Безопасность в интернете: как защитить свои платежи

Неверный клик - и денег нет. Мы расскажем о частых ошибках и о том, как пользоваться безопасным браузером от CHIP, предназначенным специально для интернет-банкинга.

Интернет-кошельки Webmoney и «Яндекс.Деньги» также подвергаются фишинг-атакам Радость от покупки нового ПК была велика.

Сервис-специалист только что подключил его к Сети, и наша читательница решила незамедлительно расплатиться за установку по системе интернет-банкинга.

После ввода пароля появилось сообщение об ошибке, и интернет-страница банка оказалась в оффлайне. Следующий вход в систему повергает нашу читательницу в шок: мошенники полностью обчистили ее счет. Эта женщина стала жертвой фарминг-атаки.

Все дело в том, что хакеры на несколько минут подменили портал банка на поддельную страницу.

Чтобы обезопасить вас от подобных проблем и помочь переводить деньги только нужному получателю, мы собрали и описали десять наиболее частых опасностей, возникающих во время использования систем интернет-банкинга. Кроме того, мы расскажем, как защитить себя от них, и одновременно снабдим вас отличным средством защиты - безопасным браузером от CHIP, который вы найдете на сайте http://download.chip.eu/ru.

Фарминг: новая форма фишинга

На приемы фишинга уже практически никто не попадается.

Во всяком случае так можно предполагать, поскольку большинство пользователей систем интернет-банкинга уже достаточно просвещены и более не кликают по ссылкам на банковские страницы в полученных электронных письмах.

Несмотря на это, старый знакомый фишинг эволюционирует и продолжает причинять наибольший вред при онлайн-банкинге.

Интернет-мафия не спит, мошенники разработали новую форму обмана - фарминг. По известному принципу пользователь попадает на фишинг-страницу, которая кажется схожей с оригиналом. Но ловушка работает иначе: вредоносная программа так перепрограммирует браузер на вашем компьютере, что даже при вводе правильного адреса банка браузер отсылает на поддельную страницу.

Решение. Лучшая защита - это обновленная версия антивирусной базы. Ведь такие атаки исходят главным образом от вредоносных программ. Кроме того, всегда следует проверять, начинается ли URL банка с комбинации https. Помимо этого в современных версиях браузеров адресная строка должна окраситься в зеленый или желтый цвет, а также появляется значок замка, информирующий о шифровании страницы. у многих имитирующих порталов эти признаки отсутствуют.

Но будьте внимательны: даже если страница обладает всеми перечисленными признаками, она, тем не менее, может быть фальшивой. Это значит, что если в портале банка обнаружится брешь в защите и хакер воспользуется ею для наложения фишинг-страницы, то браузер отобразит все необходимые защитные признаки. В этом случае при вводе данных доступа деньги будут потеряны.

Лучше наберите в браузере URL банка вручную и сохраните его в виде закладки - только при наборе веб-адреса вы окажетесь неуязвимы для фишинг-атаки.

Совет. Есть простая возможность разоблачить поддельную страницу: введите верный номер счета, но неверный PIN. Если страница принадлежит действительно вашему банку, то на экране появится сообщение об ошибке, поскольку данные доступа введены неправильно. Фальшивая страница, напротив, поблагодарит за ввод данных и отправит их хакеру, который будет долго ругаться.

Windows: защита не гарантирована

Серверы банков в большинстве своем неплохо защищены, в отличие от вашего компьютера - особенно если на нем установлена Windows.

Вместо того чтобы атаковать денежные подвалы банков, хакеры выбирают самое слабое звено цепи - пользователя операционной системы от Microsoft. Для того чтобы обезопасить себя от мошенников, пользователям ХР и Vista потребуются специальные защитные инструменты. Правда, они тормозят работу системы и требуют постоянной заботы. Это значит, что следует ежедневно обновлять антивирусные базы.

Решение. Даже не думайте выходить в Сеть под Windows без обновленной антивирусной базы! Кстати, самый высокий уровень защиты обеспечивает Linux. Благодаря решениям этой ОС вы забудете о медленных сканирующих программах, но взамен придется осваивать новый интерфейс.

