Скимминг – что это и чем он опасен

Скимминг – это вид мошенничества, представляющий собой кражу данных карты при помощи специального устройства, вмонтированного в банкомат. Каждый владелец пластика может пострадать от скимминга, поскольку банкоматами пользуются все.

Skimming (от англ. skim – быстро читать) происходит так: данные карты считываются и передаются на сервер мошенникам, которые затем изготавливают дубликат пластика и снимают деньги.

Сегодня мы поговорим о том, как работает скимминг и как обезопасить средства на банковской карте.

Что такое скимминг

С распространением безналичных расчетов большую часть платежей многие совершают при помощи пластиковой дебетовой карты. Однако нередко возникает необходимость в снятии или внесении наличных. Чаще всего для этих целей используются банкоматы, поскольку вносить или получать деньги через кассу банка – занимает время. Банкоматы же практически всегда находятся в шаговой доступности и работают круглосуточно.

Даже если у терминала никого нет, это не гарантирует безопасность ваших денег. Дело в том, что устройства для скимминга находятся внутри банкомата, и заметить их довольно сложно, особенно при недостаточном освещении.

Большинство банков совершает операции снятия в любой валюте. Наверняка на дисплее терминала вам неоднократно предлагалось выбрать валюту, в которой вы хотите получить свои деньги. Обычно это рубли, доллары или евро. Так вот, представьте ситуацию: вы совершили операцию с наличными, а через несколько дней вам приходит смс-сообщение о том, что энная сумма в долларах снята в банкомате другой страны. В этом случае, конечно, вы первым делом позвоните в банк и заблокируете карту, но как вернуть украденные средства? Можно и нужно обратиться в полицию своего государства и той страны, где произошло хищение, но это займет время и не гарантирует успех. Хотя банкоматы и оборудованы средствами видеонаблюдения, установить личность, совершившую противоправные действия, возможно далеко не всегда.

Мошенники хорошо маскируются. Во-первых, они выбирают банкоматы, находящиеся на улицах вне помещений. Во-вторых, снимают деньги, убедившись, что за ними никто не наблюдает. В-третьих, прикрывают лицо. Человека в защитной маске и кепке, надвинутой на лоб, идентифицировать практически невозможно.

Как это работает

Итак, преступникам необходима следующая информация:

• данные карты, которые считываются с магнитной полосы. Здесь содержится информация о виде карты, банке-эмитенте, сроке использования и владельце счета;
• пин-код – комбинация цифр, необходимая для того, чтобы совершить операцию снятия или внесения наличных.

Располагая этой информацией, мошенник изготавливает дубликат пластика и получает доступ к карточному счету. Как уже говорилось, деньги могут быть сняты в любой точке мира до того момента, пока владелец счета не обратится в свой банк для блокировки карты.

При отсутствии двухфакторной аутентификации с использованием смс преступники могут совершать покупки в интернет-магазинах. Об этом способе мошенничества было подробно рассказано в статье про кардинг.

Какие бывают виды скимминга

Скимминг бывает двух видов: с использованием карты или ее дубликата и без использования устройств. Рассмотрим каждый в отдельности.

Физический скимминг

Этот вид мошенничества подразделяется на две категории:

1. Банкоматный скимминг, о котором я уже рассказала. Вредоносные устройства устанавливаются на конкретном банкомате. Некоторые из них изготовлены кустарным способом, и обнаружить их не составит труда. Однако преступники стараются модернизировать такие гаджеты, делая их практически незаметными. Тем не менее, следует отметить, что банкоматный скимминг больше распространен в странах третьего мира.
2. Платежный скимминг. Об этом способе кражи данных также упоминалось в статье про кардинг: продавец берет карту в руки, а платежный терминал и считывающее устройство находятся под прилавком, вне зоны видимости. Этот вид скимминга распространен на автозаправках, в гостиницах и кафе.

Онлайн скимминг

Данный вид скимминга работает с использованием вредоносного кода Java-Script. Шпионский код внедряется на серверы интернет-магазинов, где хранятся данные держателей карт. Согласитесь, очень удобно сохранить на сайте интернет-магазина данные пластика, чтобы не вводить их каждый раз заново. При отсутствии идентификации по SMS мошенникам достаточно знать CVV-код. Кроме того, некоторые держатели банковских карт используют другие способы защиты – VBV и MCSC, которые не всегда сообщают владельцу счета о списании средств сразу после совершения операции.

