Технологии бесконтактной оплаты товаров разработаны американскими платежными системами Visa (PayWave) и Mastercard (PayPass) для ускорения и упрощения безналичной оплаты покупок. Карты с технологией PayPass выпускает 43 крупных российских банка, карты c PayWave — 16. Технологии PayPass и PayWave применяются на картах с чипом и магнитной полосой. При расчетах такой картой не нужно вводить PIN-код, а также ставить подпись на чеке, если сумма покупки небольшая (до 1 тыс. рублей). По оценкам Zecurion, карты с бесконтактной технологией оплаты есть у 2 млн россиян. Заявлено, что в России больше 30 тыс. точек приема PayPass: предприятия транспорта, торговли, сферы услуг.
Суть схемы похожа на перехват сигналов электрозамков угонщиками автомобилей. Как сообщили в Zecurion, средства с карт PayPass и PayWave списываются мошенниками с помощью самодельных считывателей, способных сканировать банковские карты с чипами RFID (см. фото). По большому счету это аналоги легальных бесконтактных PoS-терминалов: RFID-ридеров, посылающие электромагнитные сигналы.
Стоимость легального считывателя для PayPass и и PayWave — от 20 тыс. рублей. Но надо понимать, что хакерам для считывателя нужно немного, а компоненты не очень сложно заказать. Стоимость RFID-ридеров, которыми пользуются хакеры для воровства денег с банковских карт россиян, составляет $100, — их хакеры изготавливают самостоятельно. Самый примитивный считыватель состоит из специального контроллера, антенны для приема сигнала и интерфейса для подключения к компьютеру и программного обеспечения на самом компьютере.
Как указывает замдиректора департамента аудита защищенности компании Digital Security Глеб Чербов, мошенникам достаточно бесконтактно получить номер карты и дату окончания срока ее обслуживания.
Но Чербов успокаивает, что защититься от мошеннической атаки не так сложно.
— Существуют кошельки, которые защищают карту от считывания (RFID blocking wallet), появились карты, которые кладутся в кошельки рядом с собственными — по цене около 500 рублей, — говорит Чербов. — Также пользователям новых карт можно посоветовать придерживаться давно известных рекомендаций относительно того, чтобы быть внимательными с SMS-информированием и соблюдать другие известные правила при проведении трансакций.
По словам замруководителя блока операционного и IT-сопровождения Бинбанка Игоря Новожилова, бесконтактное мошенничество пришло из Европы.
— Сложно предсказать потенциальный объем хищений, но с ним однозначно можно бороться, — уверен Новожилов. — Считывающее устройство должно быть поднесено практически вплотную к карте. Эта особенность уже обеспечивает определенный уровень защиты. Сложно представить, как кто-то допустит, чтобы по его карманам водили сканером. А если в кошельке две и более бесконтактных карты, то это только усложняет задачу считывания. Также можно менять порог суммы оплаты для ввода PIN-кода. Сама технология разрабатывалась для быстрых покупок на маленькие суммы, например оплата городского транспорта, прессы в ларьке и т.п.
В прошлом году злоумышленники уже успели украсть около двух миллионов рублей с помощью таких хакерских приспособлений. К тому же появились методы увода с кредитных карточек денег используя последние модели смартфонов, в которых присутствует модификация разновидность технологии RFID — устройство NFC. Хакерам для вывода средств с карты необходимо лишь узнать ее полный номер карты и месяц/год окончания обслуживания.
Чипами PayPass оснащены карты международной системы Mastercard, а чипами с названием PayWave карты платежной системы Visa. При этом обе компании позволяют использовать свои бесконтактные технологии как на карточках с магнитной полосой, так и на более новых карточках с квадратным чипом.
Удобство пользования системами Mastercard-PayPass и Visa-PayWave заключается в упрощении и ускорения платежей в магазинах. При совершении оплаты до тысячи рублей картами с RFID-чипами нет необходимости расписываться на кассовом чеке и вводить в PoS терминал свой ПИН-код.
Смысл мошеннических схем состоит в перехвате NFC-сигналов используя незаконные устройства-считыватели. По своей технической начинке RFID-перехватчики это сильно продвинутые аналоги обычных бесконтактных карточных терминалов ПОС с увеличенной функциональностью, которые улавливают и обрабатывают электромагнитные волны. Такой прибор обычно оборудован антенной, специальным контроллером, разъемами для извлечения со считывателя информации и пиратского компьютерного ПО.
Для считывания платежных данных мошеннику вполне будет достаточно поднести считыватель примерно на десять сантиметров к карточке жертвы.
То есть в метро или наземном транспорте в час пик это будет сделать очень легко и незаметно. Сворованная информация в дальнейшем передается другим участникам, которых исполнителя зачастую даже и не знают. А те уже изготовляют клоны-дубликаты банковских карт, которые используются для обналичивания черного нала.
