Банки не готовы гарантировать стопроцентной защиты клиентских денег

Дата: 21.03.2013
Источник: Bankir.ru


Банки не готовы гарантировать стопроцентной защиты клиентских денег.

На прошлой неделе в первых строчках новостей мелькнуло сообщение о том, что пойманы за руку бывшие и действующие работники Сбербанка, укравшие 50 млн. рублей с зарплатных счетов клиентов. Факт, что обезвредить преступников удалось при содействии службы безопасности самого банка, упомянут лишь вскользь, почти как «звездочка» в кредитном договоре. Зато трубным гласом прозвучали «Сбербанк-онлайн», воры-сотрудники и зарплатные счета. Хороший удар ниже пояса по имиджу, учитывая, что по оценкам банковского профессионального сообщества, именно зарплатные проекты сегодня считаются драйверами банковских услуг в инертные массы.

Мошенничество в системах дистанционного банковского обслуживания давно сияет как бриллиант чистой воды, что ни день, то новая грань. Главное, что произошло в менталитете банкиров – они, наконец, перестали говорить обществу, что «в Багдаде все спокойно». И даже начали поступать с точностью до наоборот, «воспитывая» своего клиента. Вместе с тем, несмотря на легкую передышку, которую дала банкирам годовая отсрочка вступления в силу страшной для их бизнеса нормы закона о Национальной платежной системе, банкиры не могут не понимать, что плохая подготовка к исполнению этого закона ставит под угрозу дальнейшее развитие дистанционного банкинга. Как банки прикрываются от мошенников сегодня, и какие щиты для этого они будут использовать завтра?

Фрод-мониторинг

Основная цель этого метода – остановить мошенническую транзакцию. Системы фрод-мониторинга своими аналитическими механизмами выявляют действия, нехарактерные для клиента, и ставят их на подозрение.

«Крупные банки выстроили системы информационной безопасности и лишь продолжают их усовершенствование, остальные пытаются это сделать, поэтому спрос на технические решения по фрод-мониторингу будет нарастать. В зависимости от настроек, система может заблокировать счёт, отправить уведомление клиенту или офицеру службы безопасности банка. Основными плюсами таких решений является возможность гибко настраивать систему, учитывая специфику каждого конкретного заказчика», - говорит менеджер по работе с крупными корпоративными клиентами компании ESET Алексей Цивилев.

Наличие логина и пароля – уже недостаточная система защиты, поскольку даже поддельное информирование через смс-сообщения уже вышло у мошенников на промышленный масштаб. «Единственный эффективный метод – фрод-мониторинг. Буквально на днях, как мне сообщили в службе безопасности одного из банков, они смогли вычислить и задержать дропера, который пытался обналичить украденные 250 тысяч рублей», - рассказывает начальник отдела информационной безопасности «Банковских информационных систем» Александр Федоров.

Руководитель группы информационной безопасности компании Symantec Олег Шабуров считает, что сейчас тяжело найти банк, у которого нет хотя бы «самописного» антифрод-решения. Банки подтверждают, что этим щитом первой линии обороны они успешно пользуются.

«В нашем банке осуществляется мониторинг подозрительных транзакций. Это позволяет выявлять мошеннические операции и останавливать их до попадания в платежную систему.

При анализе учитываются различные показатели и выявляются операции, несвойственные для конкретного клиента. Далее оператор банка проверяет платеж и окончательно устанавливает мошеннический он или нет», - рассказал начальник отдела информационной защиты Росгосстрахбанка Владимир Егорычев.
«В 2011 году мы внедрили аппартано-програмную систему он-лайн фрод-мониторинга операций интернет-банка «Альфа-Клик» в режиме реального времени. В настоящее время система доказала свою высокую производительность и эффективность, сведя потери клиентов и банка к минимальному уровню» – говорит директор по мониторингу электронного бизнеса Альфа-банка Алексей Голенищев.

Однако внедрить и на этом успокоиться – мало. Разработчики не устают повторять, что это направление требуется все время развивать и не для галочки. Вендоров тоже можно понять – ведь это их бутерброд с икрой. Но все же здравый смысл в их заявлениях имеется.

Директор по развитию АМТ-Груп Илья Митричев утверждает, что несмотря на многолетнюю популярность технологий по выявлению подозрительных платежей в российских банках, обычно они ограничиваются предлагаемыми встроенными или наложенными решениями от вендоров систем дистанционного банковского обслуживания. Необходимость комплексных промышленных внедрений осознали пока немногие. «Понимание большинства пока ограничивается попыткой выявления на основе некоторых примитивных формальных правил. Эффективность такого метода показушна. Но и инвестиций практически никаких не требует – вендоры или предлагают решения бесплатно в маркетинговых целях, или продают «за копейки», - комментирует эксперт.

