Карта, самолет, девушка… кто сорвал банк?

Юрий Винограй много путешествует и часто пользуется за границей пластиковой карточкой. Два с половиной года назад он открыл кобрендинговую карту Visa Platinum «ВТБ 24 – Трансаэро». Продукт Юрию нравился: кредитный лимит составлял полмиллиона рублей, что позволяло не думать о деньгах на отдыхе. За каждую покупку или перелет на карту начислялись бонусы, которые затем можно было обменять на бесплатный авиабилет. Что Юрий и сделал. Рано утром 9 апреля он приехал в аэропорт Внуково, чтобы сесть на самолет и отправиться в Нью-Йорк. Оформляя посадочный талон, девушка на стойке регистрации попросила у Юрия карточку, чтобы начислить бонусные баллы. Юрий удивился: они не полагались, поскольку перелет и так был бонусный.

Юрий Винограй, посетитель портала Банки.ру:

«Я вот решил уточнить. Уточнил, она сказала, что «нет, все равно баллы должны быть начислены, я сейчас проверю, дайте мне карту». Я дал карту, она какое-то время побыла у нее, затем девушка сказала, что, мол, баллы уже начислены, все в порядке, и вернула мне карту. Дальше я сел в самолет, самолет взлетел вовремя, может быть, на несколько минут позже расписания, это было 11 часов утра. По прилете в Нью-Йорк, через 10 часов ровно, я включил телефон, и мне посыпались эсэмэсочки о том, что с моей карты, переводом с карты на карту, были четырьмя трансакциями сняты в общей сумме 300 тысяч рублей плюс где-то 80 с чем-то тысяч – это комиссионные».

Деньги были украдены при помощи интернет-сайта card2card. Эту в общем-то безобидную услугу предоставляет Альфа-Банк: для того чтобы сделать перевод другому человеку, нужно ввести номер его карты, а затем номер своей карточки и ее CVV-код. Юрий позвонил в банк из американского аэропорта и немедленно заблокировал пластик. Позднее, уже из отеля, он написал письмо, которое отослал по нескольким адресам: в банк, в авиакомпанию и нам, на портал Банки.ру. ВТБ 24 отреагировал быстро.

Юрий Винограй, посетитель портала Банки.ру:

«10 апреля я получил ответ от ВТБ 24 о том, что моему заявлению присвоен там соответствующий номер входящий… И расследование, которое будет длиться 60 дней».

19 апреля, когда Юрий вернулся в Москву, первым делом он отправился в полицию, в отделение аэропорта Внуково. Там он написал подробное заявление о случившемся, а еще поделился с полицейскими своими подозрениями. Юрий полагает, что стал жертвой преступной схемы, в которой замешана работница «Трансаэро».

Юрий Винограй, посетитель портала Банки.ру:

«Никто, кроме этого сотрудника, не знал, что я буду в полете, схема очень отработанная, видимо, очень циничная – человек находится в полете, прилетает в чужую страну, сделать ничего не может мгновенно».

К тому же, по словам нашего героя, он допускает, что в схеме могли участвовать сотрудники банка, которые имеют доступ к личным данным клиентов. Дело в том, что чиповая карта Юрия была защищена при помощи технологии 3D Secure. По сути, это дополнительный шаг авторизации клиента при покупках в Интернете. После того как держатель карты вводит все ее данные, сайт магазина показывает ему страницу банка-эмитента, на которой предлагается ввести дополнительный пароль. Этот пароль бывает динамическим, то есть генерируется при каждой новой покупке и отправляется держателю карты по СМС, или постоянным, когда клиент банка задает пароль сам. Именно такой, постоянный пароль был у Юрия. Наш герой уверят: секретный код он хранил бережно, на сомнительных сайтах его не использовал.

Юрий Винограй, посетитель портала Банки.ру:

«Без пароля 3D Secure предполагается, что максимальная сумма операции такого рода может быть 10 тысяч рублей. Ну, у меня было намного больше. То есть существует предположение, что в общем-то каким-то образом пароль стал известен тем злоумышленникам, которые сделали... Но не по моей вине – я могу это на 100% гарантировать».

Но каким же образом мошенники получили столько важной информации о карте нашего героя? Причастна ли к этому девушка из аэропорта? «Исключено», – ответили нам в пресс-службе «Трансаэро».

Прежде всего, регистрацию пассажиров на рейсы проводят не сотрудники авиакомпании, а работники фирмы, занимающейся наземным сервисом. Их нанимает аэропорт. Так что девушка, которая регистрировала Юрия на рейс в Нью-Йорк, не имеет никакого отношения к авиакомпании. Тем не менее, по заявлению нашего героя, авиаперевозчик провел полную комплексную проверку. Согласно данным с видеокамер, Юрий передал свою карту девушке в 7:32 утра, и она держала ее в руках не больше 20 секунд. Никаких посторонних манипуляций с картой она не производила.

Как ни странно, но то, что во время мошеннических трансакций Юрий был в небе, может быть простым совпадением.