Так как можно защитить свои деньги от хакерской атаки на бесконтактную карту?
Можно приобрести специальное портмоне blocking RFID wallet с защитой от считывания. Или еще существуют карточки, которые необходимо поместить в бумажник рядом со своими кредитками. Также рекомендуется подключить информирование изменения остатка счета с использованием СМС-сообщений или PUSH-уведомлений. Как вариант можно еще уменьшить размер суммы, которую можно использовать при оплате картой без указания PIN-кода.
Также существенным недостатком NFC-считывателей является то обстоятельство, что этот прибор мошеннику необходимо расположить чуть ли не вплотную к оригинальной банковской карте, что уже позволяет обеспечить достаточную защиту от считывания. Ну а если в вашем портмоне несколько штук бесконтактных карточек, то это обстоятельство также усложнит преступный замысел.
Тема-то потенциально серьезная. Мои коллеги по работе уже писали об этом не так давно. Изменилось ли что-то за полгода?
Опыты показали, что стандартные приборы для бесконтактной оплаты: телефоны, PoS-терминалы и тому подобное — действительно работают только на ОЧЕНЬ маленьком расстоянии. Получается, что злоумышленники, конечно, могут извлечь какие-то данные вашей карты, но шанс маленький. К тому же требуются довольно недвусмысленные действия, которые можно заметить со стороны. Считыватель, спрятанный в кармане куртки, тут не поможет…
Несколько более сложный путь данные карты могут проделать, попав в базу данных торговцев-кардеров, чтобы потом, в не вполне обозримом будущем, возможно, стать частью некой теневой операции. С вышеупомянутым набором данных вероятность неприятностей по этой схеме несколько меньше, но ничего хорошего этот сценарий точно не обещает.
Но тут мы вплотную подходим к тем мерам безопасности, которые даже старше портативных терминалов. Каждый кассовый аппарат с давних времен регистрировался — как минимум в налоговой инспекции. С появлением системы электронных платежей каждый терминал (если это независимый терминал, а не PoS-система) регистрируется при заключении договора с банком-эквайером.
Паспорт и прочие подтверждения сущности/личности фирмы/продавца — обязательны. Без этого денежные взаимоотношения между покупателем и торговцем (по сути, эквивалентные безналичному обмену между банком торговца, банком-эквайером и банком, выдавшим карту покупателю) просто невозможны.
Любая мошенническая транзакция, будучи опротестованной, может быть отслежена до терминала, с которого она была инициирована, и его владельца. Соответственно, опротестованная транзакция отменяется, деньги возвращаются, а владельцем терминала начинают плотно интересоваться компетентные органы.
Тут, однако, начинается серая зона.
При желании можно придумать еще обстоятельства, чаще всего связанные с тем, что кто-то недостаточно тщательно выполняет свою часть действий, обеспечивающих безопасность платежа. Будьте внимательны к тому, с кем именно вы имеете дело, и всегда досконально выясняйте, каковы условия, на которые вы подписываетесь.
Что касается фирм, зарегистрированных на чужое имя, то, мне кажется, подобного рода мошенничество организуется ради гораздо более серьезных операций, нежели попытка увести с чужих карт несколько десятков тысяч рублей, которые попросту не окупят криминальные вложения.
Ах да, есть еще вариант с незадачливым курьером, потерявшим терминал. Но он не для преступников: вывести деньги со счета фирмы, на которую зарегистрирован терминал, можно только, например, взломав электронный банк. И зачем тогда, спрашивается, вообще красть терминал?
Да и надо ли вообще что-то делать? Каждый решает сам. Просто помните, что эксперимент, требующий рюкзака и тележки из супермаркета, завтра может стать реальностью.
Вот что я решил для себя:
- хранить бесконтактные карточки в контролируемой зоне в одежде на груди. Не рядом с телефоном;
- несмотря на отсутствие прямой и непосредственной угрозы, рассмотреть вопрос об экранированном хранилище;
- сохранять чеки при пользовании картой. При опротестовании жульнической транзакции наличие чеков по платежам за период, в который все и произошло, может, по крайней мере по словам банковских сотрудников поддержки, помочь в расследовании и снизить шансы на то, что деньги пропадут безвозвратно;
- регулярно убеждаться, что с защитными решениями на всех моих устройствах все в порядке и они регулярно обновляются. Их наличие даже не обсуждается. Я выбрал Kaspersky Total Security для всех устройств — в нем есть специальный компонент для защиты электронных платежей, им можно управлять из облака, а в случае кражи моего телефона с NFC можно этот самый телефон заблокировать. Кроме того, среди мобильных троянцев есть куда более неприятные экземпляры, особенно для тех, кто, как я, активно пользуется электронным банкингом, и Kaspersky Internet Security их успешно ловит.