Ущерб для банков и их клиентов, а также онлайн-сервисов и магазинов от мошеннической схемы с использованием подложных платежных систем за год (первое полугодие 2021 года к аналогичному периоду 2020-го) составил 3,15 млрд рублей. Об этом «РГ» рассказали в компании Group-IB, специализирующейся на кибербезопасности. Для обеспечения безопасности онлайн-платежей, а также двухфакторной аутентификации пользователя более 10 лет назад была разработана технология 3-D Secure, поддерживаемая всеми платежными системами — Visa, JCB International, AmEx и "Мир" (НСПК). До сих пор она являлась синонимом безопасности, пока мошенники не научились подделывать 3-D Secure страницы, говорится в отчете Group-IB Hi-Tech Crime Trends 2021/2022 "Большой куш. Угрозы для финсектора".
Мошенничество с имитацией страниц подтверждения платежа было впервые обнаружено специалистами Group-IB в конце 2020 года. Оно относится к так называемому Card-Not-Present-мошенничеству (CNP, операции по карте без ее присутствия). Ежедневно в России обманутыми пользователями осуществлялось 11 767 платежей, суммарно это 8,6 млн рублей в день, что привело к ущербу в 3,15 млрд. рублей за отчетный период, исходя из среднего размера транзакции, умноженного на количество выявленных операций на фишинговых платежных страницах.
Как работает схема
Привлеченный мошеннической рекламой, спам-рассылкой, объявлением на досках объявлений, покупатель заходит на фишинговую страницу интернет-магазина, маркетплейса или онлайн-сервиса. Выбрав товар или услугу, жертва вводит на мошенническом ресурсе в форму приема платежа реквизиты своей банковской карты. Данные попадают на сервер мошенника, откуда происходит обращение к P2P-сервисам различных банков с указанием в качестве получателя одной из карт мошенника.
В ответ от P2P-сервиса банка сервер мошенника получал служебное сообщение (так называемое PaReq сообщение), в котором закодирована информация о банковской карте плательщика, сумме перевода, названии и реквизиты использованного P2P-сервиса. Данные в служебном сообщении (информация о банковской карте плательщика, сумме перевода, названии эквайера и онлайн-магазина) остаются не тронутыми, но вместо легитимной 3-D Secure страницы жертву перенаправляют на подложную — с фейковой информацией о магазине.
Параллельно с этим с сервера мошенника инициируется обращение к легитимному серверу 3-D Secure с исходным служебным сообщением. Для банка это выглядит так, как если бы пользователь собственными руками переводил средства на карту мошенника через P2P-сервис банка. Банк отправляет держателю карты СМС-код для подтверждения платежа, который пользователь вводит на фишинговой 3-D Secure странице. В результате, СМС-код, полученный сервером мошенников с подложной 3-D Secure страницы, используется для обращения к легитимному серверу для подтверждения мошеннического платежа.
По прогнозам Group-IB, "фейковые" платежные системы получат широкое распространение и за пределами России. Опасность схемы состоит в том, что перевод денег на счета мошенников выглядит абсолютно легально для банков.