Андрей Емелин, председатель Национального совета финансового рынка (НСФР):

«То есть на самом деле может быть неочевидной причинно-следственная связь между конкретным действием – например, полетом конкретного человека за рубеж, да? И может быть вполне установлено, что завладел информацией об этом человеке кто-то гораздо раньше. На самом деле жизнь настолько богата на очень сложные мошеннические комбинации, что уже почти перестали удивляться каким-то изобретениям нашего очень креативного гражданина».

Но почему же не сработала система 3D Secure? Может ли она дать сбой? Как она вообще работает?

Александр Бородкин, начальник управления пластиковых карт ВТБ 24:

«В случае если карта подключена к технологии 3D Secure и торговая точка подключена к технологии 3D Secure, то операция не по технологии 3D Secure пройти не может. В таком случае, если карта подключена к технологии безопасности 3D Secure, то трансакцию мы считаем безопасной. Есть, правда, один маленький кейс: если торговая точка не подключена, а банк подключен – естественно, здесь операции по технологии 3D Secure нет, но здесь для банков действует правило переложения ответственности. И, собственно говоря, для банка-эмитента все претензионные случаи в такой ситуации будут компенсированы банком-эквайером, который не поддерживает данную технологию».

Есть у нашего героя еще один вопрос. Почему банк не вернул средства на карту в рамках нового закона, вступившего в силу 1 января этого года?

Андрей Емелин, председатель Национального совета финансового рынка (НСФР):

«В соответствии с действующей редакцией 161-го закона «О национальной платежной системе», устанавливается обязанность банка возвратить денежные средства в случае, если они были переведены без согласия плательщика, однако срок исполнения такой обязанности законом не установлен. Поэтому, к большому сожалению, приходится сталкиваться с не совсем корректным прочтением закона, когда сам факт закрепления обязанности банка вернуть читают как обязанность вернуть сразу».

В действительности в законе написано, что банк обязан расследовать обстоятельства списания денег. И если будет установлено, что клиент операцию не подтверждал, – деньги будут возвращены. На расследование банку дается от одного до двух месяцев. Но что мешает банку признать операцию верной, не искать мошенников и требовать возврата кредита с клиента?

Андрей Емелин, председатель Национального совета финансового рынка (НСФР):

«На самом деле банки к этому относятся достаточно, я бы сказал, трепетно, что в тех случаях, когда есть хотя бы малейшее основание полагать, что лицо никаким образом не причастно к совершению хищения, то, конечно, денежные средства возмещаются».

А пока банк разбирается в ситуации, клиенту лучше выплачивать украденный кредит и проценты по нему.

Александр Бородкин, начальник управления пластиковых карт ВТБ 24:

«Как правило, банки в таких ситуациях, пока не провели окончательное расследование и не выяснили, фактическая ситуация – мошенничество или не мошенничество, то банки и начисляют проценты, и как бы, собственно говоря, вносят… формируется задолженность по клиенту. В случае если ситуация признана претензионной и клиенту возвращают денежные средства, – то есть операция не клиента, а это либо мошенники, либо какая-либо ошибка – то, разумеется, клиенту возвращаются и проценты, начисленные за операцию, и сама сумма операции».

К тому же расследование может затянуться и превысить срок так называемого грейс-периода, то есть льготного погашения кредита. А в этом случае банк будет обязан уведомить о задолженности бюро кредитных историй. Впрочем, в ВТБ 24 реальный срок рассмотрения претензии составляет от четырех до семи дней, так что есть вероятность, что нашему герою не придется платить за мошенников.

Александр Бородкин, начальник управления пластиковых карт ВТБ 24:

«На текущий момент банк проводит расследование данного инцидента. Инцидент не очень простой, он нетиповой, поэтому сроки расследования по нему не так коротки, но все равно в рамках регламента процедур банка. Я думаю, что в ближайшее время мы клиенту ответим, и там данный прецедент закроем».

Для банка не составляет труда определить, каким образом, когда и откуда была проведена трансакция. А вот кто и когда похитил персональные данные Юрия – непростая задача, которую предстоит решить ему самому. Возможно, если секретные код все-таки был введен, клиенту следует еще раз проверить компьютер на вирусы или искать злоумышленника в своем окружении. Как ни странно, но держатели карт чаще всего теряют деньги из-за собственной невнимательности.

Андрей Емелин, председатель Национального совета финансового рынка (НСФР):

«Для клиента очень важно соблюдать, на самом деле, самые простые основы безопасности использования электронного средства платежа. Это несообщение никому своих ПИН-кодов, логина, пароля при дистанционном банкинге; это непередача своего электронного средства платежа, карты в том числе, третьим лицам или передача вот в пределах видимости; это, не дай бог, ненацарапывание ПИН-кода на карте. Если бы мы с вами были чуть-чуть более бдительны, мы бы почти в половине случаев не лишались своих денег».

Мы будем следить за развитием этой истории. А если у вас возникла спорная ситуация с банком, обязательно пишите нам по адресу, который видите на ваших экранах. Мы постараемся помочь!

Всегда ваши Татьяна Калинникова, Юрий Кулаков, Banki.ru