«Банки отбили более 20 млн попыток похитить деньги клиентов»
Банк России планирует сосредоточить работу на борьбе с дропперством — подростков активно втягивают в эту деятельность: желая заработать 3 тыс. рублей, школьники становятся соучастниками по уголовным делам. Об этом в интервью «Известиям» в преддверии Уральского форума – 2024 заявил зампред Банка России Герман Зубарев. Также он рассказал, что в последнее время массово распространяется схема с созданием поддельных телеграм-аккаунтов руководителей. Кредитные организации стараются защищать своих клиентов: за девять месяцев 2023-го банки отбили свыше 20 млн попыток похитить деньги клиентов и спасли от кражи 3,3 трлн рублей, но вскоре им придется компенсировать средства, которые всё же удалось увести. Как банки готовятся к этому и какие еще инициативы по защите граждан прорабатываются — в интервью «Известий».
«Впервые вводится механизм возмещения банком похищенных денег»
— В последний раз мы с вами встречались ровно год назад — в преддверии Уральского форума «Кибербезопасность в финансах», который впервые организовывал Банк России. Каких целей, поставленных на том форуме, вы достигли?
— Оглядываясь назад, могу сказать, что большинство обязательств, которые мы обсуждали в феврале прошлого года, мы выполнили. Удалось финализировать несколько важных законодательных инициатив, подготовленных при нашем участии.
Во-первых, летом был принят закон по противодействию телефонным мошенникам. Впервые вводится механизм возмещения банком похищенных денег, если его антифрод-системы некачественно сработали и допустили перевод. Реквизиты злоумышленников есть в специальной базе Банка России «О случаях и попытках осуществления переводов денежных средств без согласия клиента». Банки и до закона противодействовали мошенническим операциям, в том числе пользуясь нашей базой — для этого существуют антифрод-процедуры. Но по новому закону им придется финансово отвечать за качество работы по этому направлению перед клиентами.
Появляется также двухдневный период охлаждения, во время которого банк не будет переводить деньги на подозрительный счет и уведомит клиента о приостановке операции. У человека появится возможность одуматься и отказаться от перевода. Новый механизм заработает с 25 июля этого года.
Во-вторых, в июне 2023 года Банк России был наделен полномочиями по контролю за переходом финансовых организаций на отечественное программное обеспечение и оборудование, а также средства защиты информации. Сейчас импортозамещение — значимая для всего рынка задача. У нас создан индустриальный центр компетенций в сфере финансов, совместно с участниками рынка обсуждаем потребность отрасли в замещении тех или иных иностранных продуктов.
— Требование компенсировать похищенные средства — действительно важная и для рынка, и для клиентов новелла. Как банки готовятся к внедрению этого правила?
— Защитные автоматизированные системы зачастую становятся последним рубежом обороны на пути злоумышленников. Предусмотрен отложенный срок вступления закона в силу, чтобы банки их донастроили. Процесс совершенствования систем еще продолжается, и мы уже видим первые результаты.
С прошлого года Банк России стал собирать статистику о предотвращенных хищениях со счетов людей. Только за девять месяцев банки отбили более 20 млн попыток похитить деньги клиентов и спасли в общей сложности 3,3 трлн рублей. Результативность защитных систем от мошеннических списаний — около 98%. Тем не менее злоумышленникам удалось похитить почти 11,8 млрд рублей. Мы будем и дальше повышать требования к качеству антифрод-систем банков.
— Вы не думаете, что банки, опасаясь финансовой ответственности, с лета начнут массово блокировать или задерживать переводы?
— Нет, потому что законом четко предусмотрены случаи, при которых банк должен приостановить перевод.
Первый случай, когда он видит, что операция подпадает под признаки мошенничества. Например, клиент совершает нетипичные транзакции — крупные переводы в ночное время, причем с нового устройства. Банк вправе спросить у клиента, действительно ли он сам совершает перевод и не находится ли под влиянием злоумышленников. Если, несмотря на предупреждение, человек настаивает на переводе, то банк обязан исполнить транзакцию.
Во втором случае, когда счет получателя содержится в нашей базе, финансовая организация обязана на два дня приостановить перевод, даже если клиент настаивает. Если после двух дней человек не отменил перевод на этот же мошеннический счет, то банк обязан исполнить операцию. И в этом случае он освобождается от финансовой ответственности.
— Сейчас доля возмещения в среднем составляет около 5%. После вступления закона в силу она вырастет?
— Сегодня банки возмещают деньги только в одном случае, когда хищение случилось без участия клиента, то есть он не передавал мошенникам доступ к своим деньгам: не сообщал данные карты, коды из смс, логин или пароль. Однако большое число мошеннических операций происходит с использованием социальной инженерии, когда человек добровольно переводит сбережения злоумышленникам. Такие случаи не подпадают под действующий механизм компенсаций. Принятый закон как раз направлен на противодействие в том числе и таким хищениям.