Помимо этого, утечка данных может происходить при совершении микротранзакций. Приведу простой пример. При бронировании отеля на сайте очень удобно, если предлагаются условия оплаты на месте. То есть, я оплачу проживание по прибытии. Это кажется потребителю более надежным способом расчета, нежели предварительная оплата. И в самом деле – а вдруг я передумаю или до поездки случатся какие-то непредвиденные обстоятельства. А наиболее выгодная цена предлагается, как известно, при раннем бронировании.

Однако отель просит заполнить данные карты для их проверки. Я всегда использую идентификацию по смс и знаю, что деньги не спишут без подтверждения. Итак, я заполняю фамилию и имя, срок действия пластика и его номер. В полученном смс меня просят подтвердить операцию на сумму 1 рубль, которая возвращается при оплате отеля. Это и есть скимминг посредством микротранзакций, во время которых данные могут быть похищены.

Такое мошенничество относится к более «продвинутым» разновидностям скимминга, чем хищение данных физическим способом. Кроме того, онлайн-скимминг позволяет совершить большее количество операций при минимальных расходах.

Скимминговые устройства, их отличия и принцип работы

Для скимминга используются следующие устройства:

1. Оборудование, считывающее данные, которое вставляется в картоприемник банкомата или платежного терминала.
2. Микро-видеокамера, установленная на устройстве приема и выдачи наличных. Кстати, ее далеко не все могут отличить от камеры, которую устанавливает обслуживающий банк в целях безопасности клиентов. Камера позволяет видеть, как пользователь вводит пин-код.
3. Накладная клавиатура, которая устанавливается поверх клавиатуры банкомата или сенсорного экрана, и содержит датчики, передающие комбинацию цифр на сервер мошенникам. Крепится на двухсторонний скотч или клей.
4. Блокиратор вывода карты, действующий определенное время. Если карта застряла в банкомате, не каждый владелец сразу звонит в банк с требованием о блокировке. Многие уходят, не дождавшись приезда технических специалистов. Например, представьте ситуацию: банкомат «заглотил» карту, а телефон разрядился, и я не могу зайти в интернет, чтобы посмотреть номер техподдержки банка. Тогда преступники, убедившись в отсутствии посторонних лиц, снимают деньги.
5. Вредоносное программное обеспечение, позволяющее получить данные счета: остаток средств, пин-код и CCV-код.

Устройство для скимминга, которое крепится к картоприемнику в виде накладки, работает так:

• считыватель, представляющий собой миниатюрную магнитную головку, сканирует данные карты;
• информация преобразовывается в цифровой код;
• накопитель записывает данные, либо информация оперативно передается мошенникам по радиоканалу или при помощи устройств мобильной связи.

Более современные устройства – шимы – представляют собой микроскопическую плату, которая встраивается в картоприемник. Обнаружить такое устройство практически невозможно.

Чем опасен скимминг

Главной опасностью скимминга является несовершенство законодательной базы по защите средств, похищенных по причине утечки информации. Иными словами, если деньги были сняты даже в другой точке мира, доказать, что это было сделано не вами и без вашего ведома, крайне сложно. Ведь пин-код – это строго конфиденциальная информация, которая известна только владельцу карты. Если вы сообщаете эту информацию другому человеку – значит, вы ему полностью доверяете.

Приведу пример. Многие передают свою карту близкому родственнику (супругу, ребенку) для совершения покупок. В большинстве случаев продавцы не проверяют соответствие информации и внешности покупателя. Согласитесь, если мужчина передал пластик своему сыну, разве кто-то будет спрашивать паспорт? Но в некоторых случаях в обслуживании может быть и отказано, если продавец обратит внимание, что карта зарегистрирована явно на другого человека.

Важно: если вы передали карту третьему лицу и в момент совершения им платежных операций данные были похищены посредством скимминга, то банк даже не будет разбираться с этой проблемой. В этом случае ответственность за сохранность данных карты и денежных средств несете только вы.

