБ зашел на сайты

ЦБ пытается улучшить защиту средств компаний и граждан от хищений. Он вводит дополнительные требования к банкам и любым иным структурам, так или иначе проводящим платежи, в том числе настаивая на ограничении операций определенными параметрами. Это позволит усилить ответственность банков за безопасность платежей, признают эксперты, однако полностью проблему не решит.

На regulation.gov.ru опубликован текст поправок к Положениям ЦБ «О требованиях к обеспечению защиты информации при денежных переводах». Регулятор хочет ввести ряд важных новаций для защиты средств клиентов банков и платежных систем от хищений. Объемы мошеннических операций ежегодно растут. По итогам 2016 года, по данным ЦБ, киберпреступники похитили около 1 млрд руб. со счетов граждан и 1,9 млрд руб. со счетов компаний. Всего же через онлайн-банк и мобильный банк было совершено в 2016 году 240 тыс. хищений.

Новые требования вводятся не только для банков или платежных систем, но фактически для всех сайтов, принимающих оплату. Ежегодно по требованию регулятора эти структуры обязаны проводить анализ уязвимости своих систем, а также тестировать на возможность взлома с привлечением специалистов, имеющих лицензию Федеральной службы по техническому и экспортному контролю (ФСТЭК, подведомственна Минобороны), и использовать только сертифицированное программное обеспечение.

«Крайне важно, что данная новация касается не только банков, но и всех тех сайтов, которые принимают платежи,— интернет-магазинов, кинотеатров, даже компаний, собирающих пожертвования на разные цели»,— отмечает замглавы лаборатории компьютерной криминалистики компании Group-IB Сергей Никитин.

«Сейчас при оплате покупки в интернете сайт нередко запрашивает данные на своем сайте, а далее переадресует на сайт банка или платежной системы, чем пользуются злоумышленники и что в итоге приводит к хищениям»,— продолжает господин Никитин.

Впрочем, и для кредитных организаций данная новация крайне важна. По данным исследования Positive Technologies, уязвимости, которые могут привести к хищениям, есть в каждом третьем банке-клиенте.

Для повышения безопасности трансакций ЦБ требует от проводящих платежи введения дополнительных мер безопасности. Платеж и его подтверждения должны быть в разных программных средах (например, платеж на компьютере и подтверждение на телефон). Клиент в обязательном порядке должен видеть реквизиты платежа, который он подтверждает. Это, по словам экспертов, должно защитить клиентов от вредоносных программ подмены (когда на экране телефона или компьютера клиент видит одни реквизиты, тогда как на самом деле платеж уходит по другим реквизитам). «До сих пор даже в некоторых крупных банках при подтверждении трансакции клиенту присылается лишь код без расшифровки — кому именно идет платеж и какая сумма,— отмечает руководитель направления Solar inCode компании Solar Security Даниил Чернов.— Платеж корпоративного клиента подтверждается электронной подписью сразу, без выведения подтверждения реквизитов трансакции». По словам гендиректора SafeTech Дениса Калемберга, платеж можно подтверждать не только в специальном приложении для смартфона, но и в отдельном аппаратном устройстве, и это один из наиболее безопасных способов подтверждения.

Впрочем, банки, со своей стороны, не слишком озабочены повышением безопасности платежей, исходя из тезиса, что защита средств клиентов — головная боль самих клиентов. По словам главы коллегии адвокатов «Старинский, Корчаго и партнеры» Евгения Корчаго, при предъявлении же претензий к банкам клиентов суды в подавляющие большинстве случаев становились на сторону кредитных организаций и взыскать похищенное с банка не удавалось. «Не удастся и в будущем,— продолжает он.— Однако хотя бы банк будет должен предоставить клиенту возможность видеть, какую трансакцию он подтвердил».

Тем не менее ЦБ настаивает на том, чтобы банки усилили контроль за сомнительными трансакциями уже на этапе авторизации клиента и даже приостанавливали операции при наличии определенных признаков. Для отсеивания подозрительных трансакций банки должны устанавливать ограничение по максимальной сумме трансакции, временной период, в который могут быть проведены платежи (например, ввести ограничение по частоте трансакций, чтобы исключить отправки веерных платежей по множеству счетов злоумышленников в течение пары минут). Подозрительным может быть и география устройств, с которых подготовлен платеж или прийти подтверждение (например, для компаний — определенные компьютеры в офисе компании или местоположение телефона, с которого придет подтверждение) и т. д. «Это означает, что любая трансакция, которая попадет, с точки зрения банка, в сомнительные, не будет проведена без звонка клиенту и его подтверждения,— отмечает руководитель службы информбезопасности банка из топ-50.— Это, безусловно, в ряде случаем замедлит прохождение денег и даже может вызвать недовольство клиентов, но в то же время защитит от хищения их средств». Данные поправки должны вступить в силу с 1 июля 2018 года.