Если вы параллельно пользуетесь обеими системами, то выполняйте финансовые операции под Linux, а письма и картинки обрабатывайте в Windows. Либо пользуйтесь LiveCD - например, Knoppix с ресурса www.knoppix.org. Но при переходе с Windows на Linux придется каждый раз перезагружать компьютер. Либо воспользуйтесь MokaFive Player (www.mokafive.com) - виртуализатором, базирующимся на VMware. Преимущество: можно без проблем запустить на виртуальной машине Damn Small Linux. Он небольшой, гибкий, в комплекте с ним поставляется Firefox, обеспечивающий более безопасный онлайн-банкинг.

Internet Explorer: множество «дыр» в защите

Браузер Internet Explorer небезопасен. Сделав в Firefox верные настройки и поставив нужные дополнения, вы имеете гораздо больше шансов отразить хакерскую атаку. Напротив, благодаря множеству брешей и наличию компонентов ActiveX Explorer дает широкое поле для действий хакеров. Компания по защите информации Secunia в августе этого года обнаружила 29 слабых мест в защите Internet Explorer 7, десять из которых представляют серьезную опасность. Если, несмотря ни на что, вы хотите и далее пользоваться программой, необходимо постоянно устанавливать свежие обновления.

Решение. Гораздо надежнее работать с Firefox, который, тем не менее, тоже требуется своевременно обновлять. Надежное решение - воспользоваться безопасным браузером от CHIP, который можно скачать на сайте http://download.chip.eu/ru. Мы дополнили портативную версию Firefox самыми важными плагинами безопасности, сделав ее прочнее и надежнее. Встроенный PhishLank SiteChecker защитит от поддельных банковских сайтов и предупредит, если вы уже находитесь на странице мошенников. Плагин имеет доступ к базе данных, в которую сообществом вносятся все известные фишинг-сайты.

Плагин No Script деактивирует, к примеру, JavaScript, представляющей при использовании интернет-банкинга серьезный риск. Большинство банковских порталов работает и без него.

Проблема, возникающая после деактивации JavaScript, заключается в том, что многие сайты с поддержкой Web 2.0 просто не будут корректно работать. Но если пользоваться безопасным портативным браузером и параллельно обычной версией Firefox, указанная проблема отпадает - и ваши финансовые операции оказываются под надежной защитой. Следующее преимущество: браузер запускается прямо с портативных носителей информации, таких как USB-накопители и CD. Пользуйтесь нашим Firefox только для осуществления денежных операций в Интернете. Сохраните на USB-накопителе ярлык к сайту банка и запускайте браузер только через него. Для этого откройте сайт банка, кликните по маленькому символу слева от URL в строке ввода браузера и, удерживая кнопку мыши нажатой, перетащите его на USB-накопитель.

С сожалением приходится признать, что можно столкнуться с банками, допускающими к работе со своими онлайн-системами только Internet Explorer, что не только не позволяет использовать Firefox и другие браузеры, но и лишает возможности осуществлять онлайн-банкинг под Linux. Тогда стоит подумать о замене банка на такой, который подходит более профессионально к обслуживанию клиентов во всех областях.

Открытая LAN: приглашение для хакеров

Незащищенная сеть опасна и привлекает внимание мошенников - при этом неважно, в проводной или беспроводной сети вы работаете.

Проникновение в последнюю, правда, удается хакерам намного проще.

Достаточно всего лишь ноутбука - и вор контролирует весь обмен данными, в том числе пароли PIN и коды TAN системы онлайн-банкинга. Шифрование WPA обязательно для беспроводных сетей. МАС-фильтр, разрешающий доступ к сети только определенным устройствам, дополнительно повысит защиту.

Но даже если вы не пользуетесь WLAN, а подключены напрямую через роутер, оборудование имеет слабое звено - пароль по умолчанию. Измените его, чтобы взломщики не проникли в вашу сеть через Интернет. Модель роутера можно идентифицировать «снаружи» посредством апплета Java и JavaScript. Мошенник может проникнуть на чужой роутер самыми обычными средствами и со стандартным паролем даже с противоположной стороны глобуса.

