Занимательная картография: как уберечься от мошенников

Впрочем, подобное приобщение к техническому прогрессу может сыграть злую шутку. Человеку свойственно идеализировать новую и удобную систему, забывая о том, что пользование любой из них (а уж тем более касающейся денег) — это определенный риск. Любой алгоритм защиты можно взломать. Безопасность же пластиковых карт находится на весьма низком уровне, что и подтверждает всплеск карточного мошенничества в России в последние годы.

Хочу сразу подчеркнуть: цель этого материала — вовсе не развитие параноидальных настроений в духе «как страшно жить». Пользоваться пластиковыми картами можно и нужно — не забывая о минимальных мерах предосторожности и зная о возможных мошеннических схемах. В конце концов, принципа «предупрежден — значит, вооружен» ещё никто не отменял.

1.

Пластиковой банковской карточке уже очень много лет. Алгоритмы хранения и передачи информации на ней — а, соответственно, и её защиты — создавались в 70-х годах прошлого века. Поэтому неудивительно, что на Западе, где суммы по мошенническим операциям превосходят российские на порядок, постепенно переходят на так называемые «чипованные» карты — более защищённые. Обычные же карты с магнитной полосой, к которым относится абсолютное большинство всего выданного в России «пластика», уже давно не обеспечивают высокого уровня безопасности для их держателя. В связи с этим иногда (и, как водится, нежданно-негаданно) возникает проблема: добросовестный держатель карты, соблюдавший все условия договора и не «светивший» ни номером карты, ни тем более пин-кодом к ней, обнаруживает, что определенная сумма исчезла со счета самым таинственным образом.

Возможных схем снятия денег — множество. Самый известный (если, впрочем, это слово применимо в такой весьма узкой сфере, как карточное мошенничество) из них — это установка на банкомат специального устройства, скиммера. Все скиммеры разнятся по конструкции, но служат единой цели: получить копию магнитной полосы карты (для этого используется накладка на прорезь для карты в банкомате) и зафиксировать вводимый «жертвой» пин-код (для этого применяется особая накладка на клавиатуру банкомата или миниатюрная видеокамера над ней). Далее эти данные чаще всего перепродаются другим мошенникам, которые выбирают один из двух способов. Можно скопировать данные с магнитной полосы пластиковой карточки на специальную «болванку» и, имея на руках точную копию карты «жертвы», ввести подсмотренный пин-код и снять деньги в любом банкомате. В другом случае мошенники организуют в интернете подставной интернет-магазин и, расплачиваясь в нём за мнимые покупки деньгами с карт «жертв», переводят средства на собственные счета. При этой схеме отыскать мошенников практически невозможно.

Пик публикаций о скиммерах наступил около двух лет назад. Тогда обсуждение уязвимостей и способов, позволяющих обнаружить скиммер или, по крайней мере, сделать процесс «подглядывания» за вводом пин-кода максимально затруднительным для мошенников, велось крайне активно. Эти приемы и методы, впрочем, остаются актуальными всё время. Следует быть внимательным при выборе банкомата (если его внешний вид хоть чем-то внушает подозрение, лучше отказаться от снятия денег) и во время набора пин-кода прикрывать клавиатуру другой рукой или бумажником. Кстати, зеленые накладки с изображением замка на отверстиях для карты — это не скиммеры, а как раз таки антискиммеры (устройства, делающие установку считывателя более трудной).

2.

С активным развитием интернет-услуг связан бурный рост другого вида карточного мошенничества — фишинга. В этом случае злоумышленники перехватывают конфиденциальную информацию (номер карты, ее CVV-код на обратной стороне и разнообразные пароли) либо с помощью установленного на компьютере «жертвы» трояна, либо через подставной сайт, своим внешним видом копирующий проверенный ресурс — сайт интернет-магазина или банка. С учетом того, что большинство банков имеют веб-интерфейсы, позволяющие клиентам следить за состоянием карточного счета и проводить по нему операции, в руках мошенников оказывается вся необходимая информация. Наибольший риск познакомиться с фишингом — у неосмотрительно ведущих себя в интернете (яркие примеры: одинаковые пароли ко всем используемым сервисам, переход по ссылкам из писем, пришедших с неизвестных почтовых адресов, пренебрежение установкой антивируса и покупки в непроверенных интернет-магазинах).

