18.08.09. В США задержаны киберпреступники российского происхождения
В США раскрыта крупнейшая в истории страны электронная кража, и к ней причастны русские хакеры. Киберпреступники похитили данные 130 миллионов банковских карт.
Организатор банды, некий Альберт Гонзалес, и его русские сообщники в течение трех лет взламывали базы данных крупных торговых сетей и похищали номера кредиток и пин-коды. По словам специалистов, установить точную сумму ущерба от этого преступления будет очень непросто.
Имена русских сообщников американского хакера пока не раскрываются, и вообще, неизвестно – задержаны ли они. Установлено, что украденные данные переправлялись в Латвию, Нидерланды и Украину.

По мнению экспертов, мошенник пользовался техникой, известной как SQL-инъекция.
«Смысл SQL-иъекции состоит в следующем: при работе с базой данных сотрудник формирует специальные запросы, в ответ на которые база данных предоставляет ему необходимые данные, например, имена клиентов и их телефоны. Данные, недоступные этому пользователю, при определенных условиях, злоумышленник может «вытащить» путем включения (инъекции) в исходный запрос дополнительных служебных параметров. Самым надежным способом защиты от SQL-инъекции является фильтрация обрабатываемых данных, т.е. проверка на наличие служебных символов. Но таким механизмам разработчики и администраторы систем не всегда уделяют должное внимание», – говорит Иван Твердохлебов, консультант «Инфосистемы Джет».
SQL-инъекция достаточно трудоемка. «На западе внедряется единый стандарт защиты карточных данных. В соответствии с ним ритейлерам и платежным организациям запрещено хранить в открытом виде данные карточек, а данные по авторизации - в любом виде. В противном случае их ждут серьезные штрафы. Поэтому воровство было достаточно трудоемким процессом, если, конечно, не было следствием инсайдерского внедрения. Масштабы можно оценить, если представить, сколько бы заработали мошенники, если бы сняли, хотя бы по доллару с каждой карточки», – полагает Евгений Рудацкий, руководитель направления аудита «Инфосистемы Джет».

Виды мошенничества с пластиком
В настоящее время существует множество вариантов отъема денег у населения с помощью пластиковых карт. Один из них – так называемый «кардинг». При данном виде мошенничества производится операция с использованием банковской карты или ее реквизитов, не инициированная или не подтвержденная ее держателем. Как правило, реквизиты банковских карт берутся со взломанных серверов интернет-магазинов, платежных и расчётных систем. Кроме того, данные могут быть украдены непосредственно с персональных компьютеров путем внедрения программ удаленного доступа. Например, «трояны», «черви».
Следующий вид мошенничества – «фишинг». Это наиболее распространённый метод воровства номеров платежных карт. При данном виде воровства создается специальный сайт, пользующийся доверием у пользователя.
В России одним из наиболее распространенных способов хищения денег с банковских карт является «скиминг». Преступники используют специальные приборы, называемые «скимеры». Это устройства для считывания, например, магнитной дорожки кредитной карты. Сам по себе девайс является приспособлением со считывающей магнитной головкой, усилителем-преобразователем, памятью и переходником для подключения к компьютеру. «Скимеры», зачастую, портативны и миниатюрны. Как правило, их устанавливают на отверстие для приема пластиковой карты. Также устройства могут представлять собой поддельную клавиатуру для набора пин-кода, наложенную поверх настоящей.
Еще существует «ливанская петля». В этом случае используется приспособление из куска резины, с помощью которого банковская карточка задерживается в банкомате. Через некоторое время, после того как раздосадованный владелец, после неудачных попыток извлечь карту, уходит за помощью, мошенники достают кредитку и снимают с нее деньги. Предварительно злоумышленники заполучают ПИН код, например, с помощью видеокамеры.
Существуют и другие способы отъема денег у держателей пластиковых карт. Это может быть как инсценировка звонка из банка, так и рассылка SMS-сообщений с просьбой связаться с менеджером кредитной организации по указанному телефону и рассказать свои личные данные.
Если мошенники завладели личной информацией (например, ПИН код) владельца пластиковой карты, то велика вероятность того, что деньги со счета последнего будут украдены. «Личные данные карты мошенники перепродают организованным преступным группировкам по цене 5-20$ в зависимости от объема. Далее с их помощью изготавливаются дубликаты пластиковых карт и, если ПИН код был также сворован, то можно смело идти в любой банкомат мира и снимать все деньги с карты. Если же ПИН кода нет, то злоумышленники идут в магазины и покупают различные товары, которые потом перепродают, получая деньги», – говорит Максим Эмм, директор департамента аудита компании «Информзащита».
Если не заблокировать карточку в течение 1-2-х суток после компрометации, то вероятность потерять деньги существенно возрастает. «Особенно неприятен тот факт, что если был украден ПИН код, то банки по правилам платежных систем не обязаны возмещать средства с карты, похищенные злоумышленниками», – констатирует Эмм.
И это даже не смотря на то, что платежные системы, такие как VISA и MasterCard ведут круглосуточный мониторинг мошеннических транзакций и сообщают банкам о том, что необходимо заблокировать те или иные карты. «Так, специально для пресечения подобных операций, ведущие платежные системы, включая VISA и MasterCard, несколько лет назад объединились и разработали единый стандарт безопасности – так называемый стандарт PCI DSS, минимизирующий риск утраты данных, – говорит Максим Эмм. – С 2006 года этот стандарт обязателен и для российских банков, а с 2010 года кредитные организации, которые не выполнят все его требования в полном объеме, будут штрафоваться».