Это, по мнению эксперта, далеко от реального фрод-мониторинга, способного сделать риск финансовых потерь банка минимальным, да еще и в качестве бонуса повысить имидж банка как организации, заботящейся о своих клиентах и продвигающей безопасные дистанционные услуги.

«Такие цели достигаются комплексным решением, затрагивающим не только системы ДБО. Для реализации таких проектов необходимы достаточные бюджеты. К сожалению, риск-менеджмент банка обычно не в состоянии качественно оценить риски и возможные последствия действий мошенников, поэтому непросто обосновать необходимость расхода финансов и человеческих ресурсов банка на принятие мер по фрод-мониторингу», - говорит Митричев.

Независимый эксперт по информационной безопасности Евгений Царев находит ситуацию еще более странной. «В настоящий момент ведется жесткий демпинг со стороны отечественных производителей решений мониторинга транзакций и банки далеко не всегда покупают качественные продукты. Как результат - фактически «убитый» рынок», - заявляет он.

Впрочем, менеджер по развитию бизнеса компании "Информзащита" Елизавета Спасенных вовсе не находит решения по фрод-мониторингу копеечными. «Внедрение этих систем обходится, прямо скажем, недешево: оно требует значительной подготовки, связанной с выявлением типовых схем мошенничеств и точной настройкой логики работы таких систем. Однако в результате, грамотно построенная система фрод-мониторинга обеспечивает свою окупаемость за счет снижения уровня мошенничеств», - считает она.

Заместитель начальника управления развития продуктов компании BSS Андрей Хохлов считает, что переложить все риски на клиента – не выход. «Как показывает практика внедрения комплексного антифрод-решения передовыми банками, предотвращение всего лишь двух-трех крупных попыток кражи со счетов клиентов снижает размер потенциальных убытков банка на сумму с лихвой покрывающую вложенные инвестиции. Кроме того, решение обеспечивает соответствие деятельности банка по дистанционному обслуживанию клиентов требованиям российского законодательства и регуляторов», - говорит Хохлов.

Борьба с инсайдом

Судя по сообщениям правоохранительных органов, серьезную угрозу как для банков, так и для их клиентов несут инсайдеры. Генеральный директор компании Group IB Илья Сачков давно заявляет о том, что в преступных хакерских группировках есть действующие сотрудники банков.

Статистику ущерба от инсайда приводит и Алексей Цивилев. «Типовая модель мошенника не ограничивается только сторонними злоумышленниками, часто и сами сотрудники банка, имеющие доступ к данным о счетах клиента и операциям с ними могут использовать его в корыстных целях. По неофициальным оценкам такие преступления наносят ежегодный ущерб на сумму от $400 до $600 млн. в год», - говорит он.

Внедряют ли российские банки IT-решения, позволяющие контролировать инсайдеров?
Александр Федоров уверен: если правильно взяться за дело, всех инсайдеров можно вычислить в течение полугода. «Любая попытка «слить информацию» оставляет след. Все, что необходимо, - стопроцентный контроль над компьютером, а также аудио, видеоконтроль. Об этих мерах можно объявить сотрудникам, пусть они об этом знают. Наши сотрудники, работая по заказу одного из банков, столкнулись с проблемой: им запрещено пользоваться своими флешками. Вроде бы неудобство, но мы понимаем позицию банка, он гарантирует себя от утечки информации. И правильно делает», - привел пример эксперт.

Илья Митричев подтверждает, что большинство банков внедряют решения по выявлению пресечению действий инсайдеров. Это имеет еще и «бонусный» эффект – предотвращение ошибок сотрудника банка, непреднамеренно нарушающего те или иные требования.

По оценкам Елизаветы Спасенных, до недавнего времени банки предпочитали использовать собственные разработки для контроля «инсайдеров». Однако это оказалось дорого, и банки стали задумываются о сторонних продуктах известных вендоров. «Рост числа проектов по внедрению таких систем объясняется, с одной стороны, общим увеличением случаев мошенничества. С другой – постоянно совершенствующимися механизмами защиты, для обхода которых и успешной реализации мошеннических схем все чаще требуется содействие внутренних инсайдеров», - комментирует эксперт.

«Борьба» с клиентом

Банки честно стараются научить клиента прописным истинам и элементарным правилам информационной безопасности. Но потребителю мало быть априори «слабым звеном», он еще и учиться не желает. Об этом говорят фото забытых в компьютере токенов или паролей, напечатанных на листе и вывешенных в рамочке на стене офиса – такие «веселые картинки» банкиры-«безопасники» любят показывать в своих презентациях.

Какие методы банки используют для обучения своих клиентов и эффективны ли они?
«В...

Добавить комментарий

Всего 0 комментариев