Применение технологий электронного банкинга: риск-ориентированный подход
Шрифт:
В случаях недостаточной проработки вопросов, связанных с защитой прав клиента ДБО и обеспечением выполнения обязательств перед ним, что отражается (или должно было бы отражаться) прежде всего в договоре на ДБО, лишняя (и совершенно необязательная) «головная боль» кредитной организации гарантирована. Впрочем, практика изучения содержания договоров такого рода свидетельствует, что кредитные организации обычно оговаривают для себя отсутствие ответственности за прерывания обслуживания удаленных клиентов в связи с какими бы то ни было обстоятельствами. При этом нередко о каких-либо правовых последствиях, не выполнении взятых на себя обязательств, ущербе, нанесенном клиенту (в том числе в форме невыполнения им своих финансовых обязательств перед третьей стороной) и т. п. речи в текстах не идет. Впрочем, ситуация вроде бы облегчается тем, что, судя по содержанию договоров, клиентов ДБО эта проблематика совершенно не беспокоит, но, как выясняется впоследствии, лишь до нанесения им реального ущерба, когда случившееся может оказаться для них уже необратимым (в смысле финансовых потерь).
В оптимальном варианте организации ДБО сценарии такого рода отражаются (прямо или косвенно) прежде всего в содержании договоров на такое обслуживание, внутренних порядках кредитной организации (начиная с УБР) и должностных инструкциях ее специалистов, что и представляет собой первый результат ориентированного на выявление источников рисков процесса анализа в форме конкретной процедуры, которую можно продемонстрировать клиентам и впоследствии Банку России. Тщательность проработки текстов договоров, безусловно, послужит на пользу обеим сторонам, поскольку предусмотреть удастся если и не все, то большинство проблемных и (или) кризисных ситуаций (угроз), одновременно максимально обезопасив заинтересованные стороны. Далее в качестве второго результата можно предложить организацию входящей в этот же процесс процедуры оповещения клиентов о тех проблемах, с которыми им, может быть, придется встретиться в условиях ДБО. Например, могут быть даны разъяснения относительно уловок фишеров [176] , способов хищений при использовании клиентами банкоматов, гарантий безопасности при использовании той или иной технологии электронного банкинга, как и наличие демоверсий соответствующего программного обеспечения на web-сайтах кредитных организаций и т. п. наверняка способствовали бы улучшению имиджа этих организаций и популярности ее среди реальных и потенциальных клиентов.
176
От термина phishing, обозначающего технологию введения в заблуждение клиентов кредитной организации, в которой используются специфические ложные сообщения электронной почты, имитирующее запрос от нее (в связи со сверкой данных, техническим перевооружением и пр. в качестве «объясняющей» причины), и возможно, своего рода «web-сайты — муляжи», разработанные таким образом, чтобы как минимум выманить личные регистрационные данные клиентов, с помощью которых осуществляется доступ к их счетам и финансовым средствам, а в ряде случаев — и для атак типа «посредник» с перехватом трафика клиента при его «перемещении» по web-сайтам.
Любое обслуживаемое той или иной кредитной организацией лицо (неважно, юридическое или физическое) должно быть в первую очередь уверено, что при использовании им СЭБ для получения какой-либо информации или выполнения банковской операции сеанс удаленного информационного взаимодействия организуется именно с ней. Так обычно и бывает, когда клиент, к примеру, сам вводит в адресную строку своего браузера адрес информационного или операционного web-сайта этой кредитной организации. Однако, как известно, это не единственная возможность организации сеанса, так как открытые системы компьютерной связи подвержены атакам со стороны разного рода «компьютерных мошенников» (кстати, не обязательно хакеров). Например, в случае атак типа фишинга клиент может быть введен в заблуждение относительно того, что он имеет дело с известной ему кредитной организацией, с последующей «выдачей» данных своей персональной идентификации или номера банковской карты, которые затем окажутся использованными мошенником для хищения финансовых средств или в каких-то других целях. По статистике на это попадается примерно 5 % клиентов [177] (кажущаяся незначительность этой цифры не должна вводить в заблуждение — все зависит от того, какой именно клиент «клюнет»), тем более в мире действуют тысячи хакерских и фишерских web-сайтов, распространяющих потенциально опасное программное обеспечение.
177
По информации с web-сайта www.antiphishing.org, на котором публикуются различные материалы, касающиеся распространения и угроз фишинга.
Одна из атак этого вида инициируется фишером, который может воспользоваться доступными справочниками (базами данных) web-адресов для рассылки сообщений, в которых под упомянутым благовидным предлогом клиенту предлагается подтвердить персональную идентификационную информацию с помощью гиперссылки, через которую якобы инициируется соответствующий диалоговый интерфейс с кредитной организацией. На экран компьютера клиента при этом выводится изображение, практически идентичное тому, которое воспроизводится при работе с кредитной организацией через интернет-браузер, вот только адресная строка, которую видит клиент и которая ему знакома, представляет собой фальшивый элемент изображения, формируемый специальным JavaScript'oM и наложенный на изображение настоящей адресной строки, в которой фигурирует (но, понятно, не виден клиенту) адрес сайта фишера, с которым реально имеет дело клиент. При этом в адресной строке имитируется наличие защищенного соединения (https://), на изображении также присутствует программная кнопка «Переход» («Go»), а в фальшивой адресной строке при желании можно впечатать настоящий адрес, т. е. это не статичное изображение, а «живой» код Java. Усугубляет ситуацию то, что фишер получает еще и возможность «негласного отслеживания» всех web-сайтов, посещаемых клиентом в течение сеанса связи, так как адресная строка остается, так сказать, «установленной». В наихудшем случае фишер вслед за этим может организовать атаку типа «посредник», просматривая все отправляемое и получаемое через web-браузер, пока он не будет закрыт. Конечно, зачастую можно обнаружить признаки подделки, поскольку добиться идеального наложения изображений удается далеко не всегда, но по статистике мало кто из атакуемых об этом задумывается.