Если с момента совершения преступления прошло более 24 часов, доказать факт мошенничества и вернуть украденные деньги будет еще сложнее. Причина очевидна: преступник за это время может покинуть страну. Поэтому экономить на услуге смс-оповещений о списании денег не рекомендуется. Далее поговорим о других способах защиты от кражи средств под названием skimming.

Как защититься от скимминга

Чтобы обезопасить себя от скимминга, соблюдайте простые правила:

1. Проверяйте банкомат на наличие подозрительных устройств (накладки на картоприемнике и клавиатуре, миниатюрные камеры). Если вам что-то показалось подозрительным – воздержитесь от совершения операции и поищите другой банкомат.
2. По возможности используйте банкоматы, расположенные в помещениях банков.
3. Даже если рядом с вами никого нет, при вводе пин-кода прикрывайте клавиатуру рукой.
4. Не храните данные карты на устройствах, предназначенных для общего использования (например, на офисных ПК).
5. Не передавайте карту третьим лицам.
6. Находясь за границей, имейте небольшую сумму наличными. Использование безналичных расчетов оградит вас от карманников, но не защитит от скимминга.
7. Никогда не сообщайте реквизиты карты по телефону. Если вам звонит сотрудник банка – как правило, достаточно сообщить последние 4 цифры номера пластика.
8. При застревании пластика в банкомате позвоните в банк и сообщите об этом. Если после совершения определенных действий, которые порекомендует сотрудник техподдержки, карту извлечь не удалось, попросите ее заблокировать. Службы технической поддержки банков работают круглосуточно.
9. Не давайте свою карту в руки посторонним – официантам, операторам АЗС, сотрудникам отелей. Всегда совершайте платежные операции самостоятельно.
10. Помните, что скимминг совершенствуется вместе с развитием технологий защиты. Поэтому обязательно используйте двухфакторную идентификацию по смс.

Реальная история скимминга

Мы разобрали несколько схем скимминга и теперь приведем пример из жизни. Надо отметить, что схема со считывающим устройством в банкомате используется не так часто, т.к. оборудование для скимминга в России и Европе стоит достаточно дорого. Где нужно быть особенно внимательным, расскажем далее.

Как известно, существуют бары, где напитки оплачиваются непосредственно у стойки. Итак, клиент подходит к стойке, заказывает напиток и передает карту бармену. Под прилавком расположена миниатюрная камера, которая фотографирует пластик с обеих сторон.

К концу рабочего дня «бармен» собирает целую коллекцию данных. А за определенный временной промежуток (например, месяц) это будет уже целая база. Далее он может поступить двумя способами:

1. Продать базу в даркнете.
2. Уволиться, уехать за границу и вывести деньги со всех карт с помощью специальной программы. Если установлена идентификация через смс – это спасет деньги клиента. Причем подтверждение должно быть установлено для любой суммы списания. Программа скимминга работает очень быстро и за несколько минут (обычно это делается ночью, когда клиент, скорее всего, будет спать) совершается множество операций на небольшие суммы.

Позже, получив распечатку с историей операций, клиент обнаруживает кучу списаний в качестве оплаты за различные услуги. Разумеется, «компания», в пользу которой списывались деньги, находится не в России.

Конечно, если хотя бы два или три клиента, обманутых подобным способом, одновременно обратятся в полицию, есть шанс, что «бармена» вычислят. Правда, если он работал по поддельным документам, сделать это будет непросто. А вернуть деньги – еще сложнее.

Заключение

По сути, скимминг (skimming) является одной из разновидностей кардинга. Чаще всего его жертвами становятся, как ни странно, туристы. Дело в том, что в странах третьего мира все еще используются считывающие устройства в банкоматах. А мозг отдыхающего, как правило, расслаблен, и бдительность притупляется. Поэтому, находясь за границей, лучше снимать деньги в банке и иметь с собой небольшую сумму наличными в местной валюте.

Если вы все же стали жертвой скимминга, обратитесь в банк как можно скорее. Желательно это сделать в течение 24 часов, тогда есть шанс вернуть ваши деньги. Помните, что если вы не передавали карту третьим лицам, то банк несет ответственность за сохранность средств на счетах клиентов. И не пренебрегайте услугами 3-D secure (авторизации по одноразовому коду при совершении платежа) и смс-информирования об операциях по карте.