Имея доступ к оборудованию, он может запустить атаку Drive-byPharming. Это приводит к тому, что пользователь, как и в случае обычного фарминга, попадает на поддельную страницу банка. Антивирусная программа в этой ситуации не поможет, поскольку взлом осуществляется без установки вредоносного ПО на компьютере жертвы.

Запомнить имя и пароль: высокий риск

Даже в самом безопасном браузере может обнаружиться брешь. В Firefox версии 2.0.0.5 уязвимым был менеджер паролей. Если в браузере был активирован JavaScript и пользователь сохранял на рабочем месте личные данные доступа (имя пользователя и пароль), хакеры могли считать эти данные на специально созданных страницах и направить их дальше по цепочке.

Решение. Постоянно обновляйте версию браузера. Слабое место было быстро устранено, и Firefox снова уверенно держится на плаву, тем не менее, никогда не сохраняйте данные доступа в браузере: имя пользователя и пароль доступа к онлайн-банкингу должны вводиться вручную.

Хранение паролей TAN на ПК: нет гарантии безопасности

То же, что сказано про сохранение данных доступа, действует и в отношении паролей TAN (Transaction Authorisation Number - номера авторизации транзакций). Даже программные системы хранения и шифровки данных не гарантируют полной защиты от хакеров. В результате теста на безопасность хранения паролей мы обнаружили в некоторых программах слабые места и смогли обнаружить пароли. Еще одна опасность, которая остается всегда: как только пользователь открывает шифровальную программу, чтобы получить нужные пароли, - защита пробита. Мошенники могут считать информацию прямо с чужого монитора и получить доступ сразу ко всем паролям TAN.

Решение. Пароли TAN доставать лучше из ящика стола. В противном случае поинтересуйтесь у банка, предоставляют ли они услугу безопасного получения номера по SMS - mTAN. Процедура mTAN завязана у большинства банков на реквизитах получателя при переводах.

Если хакер перенаправляет денежный поток, TAN становится непригодным. Некоторые банки предоставляют эти услуги бесплатно, другие просят за отправку SMS небольшую сумму.

Ошибка ввода: деньги потеряны навсегда?

Маленькая ошибка с фатальным концом: если выполнять перевод в спешке, можно допустить ошибку при вводе номера счета получателя.

Банк выполняет ваше поручение как положено, только вот деньги попадают не туда, куда надо, и нужный адресат остается с носом. Что необходимо знать: банк не может вернуть ваши деньги, если проводка уже завершена, а это происходит довольно быстро. Разумеется, будет вдвойне обидно, если неверно введенный номер счета в действительности существует. Если именно так и произошло, то, несмотря на правовую обязанность получателя вернуть ваши деньги, этого может не произойти. В случае если адресат оказывается человеком финансово несостоятельным, деньги можно считать потерянными.

Решение. Лишний раз проверьте данные сразу после ввода, а затем еще раз, когда страница попросит подтверждения. Если появляется ошибка, то сразу же проинформируйте о случившемся банк. Хорошая защита от опечаток: приложите ваши документы о переводе средств - многие порталы позволяют сделать это.

Банкинг в дороге: зона опасности

Советуем соблюдать осторожность при использовании онлайн-банкинга в общественных местах, таких, например, как интернет-кафе. Есть вероятность перевести деньги хакерам, ибо неизвестно, насколько хороша антивирусная защита этого ПК. Кроме того, в рамках одной сети очень просто отслеживать весь обмен данными.

Выполняя финансовые операции, пользователь может и не обратить внимания, что за соседним столом сидит хакер и все протоколирует.

Решение. Избегайте денежных операций на чужих рабочих местах. Лучший вариант - мобильный банкинг.

Некоторые банки уже позволяют выполнять некоторые операции по мобильному телефону, к тому же бесплатно. В зависимости от провайдера могут возникнуть расходы на доступ к сети, которые окажутся довольно высокими при работе из-за рубежа. Но такие расходы все же несравнимо ниже убытков, которые способен причинить хакер. Согласно мировой статистике, в 2007 году средний убыток за одну хакерскую атаку составил около $6000.

Посредники в игре: суровое наказание

В нашем примере в начале статьи хакера разыскать не удалось, поскольку в игре оказался посредник, который перевел ему деньги по системе Western Union.