Не случайно и появление web-сайтов-подделок, которые оформляются аналогично настоящим web-сайтам кредитных организаций и предназначены также для «извлечения» персональной идентификационной информации, за чем далее следуют хищения финансовых средств. Поэтому Банк России сообщил об этом банковскому сообществу [178] и начал размещать на своем web-портале сведения о настоящих адресах web-сайтов кредитных организаций, которые поступают в составе регламентной банковской отчетности.
178
Письмо Банка России от 25 июня 2009 г. № 76-Т «О рекомендациях по информированию клиентов о размещении на web-сайте Банка России списка адресов web-сайтов кредитных организаций».
Специалистам фактически атакуемых кредитных организаций уместно было бы не только иметь представление о том, каким неприятностям могут подвергаться их клиенты, щелкая мышью по гиперссылкам на экранных изображениях браузера, но и уведомлять клиентов ДБО о необходимости крайне внимательного отношения к фишингу, информировать о мерах предосторожности и т. п., да и проектировать свои интерфейсные изображения таким образом, чтобы максимально затруднить их подделку и использование в мошеннических целях. Тем самым может быть исключен целый ряд компонентов большинства из упоминавшихся выше банковских рисков. Прежде всего будет поддержано доверие клиентов к ДБО (а за ним скрыты компоненты репутационного и стратегического рисков), конечно, при сохранении функциональности СЭБ. Далее клиенты не будут иметь оснований для предъявления претензий по поводу того, что «введению» их в заблуждение способствовала сама предложенная кредитной организацией и, «как оказалось, ненадежная» ТЭБ. Наконец, не возникнет обвинений кредитной организации в неплатежеспособности (невыполнении финансовых обязательств в установленные интервалы времени).
Однако в «зоне риска» клиента многие факторы риска возникают и по причинам, связанным с недостатками в обеспечении и поддержании информационной безопасности. Необходимо помнить, что клиенты кредитных организаций, являющиеся «всего лишь людьми», весьма склонны к нарушению даже общеизвестных правил и требований соблюдения мер предосторожности при работе с компьютеризованной конфиденциальной информацией. Типичными являются ошибки при использовании и хранении кодов персональной идентификации, несоблюдение правил использования и смены паролей доступа к функциям ДБО, невнимательность при заполнении полей данных в интерфейсных изображениях, утрата средств персональной идентификации или их компрометация в случае хищений (физических и компьютерных с помощью вирусных программ, сканирования при банкоматном обслуживании и т. п.) и др. Соответственно в тех случаях, когда какие-то кодовые комбинации, персонифицирующие клиента или аутентифицирующие его операции, оказываются похищены (в том числе перехвачены), после чего клиент теряет «живые деньги» или же нарушается конфиденциальность его информации, либо она оказывается искаженной или уничтоженной и т. п., претензии такой клиент предъявит прежде всего к кредитной организации (даже если на самом деле проблема была связана с недостатками в деятельности каких-либо провайдеров). Поэтому во избежание реализации связанных с подобными ситуациями компонентов типичных банковских рисков специалистам кредитной организации целесообразно заранее проработать возможные сценарии неправильного поведения клиента ДБО, составить модели связанных с этим потенциальных угроз (и для кредитной организации и для клиента) и их развития, предусмотреть соответствующие меры и средства защиты, «обкатать» их в ходе проведения ПСИ СЭБ и, наконец, отразить в документе, регламентирующем порядок претензионной работы с клиентами ДБО, или его аналоге. Все это может быть реализовано как процедуры процесса УБР.
Не исключено, что, учитывая тенденцию к увеличению количества вариантов хищения персональной информации кредитным организациям целесообразно рассмотреть возможности усложнения процедур идентификации клиента при начале им сеанса ДБО и перед выполнением банковской операции, т. е. перехода к двухэтапной идентификации с разделением каналов информационного взаимодействия, несмотря на то что этот подход может повысить накладные расходы при ДБО. Для усложнения идентификации человека можно использовать то, что он:
— имеет — пропуск, паспорт, кредитную карту и т. п.;
— знает — пароль, кодовую фразу, последовательность действий;
— обладает — отпечатками пальцев, радужной оболочкой глаза и т. п. (биометрия).
За рубежом биометрические системы используются уже довольно широко не только на «режимных» объектах, но и в торговле и в банковских учреждениях и т. д. Естественно, применение таких систем может существенно сказаться на стоимости услуг ДБО, что допустимо лишь при одновременном адекватном повышении его эффективности (рентабельности), что в большинстве случаев для российского банковского сектора пока еще затруднительно. Однако организовать параллельные каналы информационного взаимодействия можно и за счет дублирования однотипных по принципу работы телекоммуникационных систем, например, если при начале сеанса от клиента требуется ввод некоего кода (PIN, ID, Log-In и пр.) с клавиатуры (тастатуры), то перед завершающим этапом операции от БАС или СЭБ кредитной организации может передаваться сеансовый код, допустим, на мобильный телефон. Схемы такого рода (системы опознавания), широко известные в оборонной тематике, повышают защищенность интересов клиента и ДБО в целом.
Помимо изложенного необходимо отметить, что история развития ДБО в российском банковском секторе (особенно в последние три года) богата претензиями клиентов к кредитным организациям, специалистам и руководителям которых приходится при разборе конфликтных ситуаций объяснять, к примеру, что:
— технические проблемы с инсталляцией дистрибутива и управлением СЭБ необходимо решать с помощью службы технической поддержки кредитной организации или ее сервис-центром, а не со случайными специалистами;