28 ноября в Москве прошла IV Международная конференция AntiFraud Russia 2013, посвященная борьбе с мошенничеством в сфере высоких технологий. Портал Банки.ру узнал, какие настроения царят в международных кругах борцов с технологичным фродом.
Как оказалось, степень «международности» мероприятия сильно преувеличена: единственный заявленный заграничный участник — глава европейского отделения PCI Council Джереми Кинг — приехать не смог. Впрочем, состав участников и без него был очень представителен: видные эксперты в области информационной безопасности, представители Банка России, разработчики разного рода банковского программного обеспечения и несколько сотрудников управления «К» МВД, занимающегося борьбой с преступлениями в Сети, во главе с начальником,
Конференцию открыл как раз
Следом выступил начальник управления департамента национальной платежной системы Банка России Вадим Кузнецов. Озвученные им цифры не сколько пугали, сколько успокаивали: по его данным, из операций по пластиковым картам отечественных банков, выполненных на территории России, лишь 0,003% являются несанкционированными (фродовыми). За границей процент фрода чуть больше — 0,06% от операций с картами наших банков. По всей видимости, это обусловлено обналичиванием средств с карт, подвергшихся скиммингу в России, — по неписаному закону кардеров, дамп карты (содержимое ее магнитной ленты) перед снятием средств должен пересечь границу.
Кузнецов указал на несколько ключевых направлений борьбы Центробанка с технологичными мошенничествами. Это анализ угроз на основе изучения отчетности по инцидентам, повышение безопасности банкоматов и
Последняя идея выглядит весьма перспективно — как правило, методики выполнения фродов повторяются из раза в раз. И в них нередко задействуются одни и те же люди. На профильных конференциях банкиры неоднократно жаловались на отсутствие подобной системы, но воз пока и ныне там. Отчасти ее появлению препятствует
Президент некоммерческого партнерства «Национальный платежный совет» Алексей Саватюгин отметил, что главным препятствием на пути перехода к безналичным платежам является их незащищенность. По его словам, совет надеется на принятие в ходе весенней сессии Госдумы предложенных им поправок в
Отвлекшись от темы, Саватюгин попенял организаторам конференции за проверку документов — два дюжих охранника на входе пускали участников строго по списку и с предъявлением документа, удостоверяющего личность. «Спасибо за то, что мы чувствуем себя здесь защищенными, но необязательно пускать по паспорту на конференцию, направленную на защиту интересов миллионов людей», — заявил оратор, чем вызвал оживление в зале и натянутые улыбки у организаторов.
Генеральный директор Group IB Илья Сачков пришел на конференцию с крайне содержательным отчетом о деятельности компании на поприще информзащиты. Собравшиеся узнали, что 80% экспертиз для управления «К» МВД проводит именно Group IB, что определенно придает компании авторитета в отрасли. С ее помощью впервые в истории российского правосудия был осужден организатор
По словам Сачкова, Group IB наблюдает нисходящий тренд потерь от фрода: число зафиксированных мошенничеств с 2011 по 2012 год упало вдвое (данные за этот год пока не подсчитаны), потери от мошенничеств с
Вместо не приехавшего Джереми Кинга выступил ассоциированный
По данным MasterCard, в 67% случаев фрода причиной является отказ от двухфакторной аутентификации при удаленном доступе к системе, а еще 27% — различные программные уязвимости
Сменивший его на сцене директор центра информационной безопасности «Инфосистемы Джет» Игорь Ляпунов сходу ошарашил публику неожиданным выбором темы своего доклада. Решив, видимо, что на конференции по борьбе с высокотехнологичными мошенничествами выступлением об информационной безопасности никого не удивишь, он рассказал о самых обычных внутренних мошенничествах —
По всей видимости, для Ляпунова эта тема была наболевшей: с горечью он поведал, что за последние годы не потерял ни рубля с пластиковой карты, а вот двух сотрудников, пытавшихся обокрасть компанию, выгнать пришлось. За этим признанием последовал увлекательный рассказ о закупке полуторагодичного запаса моцареллы для казахстанской торговой сети и методах кражи топлива с нефтеперерабатывающего завода. Основная мысль доклада была проста: не столь важно, какими средствами защищается компания от воровства, главное — отсутствие «дырок» в
Следующий докладчик, руководитель отдела расследований компьютерных инцидентов «Лаборатории Касперского» Руслан Стоянов вернул конференцию в «высокотехнологичное» русло. По его оценкам, лицо киберпреступного бизнеса последние десять лет стремительно менялось. Если на заре цифрового бандитизма этим ремеслом занимались высококвалифицированные элитные хакеры, то в наше время возрастной порог вхождения в электронную мафию снизился до предела: «Неофиты киберкрайма начинают приобщаться к преступной деятельности с 12—13 лет. Начинается все с посещения форумов, где подробно описано, что, где и как надо использовать для получения криминального дохода. Дальше они скачивают публичный криминальный софт, начинают пользоваться криминальными сервисами и гарантами, а полученный доход вкладывается в платные инструменты, за счет чего преступные доходы растут».