Получить перечисленные деньги мошенник может в любой точке мира спустя уже несколько минут. Для этого от него потребуется только удостоверение личности, которое в большинстве случаев является подделкой. Деньги пропали, а единственный, на ком можно сорвать злость, - посредник. Обычно им является во всех отношениях порядочный гражданин, обнаруживший у себя электронное письмо с предложением высокого вознаграждения только лишь за предоставление данных своего счета для перевода денег.

Решение. Не реагируйте на электронные письма с неправдоподобными обещаниями! За ними обычно всегда скрывается мошенничество. Используйте экспресс-службы для денежных переводов только в отношении действительно близких вам людей.

Некорректный выход из системы: роковые последствия

Состояние счета проверено, перевод денег выполнен, и вместо того чтобы затем выйти из системы надлежащим образом, вы просто закрываете окно браузера. Последствия могут быть фатальными, особенно в ситуациях, когда компьютером пользуетесь не вы один. Все потому, что на некоторых порталах можно войти в систему, просто нажав в истории браузера на нужный адрес, и для получения доступа к финансам даже не потребуют ввод PIN.

Решение. Правильно покидайте систему! Для дополнительной безопасности после сеанса банкинга можно удалить все следы, оставленные в браузере: историю, кеш и cookies.

Скорая помощь: как реагировать

Если худший сценарий все-таки реализован и вы стали жертвой мошенничества, воспользуйтесь следующими советами.

Заблокировать доступ.

Сохраняйте спокойствие и заблокируйте доступ к счету. Ежедневно проверяйте состояние счета. Так вы сразу сможете заметить наличие нежелательных транзакций, а банк, вероятно, успеет избавить вас от убытков.

Связаться с банком. Если вы уверены, что транзакция прошла успешно, но страница все равно выдает необъяснимую ошибку, сразу же проинформируйте об этом банк. Потому что как раз в этот момент хакер, очевидно, делает свое грязное дело. Несмотря на волнение, оставайтесь все же объективны, вежливы и точно опишите происшедшее.

Не производить на ПК никаких изменений. Больше не прикасайтесь к компьютеру, оставьте все как есть. Даже если вы заметили трояна, не закрывайте вредоносную программу.

Потому что только в этом случае можно проследить ход событий и установить, что в причинении убытков виноват мошенник.

Инструменты безопасного онлайн-банкинга F-Secure Internet Security 2008 - антивирусная программа Avira AntiRootkit Tool - защита от вредоносных программ Comodo Firewall Pro - защита Windows от троянов и хакерских атак NoScrlpt - больше безопасности во время интернет-серфинга PhishTank SiteChecker - защита от фишинг-атак SpyBot — Search & Destroy - предохраняет от программ-шпионов

Какие действия предпринимаются в деле создания систем безопасных расчетов в сети Интернет и какие при этом используются технологические средства защиты? И почему, несмотря на якобы надежную защиту, продолжают процветать мошенничество и кражи в Интернете?

Лучше быть в безопасности, чем потом сожалеть.
Американская пословица

Не так давно автору довелось беседовать с одним из друзей, который в обычной застольной беседе внезапно заинтересовался, насколько же безопасны пластиковые карты вообще и использование их в расчетах при покупках в сети Интернет в частности. Попытки отмахнуться от него ставшей уже классической фразой «Полную гарантию может дать только страховой полис» ни к чему не привели. Подняв тему, он тут же запряг всю киплинговскую шестерку «Что? Почему? Когда? Как? Где? Кто?» и, пристегнув к ним своего любимца «А вот если?», этот друг, с детских лет отличающийся феноменально занудливой въедливостью, настроился услышать распространенные и доскональные ответы на все свои вопросы. Наверное, можно было бы ответить ему с большим усердием и постараться разложить все, как говорится, по полочкам, только вот интерес его был праздным…

Однако вопросы безопасности расчетов за товары и услуги в сети Интернет — вовсе не праздные, особенно с учетом широкого наступления электронной коммерции, залогом успеха которой становится постоянное увеличение числа пользователей Интернета, привлеченных более низкими ценами и отсутствием необходимости покидать дом или офис для приобретения товара или услуги. Как известно, жертвами онлайн-мошенников становятся не только держатели карт, пользующиеся услугами электронной коммерции, но и сами продавцы, предлагающие свои товары и услуги в сети Интернет.