Мы не делаем прогнозов по росту доли возмещений. Наша задача — не увеличить компенсации, а мотивировать банки перестроить свою работу таким образом, чтобы успешных хищений практически не было.
В последние годы регулятор вместе с банками принимает системные меры, чтобы ущерб населению от действий злоумышленников сокращался. В 2022 году количество мошеннических списаний уменьшилось впервые за семь лет, хотя сумма похищенных денег выросла примерно на 4%. Тогда мошенники похитили 14,2 млрд рублей. Статистика о потерях за 2023 год еще готовится. Но мы видим положительный тренд снижения доли мошеннических операций в общем объеме переводов. Так, за девять месяцев прошедшего года люди сделали перечисления почти на 133 трлн рублей, мошенникам из этой суммы досталось примерно 11 млрд рублей, или 0,0085%.
«Решение проблемы дропперства — в фокусе внимания Банка России»
— Банки должны предотвращать переводы на счета, которые содержатся в базе ЦБ о подозрительных операциях. Иными словами, речь о дропперских счетах. Какой объем данных сейчас хранится в базе ЦБ?
— Сейчас в нашей базе содержатся сотни тысяч реквизитов. В прошлом году их было на порядок меньше — десятки тысяч.
— Сталкивались ли вы с тем, что в базу попадали счета добросовестных россиян?
— База наполняется за счет сообщений от банков: клиенты жалуются, что перечислили деньги мошенникам, кредитные организации проводят внутреннюю проверку и сообщают Банку России данные подозрительных счетов. Мы также проверяем информацию, в том числе с помощью банка-получателя похищенных денег, и при наличии оснований включаем счет в базу. Благодаря такой многоэтапной проверке, у нас единичные жалобы на необоснованное попадание в нее. Мы рассматриваем такие обращения, и если ошибка подтверждается, то исключаем счет из базы. Чтобы упростить и ускорить этот процесс, мы сейчас разрабатываем документ и форму обращения, которые усовершенствуют процедуру исключения реквизитов из базы данных регулятора.
— Как в ЦБ в целом оценивают проблему дропперства — соучастия граждан в выводе украденных мошенниками средств?
— Ситуация развивается по негативному сценарию. Решение проблемы дропперства — в фокусе внимания Банка России. Сегодня существует несколько вариантов вовлечения людей в обналичивание похищенных денег. Кто-то сознательно участвует в этом и передает свои карты мошенникам. Другие не подозревают, что их счета используют для вывода средств и что они стали соучастниками преступления.
К сожалению, в последнее время в дропперство активно стали втягивать подростков. С 14 лет они могут оформить банковскую карту с разрешения родителей. А мошенники распространяют в соцсетях рекламу: якобы под видом банков, которым нужно выполнить «план по продажам», предлагают людям оформить любую карту и передать ее неким лицам за вознаграждение — например, за 3 тыс. рублей. Затем включается сетевой маркетинг: подросткам предлагают еще 2 тыс. рублей, если они приведут друга с картой. Таким способом дети массово втягиваются в дропперство. В некоторых случаях подросток физически не передает мошеннику «пластик», а предоставляет ему реквизиты карты и коды доступа к онлайн-банкингу.
Чем это опасно? Как правило, во время расследования фактов мошенничества в первую очередь выходят на дропперов. Молодые люди, которые погнались за сиюминутной выгодой, могут стать соучастниками хищения и понести уголовную ответственность.
— Какие еще схемы вовлечения в дропперство фиксирует ЦБ?
— Один из вариантов — когда школьникам или студентам предлагают «трудоустройство»: быть администратором лотереи и якобы отправлять выигрыш победителям. На самом деле карта человека используется в схеме вывода похищенных денег, а человек оказывается соучастником преступления.
— Как ЦБ планирует бороться с дропперами?
— Чтобы эффективно бороться с дропперством и предотвратить вовлечение людей в эту незаконную деятельность, мы консолидируем усилия с правоохранительными органами и финансовыми организациями.
Сейчас если информация о дроппере появляется в нашей базе данных, банк вправе заблокировать ему доступ к счету, чтобы прервать цепочку вывода и обналичивания похищенных денег. По нашим данным, средний срок «жизни» дропперских карт составляет от двух до 15 дней в зависимости от банка, который выявляет и блокирует их. Летом этого года заработает закон, о котором я сказал ранее. По нему банки будут обязаны блокировать доступ при поступлении в нашу базу информации о преступлении от МВД России.
Сведения из базы мы направляем всем финансовым организациям, поэтому фактически дроппер лишится возможности пользоваться сервисами дистанционного обслуживания сразу во всех банках.
Кроме того, мы поддерживаем законодательные инициативы, которые предусматривают ужесточение наказания за такие преступления, а также возможность правоохранительных органов приостанавливать денежные операции на счете дроппера до решения суда.
