Как обезопасить расчетный счет от кибермошенников?

Кибермошенники ежедневно пытаются украсть деньги у юрлиц о росте кибер атак пишет banki.ru.

Но сначала немного теории: разберемся с основными понятиями, определениями и принципами работы.

Что такое система ДБО "Интернет-Клиент", электронная подпись, ключ электронной подписи и рутокен? 

Система дистанционного банковского обслуживания (ДБО) "Интернет-Клиент" — это Личный кабинет, в котором юрлицо управляет расчетным счетом: отправляет платежные поручения, формирует выписки по счетам, обменивается данными с бухгалтерской системой 1С, ведет переписку с банком.

Чтобы провести платеж, нужно сформировать электронный документ в Личном кабинете и "подписать" его. Для этого используется электронная подпись (ЭП) клиента, которая формируется с помощью ключа — уникальной последовательности символов, идентифицирующей клиента.

Ключ электронной подписи записан на USB-носитель — рутокен, или просто "токен".

Рутокен нужен только при входе в ДБО для аутентификации клиента и во время подписания платежек для формирования электронной подписи. Все остальное время ключ должен быть извлечен из компьютера.

Как клиенты Банка получают рутокен и доступ в "Интернет-Клиент"?

Когда клиенту открывают расчетный счет, тогда же подключают к системе ДБО, по заявлению. Он приезжает в Банк с паспортом и печатью компании, подписывает заявление и получает рутокен с ключом ЭП, диск с драйверами Rutoken и инструкцией по их установке. Порядок использования ключей ЭП именно таков и регламентирован Федеральным законом № 63 "Об электронной подписи". Только так можно гарантировать подлинность ключа электронной подписи и его безопасность.

Как крадут деньги с расчетных счетов?

Кибермошенники "взламывают" человека и крадут деньги его же руками. 

Самый простой способ украсть деньги у компании — обмануть бухгалтера. Клиенту на электронную почту приходит письмо якобы от известного контрагента — у них, мол, изменились реквизиты. Клиент доверчиво создает шаблон и собственноручно отправляет деньги на счет мошенника.

"Троянские кони". Удаленный доступ к компьютеру жертвы. Мошенники заражают компьютер или ноутбук клиента "троянами". Это вирусы, которые позволяют преступнику удаленно управлять рабочим столом клиента. 

Как заражают? Все как писал Гомер в "Илиаде". Под видом безобидного электронного письма или сайта, где вас просят что-нибудь скачать или ввести учетные данные.

Когда мошенник получает удаленный доступ к компьютеру, он формирует фальшивые платежные поручения и отправляет деньги на свои счета.

"Заливка" - "бомба" замедленного действия. "Заливка" подменяет реквизиты платежного поручения в момент их отправки, поэтому ее крайне сложно заметить. Однако "заливка" действует при определенных условиях и сроках, поэтому иногда может не сработать.

Например, компьютер "залили", а бухгалтер в отпуске и не пользуется ДБО. "Заливке" нечего делать, она "ждет". Когда бухгалтер вернется и начнет работать в "Интернет-Клиенте", "заливка" заменит реквизиты в платежках, но возможно, фирма-транзит уже закроется. Тогда деньги вернутся обратно на расчетный счет.

У кого крадут чаще: у маленьких или больших компаний?

Крадут у всех, это не зависит от размера организации и денежного оборота. Люди привыкли думать, что с ними ничего плохого не произойдет, — и мошенники этим пользуются. И если у "физиков" могут красть по чуть-чуть — то у юрлиц крадут сразу всё.

Что делать, если украли деньги с расчетного счета?

Если вы заметили, что у вас попытались украсть или украли деньги, нужно отключить устройство доступа. Вытащите рутокен, выдерните интернет-кабель, выключите компьютер, выньте шнур из розетки, у ноутбука нужно извлечь аккумуляторы.

Незамедлительно позвоните в банк (даже ночью) и сообщите о компрометации ключа, — подпись заблокируют. Напишите заявление на отзыв несанкционированных платежей либо отзовите их самостоятельно с другого устройства и с другим ключом ЭП. Рутокен везите в банк, компьютер — тоже, если попросят. Обязательно заявите в полицию!

Подробные методические рекомендации изложены на официальном сайте Национального платежного совета. Рекомендуем их скачать, внимательно изучить, распечатать и держать на рабочем месте бухгалтера.

Может ли банк вернуть украденные деньги?