В отличие от большинства других докладчиков, Стоянов не ограничился статистикой и выводами, высказав несколько предложений по борьбе с киберпреступностью. По его мнению, закрытие доступа к хакерским форумам поднимет ценз вхождения в эту среду, а перенос фокуса борьбы на хакерскую инфраструктуру и сервисы также затруднит деятельность неквалифицированных мошенников. «Хакерство должно вновь стать элитарным. Элите — большие сроки!» — призвал Стоянов. Для исполнения последнего пункта докладчик предложил модернизировать законодательство в сторону ужесточения.
После пленарного заседания пришло время круглого стола по теме «Как защитить интересы банков и клиентов в рамках законодательства о национальной платежной системе?». Вел его
Вскоре фокус обсуждения сместился с защиты интересов банков и клиентов на защиту интересов банков от клиентов. С большим вниманием был выслушан рассказ представителя
В завершение конференции одновременно в разных залах прошло несколько секций и круглых столов. Наиболее многообещающим показался круглый стол по теме «Безопасная разработка банковского ПО: есть ли панацея от мошенников?». Судя по составу участников, организаторы явно рассчитывали на более чем оживленную дискуссию: за одним столом собрались представители
С учетом того, что вступать в дискуссию могли не только непосредственные участники круглого стола, но и банкиры из зрительного зала, обстановка неизбежно должна была накалиться. Так и случилось. В свете ожидаемого радикального роста потерь от разного рода высокотехнологичных мошенничеств банкиры всерьез ополчились на разработчиков программного обеспечения. Суть обвинений состояла в том, что разработчики представляют заказчику «дырявый» софт, не заботясь о поиске и искоренении уязвимостей в продукте. А заказчик в дальнейшем вынужден дорабатывать уже внедренную и запущенную систему, подвергаясь риску финансовых потерь.
Обстановка стремительно накалялась, и круглый стол быстро превратился в подобие товарищеского суда. В роли главного обвинителя выступал генеральный директор компании Digital Security Илья Медведовский, «подсудимыми» стали Рустэм Хайретдинов — генеральный директор Appercut, Станислав Шилов — директор по продажам компании «Бифит» и Андрей Бешков — руководитель программы информационной безопасности Microsoft Russia.
Прозвучали резкие высказывания. В ходе дискуссии Илья Медведовский заявил: «Мы с разработчиками на разных планетах. Разработчики могут говорить что угодно, но ситуация катастрофическая — безопасности просто нет. Очень много дыр». По его мнению, единственным выходом из ситуации для банкиров является самостоятельное тестирование продуктов с помощью наемных тестировщиков с последующей доработкой за счет разработчика. Правда, как отметил Медведовский, это не системное решение: поскольку банковское ПО зачастую индивидуально подгоняется под конкретного заказчика, патчи (информация для автоматизированного внесения определенных изменений в компьютерные файлы. — Прим. ред.) от одной версии не подойдут к другой.
Станислав Шилов парировал нападки стройными цифрами. По его данным, на 300 клиентов, закупивших комплекс ДБО, выпускаемый его компанией, зафиксировано лишь семь обращений с проблемами, выявленными при тестировании. При этом все обнаруженные уязвимости, при ближайшем рассмотрении, заключались в неверной конфигурации инфраструктуры — сети и серверов клиента.
Представитель Microsoft внезапно также обрушился на разработчиков с резкой критикой. По словам Андрея Бешкова, «софт пишут люди, и как все другие люди, они делают ошибки и не хотят их признавать. Разработчикам не интересно искать дыры, им интересно сделать быстро, у них нет мотивации делать защищенный продукт». На это ему заметили, что родоначальником традиции поставлять программный продукт As Is («как есть») является именно Microsoft и именно эта компания приучила всех, что разработчик за качество продукта не отвечает.
В этот момент ведущий снизил градус дискуссии, подняв тему дефицита в России грамотных специалистов — программистов и аудиторов ПО. Эта тема была близка всем. Дмитрий Левиев, эксперт Академии информационных систем, отметил, что сейчас «идет хорошая волна талантливой молодежи». Да вот беда — они все хотят быстро увидеть результат своей работы (и быстро получить деньги), а для разработки ПО это нехарактерно, зато очень характерно для работы хакера. Получается, что в настоящее время вузы куют кадры скорее для хакерских объединений, чем для
Мнения всех высказывавшихся по этому вопросу сводились к одному: аудит стоит денег, никто добровольно его делать не захочет, и потому отрасль нуждается в традиционном стимуле со стороны регулятора — Банка России. В своем завершающем слове представитель регулятора отверг эти предложения, заявив, что «Центробанк не может, не должен и не является регулятором разработчиков ПО. Введение обязательной сертификации банковского ПО очень плохо скажется на бизнесе, так как сроки, в которые государственные структуры, такие как ФСБ и Федеральная служба по техническому и экспортному контролю, выполняют такого рода сертификацию, крайне продолжительны». По его мнению, оказывать давление на разработчиков должны банки, причем не сами по себе, а их объединения. А дело регулятора — только давать рекомендации.
Михаил ДЬЯКОВ, Banki.ru