Покупая в интернет-магазине и используя карту для оплаты покупки, держатель рискует потерять свои деньги, если данные его карты станут известны мошенникам, интернет-продавец же в свою очередь несет риск финансовых потерь, если товары или услуги были оплачены по украденной карте мошенником.

Эмитенты, эквайеры, крайние…

Напомним, что в платежных системах участники разделяются на банки-эмитенты, выпускающие карты для держателей, и банки-эквайеры (в частном случае эмитентом и эквайером может быть одна кредитная организация/банк), обеспечивающие прием выпущенных карт в точках продажи товаров и услуг. В соответствии с этим разделением строится следующая модель взаимодействия: обладатель карты осуществляет покупку в магазине, информация с магнитной полосы карты из магазина в форме запроса передается банку-эквайеру, обслуживающему этот магазин, оттуда, через сервисы самой платежной системы, — в банк-эмитент. Банк-эмитент производит проверку полученной информации о карте и держателе, а также состояния авторизационного лимита и по результатам проверки разрешает (или не разрешает) проведение транзакции. Положительный ответ банка-эмитента на авторизационный запрос является своего рода гарантией, что банк-эквайер получит средства и переведет их на счет магазина. По правилам международных платежных систем в традиционной торговле ответственность за мошеннические операции с картами распределяется приблизительно в равных пропорциях между банком-эмитентом и банком-эквайером, то есть в случае мошенничества держателю возвращает списанные средства либо эмитент (редкость в российских банках, где ответственность чаще перекладывается на держателя), либо эквайер за счет торгового предприятия. В интернет-коммерции же ответственность за мошеннические операции ложится уже однозначно на эквайера, который в свою очередь перекладывает ее на магазин, в итоге возврат средств обладателю карты осуществляется за счет интернет-магазина, через который прошла мошенническая транзакция. Отсюда следует, что наиболее незащищенным звеном в схеме совершения платежа в сети Интернет является онлайновая торговая точка, поскольку в конечном итоге именно за ее счет осуществляется возмещение убытков держателю карты. По описанной схеме работает значительное количество интернет-магазинов, принимающих к оплате карты, что предполагает наличие неких механизмов защиты, способных относительно успешно противостоять мошенничеству.

Протоколы и другие методы защиты

Меры, предпринимаемые участниками электронной коммерции для обеспечения безопасных расчетов в сети Интернет, всегда были достаточно многообразны.

Прежде всего, это обучение держателей карт минимальным навыкам для обеспечения собственной безопасности: пользование только знакомыми интернет-ресурсами, изучение порядка доставки товаров и предоставления услуг, проверка использования интернет-коммерсантом сертифицированных протоколов, гарантирующих безопасность передаваемой информации.

Кроме таких простых методов защиты от мошенничества, как воспитание держателей, безусловно, используются и технологические средства.

Широко используемый и ставший практически обязательным в интернет-торговле протокол SSL (Secure Socked Layer) позволяет всем участникам торговли спокойно передавать самую разную информацию. При попытке перехвата данных они будут закрыты шифром, взломать который за сколько-нибудь адекватный промежуток времени невозможно.

Грамотный держатель карты, пользующийся услугами интернет-ресурсов, осуществляющих продажу товаров и услуг, отнесется с предубеждением к отсутствию SSL у точки электронной коммерции. Протокол SSL использует технологию шифрования с открытым ключом и цифровые сертификаты для опознания сервера, участвующего в транзакции, и защиты информации в процессе ее передачи от одной стороны к другой по каналам Интернета. Транзакции протокола SSL не требуют идентификации клиента. Вначале клиент посылает сообщение серверу. Сервер отвечает и отправляет клиенту свой цифровой сертификат в качестве средства идентификации. Прежде чем продолжить транзакцию, клиент и сервер договариваются по поводу сеансовых ключей. Ключи сеанса — симметричные закрытые ключи — используются только в данной транзакции. Как только ключи выбраны, сеанс связи между клиентом и сервером продолжается, при этом используются ключи сеанса и цифровые сертификаты.