Ну и, наверно, самый элегантный вариант увода средств — это выпуск к счету «жертвы» дополнительной карты. В принципе подобная услуга необходима для того, чтобы одним банковским счетом могли пользоваться, скажем, члены одной семьи — каждый с помощью своей пластиковой карточки. В этом случае одна карта, оформляемая первой, будет являться основной, а все другие — дополнительными, причем процесс их получения несколько проще процесса оформления основной карты. Пользуясь этим, мошенники выпускают дополнительную карту к счёту ничего не подозревающего клиента и безо всяких проблем снимают деньги (например, так).

Особый интерес вызывает тот факт, что нет никаких гарантий того, что таким же образом не поступит сотрудник банка. Он, среди прочего, сможет куда удобнее провернуть подобную операцию: через него каждый день проходит огромное количество документов. Получить не просто ксерокопию паспорта клиента или подставного лица, но и — при необходимости — непосредственно оригинал документа не представляет собой проблемы. Кроме того, у сотрудника банка перед глазами — образцы подписей клиентов, так что доказать факт подлога «жертве» становится ещё труднее.

3.

Впрочем, возможен и совсем уж незавидный вариант: клиент пользуется надежными банкоматами, не совершает покупки в интернете и ведет себя крайне осмотрительно, но деньги с карты всё равно уводят. Возможно, хакерам удается каким-либо образом взломать систему безопасности банка. Возможно, конфиденциальные сведения «протекают» непосредственно из самого финансового учреждения, через нечистых на руку сотрудников. Возможно, отнюдь не кристально чисты непосредственные производители карт и конвертов с пин-кодами к ним.

Большинство подобных ситуаций — просто по закону больших чисел — наблюдается в Москве и Санкт-Петербурге, однако и в нашей области подобных случаев становится всё больше. Свою лепту, бывает, вносят и сами банки: так, незадолго до новогодних праздников отличился «Сбербанк», безосновательно списав средства с карт минимум двадцати жителей региона. В этом конкретном случае организация под руководством Германа Грефа сработала по-честному, признав собственную ошибку. Во большинстве же случаев банки склонны переводить стрелки на клиента, обвиняя того в забывчивости, ротозействе или — хуже того — в мошенничестве.

Обычно имеет место такая ситуация: держатель карты внезапно узнает, что он абсолютно непостижимым образом снимал деньги с карты или расплачивался ей в магазине Великобритании, Гондураса или Саудовской Аравии в то время как сам он вместе с картой находился в Москве, Иркутске или Грязовце. После визита в банк клиенту, как правило, сообщают, что при совершении этих операций был введен правильный пин-код, и предлагают написать заявление о несогласии с транзакциями и просьбой провести банковское расследование. Итогом этого расследования зачастую становится отписка — мол, правильно введенный пин-код является несомненным подтверждением того, что деньги были сняты самим держателем карты. Может, он просто забыл о своих гондурасских каникулах, а может, смошенничал, переслав свою карту и сообщив пин-код своему аравийскому сообщнику. При этом никаких доказательств своей точки зрения банк не приводит. Клиент же, имеющий все подтверждения своего присутствия в России, остается у разбитого корыта.

Иногда деньги клиентам возвращали, что называется, полюбовно; в некоторых случаях списанные средства клиенты получали через суд. Подобное отношение к добропорядочным вкладчикам — среди прочего, еще и от несовершенства российского законодательства. В Европе и США в подобных ситуациях банки, заботящиеся о своей репутации несколько больше своих российских «коллег», возвращают необоснованно списанные средства по первому заявлению клиента и при предоставлении им минимальных доказательств своей добропорядочности.

4.

При обнаружении пропажи денег со счета главное — правильно себя повести в первое время. Если пришла смс о «странном» списании средств с карты — немедленно звоните в службу поддержки вашего банка (ее номер следует держать в телефонной книжке мобильника) и блокируйте карту, объяснив, что произошло. В идеале этот и все последующие разговоры с сотрудниками банка следует записывать на диктофон — возможно, это пригодится потом, в суде. Сразу же находите двух-трёх свидетелей того, что вы в данный момент находитесь там, где находитесь, причем карта — при вас. Обратите внимание свидетелей на номер вашего «пластика»: в том случае, если дело дойдёт до разбирательства, им обязательно зададут вопрос вроде «А вы уверены, что видели именно эту карту?»