Да, у банка есть рабочие способы остановки и возврата денег. Отправка фальшивой платежки — это еще не кража, потому что деньги не у мошенников, а в банке.

После банка деньги оказываются на корреспондентском счете банка принимающей стороны, который переводит деньги контрагенту. Далее — на счете заранее созданной фирмы, но и оттуда их надо вытащить. Обычно со счета компании деньги раскидывают по картам физлиц, потому что так их легче всего обналичить. Получается длинная цепочка, на каждом этапе которой деньги можно вернуть.

Важно понимать, что банк может только затормозить деньги, чтобы они не попали к мошенникам. Но вершить правосудие — дело полиции и прокуратуры. Преступление произошло не против банка, он не является пострадавшей стороной. Поэтому чтобы вернуть деньги обратно на расчетный счет, клиент должен обратиться в полицию и суд.

Что происходит, если клиент не заметил кражи и не обратился в банк?

Клиенты редко успевают вовремя заметить попытку хищения. Банк сам распознает и останавливает их. Если возникают подозрения, специалисты сами перепроверяют платежные поручения и связываются с клиентом: уточняют реквизиты, сумму, назначение платежа, сам ли клиент делал платежку и по доброй ли воле.

Как можно бороться с кибермошенниками?

Нужно не бороться, а исключить саму возможность нападения. Теперь вы знаете, что "сломать" попытаются человека и его устройство-доступ к счету — значит, начинать нужно с себя. Что конкретно делать?

Ограничьте возможность использования и контролируйте доступ к расчетному счету:

1. Мы рекомендуем вам иметь два независимых устройства (например, компьютер и ноутбук) и два ключа ЭП с разными правами. На одном устройстве вы формируете платеж, а на втором — проверяете, совпадают ли данные. Если все идентично — подписываем и отправляем. Если нет — не подписываем и бьем тревогу в банке
2. Рутокен вставляйте только для входа в ДБО и подписания платежек — все остальное время он должен быть вытащен из компьютера
3. На компьютере должен быть пароль. Не "12345", а хороший пароль, который знаете только вы. Если встаете со своего рабочего места, блокируйте компьютер
4. В браузере пароли, пин-коды и учетные данные запоминать нельзя. Каждый раз вводите заново
5. Поставьте ежедневно обновляемый антивирус
6. Не работайте в ДБО с правами администратора — только с правами пользователя. Если злоумышленник завладеет вашим компьютером, он не сможет установить свои программы без прав администратора
7. Когда работаете в ДБО, закройте другие вкладки в браузере. Не устанавливайте либо удалите на компьютер с ДБО сервисы удаленного доступа, типа Team Viewer, и не проверяйте электронную почту.

Контролируйте расходы и зачисления. Вы должны знать, сколько денег на счете было, сколько вы хотите использовать и сколько там должно остаться.

Пользуйтесь Выпиской-онлайн — там отображаются операции и баланс по счету на текущее время и за последние 6 месяцев. Она доступна с компьютера, телефона и планшета. Для просмотра выписки рутокен не нужен, так как связи со счетом у нее нет. Поэтому смотреть выписку-онлайн можно хоть каждые 5 минут — это безопасно.

Если вам пришли деньги, которых вы не ожидали, — не возвращайте их через ДБО. Предложите другой способ (вплоть до суда). Проверьте, что за компания к вам обратилась. Уточните, как произошла ошибка. Найдите их сайт и реквизиты. Перезвоните на официальный номер телефона, свяжитесь с бухгалтером или директором. Убедитесь, что это не мошенники.

Использовать 2 устройства и 2 рутокена неудобно. Существует ли безопасный и удобный способ защиты денег на расчетных счетах?

Самым безопасным и при этом удобным решением является рутокен PINPAD. С этим устройством можно пользоваться ДБО даже на зараженном вирусами компьютере.

Отличие рутокена PINPAD от USB-токенов в том, что при формировании электронной подписи на экран пин-пада выводятся реквизиты платежа. Пин-пад и есть независимое устройство, на котором осуществляется проверка подлинности платежа.

Если мошеннику удалось сфальсифицировать платежные поручения, клиент увидит разницу на пин-паде еще до подписания и отправки платежек. А это значит, что платежные поручения невозможно подделать.

Разработчики систем ДБО пока еще не поддерживают работу с рутокеном PINPAD, хотя работы ведутся. Поэтому клиентам следует не только надеяться на банк, но и самим быть бдительными.