Токенизации затрудняют монетизацию
ЦБ обсуждает с банкирами меры борьбы с карточными мошенниками
Банк России обсуждает с участниками платежного рынка возможность введения периода охлаждения для зачисления средств на только что токенизированные карты, с помощью которых мошенники похищают деньги у граждан. Участники рынка уточняют, что мера может решить лишь часть проблемы. А эксперты уверены, что она принесет больше неудобства честным гражданам, чем повредит мошенникам.
Фото: Пелагия Тихонова, Коммерсантъ
Фото: Пелагия Тихонова, Коммерсантъ
В ходе XII Петербургского международного юридического форума директор департамента информбезопасности ЦБ Вадим Уваров заявил, что регулятор обсуждает с банками возможность введения двухдневного «периода охлаждения» для зачисления средств на новые токенизированные банковские карты. По его словам, мошенники используют такие карты для перевода похищенных у жертвы средств на счета дропперов. Господин Уваров отметил, что позиции банков (см. также “Ъ” от 15 февраля) по этому вопросу различаются: кому-то это не нужно из-за объема операций, кто-то, наоборот, хочет установить определенные пороги, которые позволят отсекать мошеннические операции.
Токенизация — это процесс замены данных банковской карты на уникальный цифровой идентификатор-токен в смартфоне. Для этого достаточно добавить реквизиты карты — номер, имя владельца, срок действия, CVV-код — в пэй-сервис, например в «Мир Пэй». После отправления запроса на подтверждение владелец смартфона получает по СМС код авторизации. После его введения смартфоном с привязанной картой можно пользоваться при платежах без ввода пин-кода — для сервиса цифровой идентификатор-токен и идентификатор смартфона будут выступать двухфакторной авторизацией.
Участники рынка говорят, что мера поможет пресечь только одну схему, когда жертва «уже обработана и готова перевести деньги». «Мошенник передает жертве реквизиты карты, которую он токенизирует на смартфоне. Жертва кладет на карту наличные и отправляет деньги на указанный мошенником счет»,— пояснил собеседник “Ъ”. В этом случае, по его словам, жертва не видит информацию о получателе средств, что «позволяет мошенникам использовать самые разные легенды, в том числе с переводом на спецсчет в ЦБ».
По словам собеседника “Ъ”, у дропперов большой популярностью токенизация карт пользуется потому, что она облегчает логистику.
В этом случае используется двухуровневая структура — «региональный менеджер» с пластиковыми картами от «бомжей и студентов» и «бегунки», которые снимают средства в банкоматах. «Когда на счет "менеджеру" приходят деньги, похищенные у жертвы, он звонит "бегункам", которые должны быстро снять деньги, пока банк не заблокировал их»,— пояснил собеседник “Ъ”. Передавать физическую карту «бегунку» долго, а порой невозможно, если тот находится в другом городе, в то время как передать реквизиты карты и код из СМС для токенизации — легко и быстро. После этого «бегунок» снимает деньги в банкомате или совершает покупку в «дружественном» интернет-магазине. «Деньги приходят на карту еще до токенизации, поэтому период охлаждения вряд ли поможет бороться с дропперами — логичнее было бы ввести период охлаждения на любые операции по вновь токенизированным картам»,— считает источник “Ъ”.
По данным ЦБ, количество атак с использованием социнженерии в первом квартале достигло 29,5 тыс., превысив показатель прошлого года в полтора раза. При этом количество операций без согласия клиента увеличилось на 21%, до 237 тыс., а их объем вырос на 41%, до 1,92 млрд руб.
Эксперты согласны, что предложенная схема не обязательно поможет в борьбе с дропперами, зато доставит неудобство клиентам. Независимый эксперт на рынке платежных карт Дмитрий Вишняков отмечает, что период охлаждения означает, что клиенты не смогут осуществлять моментальные денежные переводы, ведь банк не знает, речь идет о благонадежном клиенте или дроппере. По словам главы правления ассоциации «Финансовые инновации» Романа Прохорова, подобные меры «обычно эффективны в течение определенного периода, пока мошенники не найдут пути обхода».
Председатель комиссии по финансовой и информационной безопасности совета ТПП Тимур Аитов обращает внимание, что среди дропперов «много бедных студентов, безработных, пенсионеров, которые считают, что они ничего плохого не делают». «Закон предусматривает серьезные наказания, но в отношении дропперов они почти не работают»,— говорит эксперт. По мнению господина Прохорова, более эффективным было бы продвижение среди клиентов уже существующей технологии верификации операций доверенным лицом.