Далее — заявление в милицию. Расследование подобных преступлений находится в ведении отдела по борьбе с экономическими преступлениями. Будьте готовы к тому, что его сотрудники будут принимать ваше заявление, мягко говоря, с неохотой: для ОБЭП каждое такое дело — это гарантированный «висяк». Впрочем, даже несмотря на то, что преступника (к примеру, бразильского хакера) навряд ли найдут, преступление не перестает быть преступлением. Помните: по закону ваше заявление обязаны принять в любом случае (статья 144 УПК РФ).

По прошествии некоторого времени начинается самый занимательный этап: «кошки-мышки» с банком. Будьте готовы к тому, что со внутрибанковским расследованием вашей претензии будут тянуть и «волынить» как можно дольше — в надежде, что клиент либо забудет о потере средств, либо смирится с ней. Будьте готовы к тому, что банк будет отсылать вас от одного сотрудника к следующему и от одного отделения к другому — в надежде избавиться от ответственности.

Основное правило в такой ситуации — проявлять максимум активности. Обязательный «комплект» действий — письменные заявления в Роспотребнадзор, областное отделение Центробанка и сам банк-обидчик (да-да, еще одно. Кстати, иногда очень действенно отметить в нем, что вы уже обратились с заявлениями в те самые контролирующие организации). В них следует описать сложившуюся ситуацию, особо отметив добросовестное соблюдение правил пользования картой и свою непричастность к спорным операциям. Все эти бумаги должны быть приняты, к примеру, канцелярией соответствующей организации. Письменные обращения подаются в двух экземплярах: один остается в канцелярии, другой — с датой обращения и входящим номером — отдаётся вам.

Из действий необязательных, но крайне желательных, — регулярные (в пределах разумного, конечно) звонки в банк и письменные жалобы в головной офис банка и Ассоциацию российских банков. Основная задача всех этих действий — обратить максимальное внимание к своей проблеме и заставить воспринимать себя всерьез. Одна лишь письменная претензия в банк особой погоды не сделает, однако после звонков из нескольких контролирующих органов банк вполне может решить, что связываться с таким «грамотеем» себе дороже, и полюбовно вернуть деньги, не доводя дело до суда. Впрочем, и здесь всё зависит исключительно от желания банка дорожить своей репутацией и сохранить клиента.

5.

В том случае, если деньги после некоторого времени так и не собираются возвращать, придется подавать исковое заявление в суд. Какие-либо советы здесь давать сложно: каждый случай пропажи денег требует своего подхода. Написание искового заявления, скорее всего, следует поручить юристу — по той же причине. Стоит лишь отметить, что основная линия, просматривающаяся в заявлениях клиентов — это отсылка к условиям договора с банком (устанавливающего, что для снятия денег со счета необходим не только правильный набор пин-кода, но и использование оригинальной карты клиента) и указание на несоблюдение банком закона «О защите прав потребителей», требующего уведомлять клиента о потенциальной небезопасности «пластиковой» услуги.

Резюмируя сложившуюся ситуацию, стоит признать: выходов из сложившегося на рынке «пластика» положения практически нет. Значительно более защищенные карты с чипом пока что не слишком доступны для широкого круга потребителей и более дороги. Кроме того, и на старуху бывает проруха: увести деньги с «чипа» всё равно можно.

Не действует в этом случае и стандартный совет-отговорка — мол, следует заранее уточнять все интересующие обстоятельства у сотрудников и внимательно читать договор. Пункты о том, что организация снимает с себя всю ответственность за «странные» операции, признает пин-код в качестве не подлежащей сомнению подписи клиента и может проводить внутрибанковское расследование практически бесконечно, прописаны в договорах абсолютного большинства банков.

Единственное мало-мальски действенное предложение по решению проблемы — это совет не держать большие суммы денег на зарплатной карте (лучше переложить их на другой счет или открыть депозит) или завести для покупок в магазинах и интернете отдельный счет и отдельную карту.