Очередное крупное мошенничество с использованием платежных карт
В статье ноября 2015-го была описана ситуация с относительно новым видом мошенничества, с помощью которого преступники похищали деньги с банковских счетов: Хакеры изобрели новую схему воровства денег, украв 250 млн. рублей. Как именно происходило мошенничество, кратко:
Преступник получал платёжную карту, пополнял её и тут же снимал внесённые деньги в банкомате, запрашивая чек. Далее данные о транзакциях отправлялись сообщнику, который имел доступ к зараженным POS-терминалам. Через терминалы, по коду операции, формировалась отмена снятия наличных. В результате баланс карты мгновенно восстанавливался и у злоумышленника появлялись «отменённые» деньги на счету. Преступники повторяли эти действия многократно, пока в банкоматах не заканчивалась наличка, модифицируя свою схему после исправления банками ошибки. Тогда было открыто несколько судебных дел в отношении виновных, «денежные мулы» были из Лондона, Украины, Латвии и Литвы.
Однако сейчас появилась новость об очень похожей ситуации, включающая и названия пострадавших компаний. Сумма ущерба на этот раз почти в два раза больше — около полумиллиарда рублей.
В августе 2015-го мошенники или их сообщники, используя карты MasterCard, которые были выпущены банком «Кузнецкий», сняли из банкоматов других банков 470 млн руб. Мошенники использовали платежную систему ОРС, в которую тогда входило более 200 банков и которая позволяла снимать наличные по более низким тарифам. UCS же является операционным и платежным клиринговым центром ОРС.
Обычно мошенники делают по 5–10 подходов к банкомату, каждый раз снимая максимально возможную сумму (200 000 руб., 40 купюр номиналом 5000 руб.). Особенность данного случая в том, что за сутки было сделано более 3 000 таких операций, а общая сумма достигла почти 470 млн руб. Судя по сумме и количеству операций, мошенникам пришлось за короткий срок опустошить более 200 банкоматов, принадлежащих разным банкам. Вручную выполнить такое количество операций отмены платежа невозможно даже физически, так что можно уверенно утверждать, что действовал не сотрудник, а хакеры, которые предварительно получили доступ к инфраструктуре банка.
Ситуация очень похожа с описанной ранее, это атака «отмена транзакции»: мошенник, используя карту банка-эмитента, снимает наличные в банкомате. Сразу после этого сообщник мошенника направляет в платежную систему требование об отмене операции. «Из-за отмены операции сумма на карточном счете не изменяется, так что мошенники могут повторять эту двухходовку снова и снова, пока не надоест», — говорит директор по методологии и стандартизации Positive Technologies Дмитрий Кузнецов — При этом у эмитента возникнет долг перед эквайером на сумму, равную сумме снятой наличности».
Когда мошенники сняли первую сотню тысяч рублей, остаток, имеющийся на корсчете эмитента, уменьшился на эту сумму, а после отмены операции восстановился, хотя у эмитента возникла фактическая задолженность перед эквайером на сотню тысяч. С каждой следующей мошеннической операцией остаток на корреспондентском счете то уменьшался, то восстанавливался.
Суд указал, что транзакции в платежной системе ОРС осуществляются в соответствии с правилами MasterCard, а, согласно им, право на отмену операции в режиме реального времени имеет только банк-эквайер (т. е. владелец банкомата), а банк-эмитент (в нашем случае «Кузнецкий») мог отменить операцию только по истечении семи календарных дней. Но ответчик UCS, несмотря на это, провел операцию отмены от имени «Кузнецкого».
«По нашим сведениям, по возбужденным уголовным делам проводятся следственные действия, которые еще не завершены», — говорит представитель НКО «ОРС».
По неподтверждённой информации, первые задержания по этому делу прошли еще осенью.
Из материалов следует, что ОРС сразу после инцидента заплатила банкам, из чьих банкоматов украли деньги, 470 млн руб., а иск к UCS был подан 2 ноября 2015 г. По словам человека, близкого к одной из сторон, «Кузнецкий» не мог компенсировать банкам ущерб, поскольку у него не было таких средств, для ОРС это был больше вопрос репутации.
Компенсировать причиненный вред должен преступник. Если хакеров не поймают, то компенсировать вред некому. Если их поймают, то таких денег у них все равно уже нет, — рассуждает Дмитрий Кузнецов — Ущерб возмещает тот, кто по итогам судебных разбирательств оказался «сильнее неправ».
Итого: суд Москвы взыскал с процессинговой компании UCS 470 млн руб., посчитав, что по её вине мошенники похитили у банка «Кузнецкий» данные средства, потому как UCS нарушила условия договора.
По материалам Habrahabr, Ведомости.