Особое внимание мы продолжим уделять профилактической работе среди различных социальных и возрастных групп. Мы собираемся провести масштабную просветительскую кампанию, чтобы сформировать у широкой аудитории негативный образ дроппера. Предупредить людей, в первую очередь родителей школьников, о рисках и возможных последствиях предоставления карты чужим людям.
«Распространяется схема с созданием поддельных телеграм-аккаунтов руководителей»
— Появились ли новые схемы обмана в последнее время?
— Мошенники постоянно придумывают их, в том числе с упоминанием Банка России. Сейчас мы фиксируем изменение их тактики. Персонификация атак телефонных мошенников — это тренд последних месяцев. Злоумышленники стали предварительно изучать жертву — ее профиль в соцсетях, круг друзей, место работы, материальное положение, оценивают, на какую сумму человек может оформить кредит. Часть информации о потенциальной жертве берется с сайтов, на которых человек сам оставляет данные о себе, либо они становятся доступными из-за утечек.
Затем мошенники ищут варианты, как наиболее эффективно наладить коммуникацию с этим человеком. Под него разрабатывается индивидуальный сценарий обмана с использованием современных технологий. Так, массово распространяется схема с созданием поддельных телеграм-аккаунтов руководителей: чтобы завоевать доверие, людям пишут от имени их начальников. Мошенники могут использовать современные компьютерные программы, в том числе искусственный интеллект, чтобы создавать голосовые сообщения от имени родственников человека или его близких. Уже после этого с жертвой связываются по телефону и обманывают по стандартной схеме.
Такие адресные атаки мошенников опасны тем, что человеку, особенно пожилому, еще сложнее распознать обман. Злоумышленники и рассчитывают на то, что, заручившись приватной информацией, они «пробьют» барьер недоверия и получат доступ к деньгам.
— Говоря о современных технологиях, фиксируете ли вы, что мошенники стали активно использовать тот же ChatGPT для обмана граждан?
— Мошенники используют любые доступные сегодня способы. Впрочем, чтобы создать качественный дипфейк, нужно собрать большое количество видеозаписей в Сети — не у всех они есть.
Мы рекомендуем держать в тайне персональные и финансовые данные. Стоит быть осмотрительнее, не размещать в свободном доступе личную информацию, не пересылать в мессенджерах и соцсетях чувствительные сведения из документов.
— В последнее время мошенники стали чаще связываться с россиянами не по телефону, а через мессенджеры. Какие риски ЦБ видит в том, что меняется канал взаимодействия с человеком?
— Благодаря законодательным новеллам и усилиям Минцифры, нам действительно удалось практически побороть звонки с подменой номера, которыми раньше очень активно пользовались мошенники. Но они перешли в мессенджеры. Мы ожидаем, что в дальнейшем злоумышленники продолжат использовать мессенджеры для обмана людей.
— Как в ЦБ относятся к тому, что многие банки активно работают в мессенджерах? Пусть они и не предоставляют там свои сервисы, но через них связываются с клиентами.
— На наш взгляд, неправильным было бы запрещать банкам взаимодействовать с клиентами через отечественные мессенджеры. К тому же после введения санкционных ограничений приложения некоторых банков пропали из магазинов (Apple Store, Google Play. — «Известия»), и для них мессенджеры стали одним из каналов коммуникации с клиентами.
Кредитные организации вправе использовать для банковских операций только те мессенджеры, которые разрешил Роскомнадзор. Мы направили им рекомендации о том, как следует работать в мессенджерах с учетом требований информационной безопасности и мер по защите персональных данных. В основном они содержат технологические рекомендации, описываются варианты проверки клиента. Кроме того, мы рекомендуем предусмотреть в онлайн-банке возможность устанавливать полный запрет на любые операции в мессенджерах.
«Требуется синхронизировать системы «Госуслуг», МВД и банков»
— В 2023 году на форуме обсуждалась возможность запустить сервис, который позволит пострадавшим подавать через «Госуслуги» заявление в полицию о хищении денег. На каком этапе подготовка этого сервиса?
— Действительно, мы предложили такую идею, чтобы люди могли в автоматическом режиме сообщать о мошенниках в правоохранительные органы. Вопрос сложный, требуется синхронизировать системы «Госуслуг», МВД и банков. Мы сейчас активно работаем над этой задачей, она есть в «Основных направлениях развития информационной безопасности кредитно-финансовой сферы на 2023–2025 годы».
— Какие меры по защите граждан ЦБ сейчас также обсуждает с банковским сообществом?
— Мы разработали ряд мер по борьбе с кредитным мошенничеством, когда человек под влиянием злоумышленников оформляет заем и самостоятельно передает эти средства злоумышленникам. Речь идет об установлении требований к антифрод-процедурам банков при выдаче клиентам кредита. Планируем предметно обсудить эту тему и другие новые направления защиты людей от кибермошенников совместно с банками, представителями власти и экспертами на предстоящем форуме в Екатеринбурге.
