Не только лишь фишинг. Как воруют в Сети, что за это будет и как обезопасить свой сайт

Что будут делать с данными дальше

Иногда преступники завладевают банковским счётом. Доступ к нему открывает онлайн-банк. Мошенник забивает базу паролей в специальный софт — и он автоматически прогоняет логи для входа в конкретный банк. Пароли от Facebook* и «Сбербанк Онлайн» могут совпадать.

Добытый счёт можно привязать к платёжной системе PayPal — и вывести деньги на свои анонимные счета. Либо сделать покупки в интернете — это называется «вещевой кардинг». Мошенники реализуют товары на площадках типа Avito или перепродают знакомым бизнесменам.

Списать деньги можно и напрямую с карты — даже без CVV-кода. Чтобы купить в AliExpress или Amazon на небольшую сумму, достаточно номера карты и даты истечения срока её действия.

Рынок подобных спекуляций действительно огромен. Одних только краденых карт в интернете продаётся на сумму около 2 млрд долларов. Мировой ущерб от действий кардеров в прошлом году оценили почти в триллион долларов США.

Русские кардеры в мире — среди лидеров. Мошенники говорят, что работают только с картами граждан Европы и США. Мол, воровать у своих совестно, да и небезопасно — за преступления внутри России действует уголовная ответственность. Тем не менее, по данным ЦБ РФ, преступники ежегодно обманывают россиян на 1 млрд рублей. От этого также страдают банки и интернет-магазины, через которые совершаются покупки.

Пример кардерского «бизнеса» в сети — мошенники предлагают заказать еду или такси со скидкой 50%. Ничего удивительного: это единственный способ обналичить деньги со взломанного аккаунта.

Как можно бороться с утечкой данных? Стоит включить внимательность. «В России низкий уровень знаний о компьютерной и финансовой безопасности: мы каждый день передаём кому-то номер карты для приёма средств, иногда даже со сроком действия — этого уже достаточно, чтобы совершить хищение. Часто не обновляем ПО на своих компьютерах и смартфонах, особенно это касается системы Android. Устанавливаем „левые“ приложения на телефон — таким образом, отдаём все наши счета и аккаунты мобильных приложений в руки злоумышленников», — комментирует Сергей Павлович.

Когда виноват бизнес

Невнимательность пользователей — лишь одна из зацепок для киберпреступников. Другой, не менее эффективный, способ заработать — взломать интернет-магазин.

Для этого используют эксплойт — скрипт, который задействует уязвимости сайта. С его помощью взламываются интернет-магазины, банки и корпоративные порталы. Часто он представляет собой вредоносный SQL-код — он проникает в базу данных и открывает доступ к информации о клиентах и их платёжным реквизитам.

От этого страдают небольшие магазины со слабой системой защиты и даже гигантские корпорации. Так, в 2013 году были похищены данные более 2,9 млн пользователей сервисов Adobe. Утекли номера карт, даты истечения их срока действия, имена и телефоны клиентов компании.

Данные похищают и с помощью веб-скимминга. В этом случае вредоносный код (обычно это JavaScript) внедряют на страницы сайта. Код подменяет страницу оплаты и ведёт жертву на посторонний ресурс-клон — его URL очень похож на настоящий. Подобный случай произошёл с компанией British Airways: в 2018 году у них украли порядка 380 тысяч клиентских карт на странице оплаты билетов.

Кто будет отвечать?

Очевидно, что от мошеннических операций страдает и покупатель, и интернет-магазин, и сам банк, который провёл спорную транзакцию. Но кто в конечном счёте будет за это отвечать и возвращать деньги?

О том, как может выглядеть цепочка событий, рассказывает Людмила Харитонова — управляющий партнёр юридической фирмы «Зарцын & партнеры»: «Покупатель может обратиться в банк с заявлением о возврате средств — на это есть 180 дней с момента платежа». Харитонова добавляет, что, если срок прошёл, можно обратиться в суд или правоохранительные органы — правда, шансов на успех будет меньше, а сама процедура — сложнее. Что касается продавца, он должен обезопасить себя и доказать, что списание было правомерным. Для этого нужно понять, каким образом произошла оплата и какие доказательства имеет магазин, считает Харитонова.

Фёдор Музалевский, директор технического департамента RTM Group, говорит, что вернуть деньги почти нереально, если докажут, что данные покупатель передал сам — например, через фишинговый сайт. «Банк лучше всего защищён в данной ситуации, — продолжает Фёдор. — Его действия регламентированы договором: как с покупателем, так и с получателем денег. Если нарушений в этих соглашениях не выявят — банк деньги не вернёт. Есть шанс, если средства пришли на счёт интернет-магазина и товар ещё не был отгружен. Если деньги ушли конечному поставщику товара, раскрутить цепочку будет гораздо сложнее».

Ещё одна вещь, которой стоит опасаться, — это утечка клиентских данных. Если магазин виноват, ему отвечать. В Евросоюзе, например, действует Общий регламент по защите данных (GDPR): он обязывает обезличивать и надёжно хранить данные пользователей. Упомянутую выше British Airways оштрафовали на 20 млн фунтов стерлингов — за нарушение этого закона.

Сайт, данные которого скомпрометировали, может получить санкции в интернете. Его могут включить в чёрный список поисковых систем: он перестанет индексироваться в выдаче, плюс браузер начнёт выдавать такое предупреждение:

В России случаи утечки регулируются 152-ФЗ «О персональных данных».