Итак, хотя протокол SSL надежно защищает информацию, передаваемую через Интернет, он не может уберечь частную информацию, хранимую на сервере продавца, — например, номера кредитных карт. Когда продавец получает данные кредитной карты вместе с заявкой на покупку, информация расшифровывается и сохраняется на сервере, пока заявка не будет выполнена. Если сервер не защищен и данные не зашифрованы, то возможен несанкционированный доступ к частной информации и дальнейшее использование ее в мошеннических целях.

В дополнение к использованию протокола шифрования передаваемых данных участники интернет-коммерции используют такие хорошо известные способы идентификации держателя карты, как проверка СVV2/СVK2-кодов (СVV2-код для карт платежной системы Visa и CVK2 — для MasterCard).

К способам идентификации стоит добавить проверку адреса AVS (Address Verification Service). Данная процедура в большей степени характерна для североамериканского рынка электронной коммерции, но, тем не менее, с ней приходилось сталкиваться и держателям карт российских банков, пытавшимся воспользоваться картами для оплаты товаров с доставкой на территории США.

Однако все эти меры безопасности явно недостаточны для обеспечения высокого уровня безопасности расчетов в сети Интернет.

Доля интернет-торговли неуклонно растет из года в год, увеличиваются обороты от продажи товаров и услуг в сети, пропорционально растет и количество мошеннических операций, но мало кто хочет отказываться от получаемых выгод, поэтому всех участников процесса все больше волнует безопасность проведения платежей и расчетов.

3-D — это не только захватывающие фильмы

Вопрос безопасности волнует не только держателя карты, производящего оплату товара в интернет-магазине, но и интернет-магазин, и эквайера, и эмитента, и больше всего — платежные системы, которые вкладывают огромные средства для обеспечения безопасности платежей и защиты от мошенничества.

Многочисленные попытки международных платежных систем сделать расчеты в области электронной коммерции максимально безопасными привели к появлению разработанного платежной системой Visa International протокола 3-D Secure.

Технология 3-D Secure представляет собой протокол аутентификации владельца карты при проведении покупок в сети Интернет, предназначенный для обеспечения безопасности интернет-платежей: проверка личности осуществляется в онлайн-режиме.

Основным действующим принципом технологии 3-D Secure стала гарантия безопасности проведения расчетов в системе электронной коммерции. Причем данная технология не только гарантирует сохранение в безопасности сведений о покупателях, но и в значительной степени способствует сохранению финансовых средств остальных участников платежа.

Реализуется технология 3-D Secure на основе трех доменов (что и заложено в ее названии), в которых начинается и завершается жизненный цикл транзакции. Это домен эмитента, в котором происходит аутентификация держателя, домен эквайера, включающий в себя банк-эквайер и интернет-магазин, и, наконец, домен взаимодействия, содержащий службы и сервисы платежной системы.

Цепочка, обеспечивающая безопасность 3-D Secure, состоит из таких звеньев, как:

— проверка личности владельца карты в реальном времени, которая начинается после ввода номера карты на платежной странице электронного магазина, откуда покупатель перенаправляется на сервер своего банка-эмитента. Для проверки используется пароль, известный только владельцу карты и банку;

— формирование банком-эмитентом по результатам проверки ответного сообщения, которое банк-эмитент защищает от несанкционированных изменений, используя цифровую пдпись;

— защита конфиденциальной информации пользователя, например номера карты, для чего используются защищенные страницы платежного сервера, на котором сохраняется введенная информация. Получатель платежа — электронный магазин — не имеет доступа к этой информации, что защищает от ее хищения.

Таким образом, 3-D Secure не только обеспечивает безопасное проведение платежа, но и разграничивает риски участников транзакции за счет четкого разделения функций при обработке платежной операции: банк-эмитент проверяет личность держателя карты, поскольку именно он располагает информацией о клиенте, а банк-эквайер автоматически организует связь с системой аутентификации эмитента, используя для этого сервисы платежных систем. Отметим, что, если мошенническая транзакция прошла через интернет-магазин, использующий технологию 3-D Secure, ответственность за нее, согласно правилам платежных систем, будет нести уже не эквайер, а эмитент, и при этом не имеет значения, использует эмитент технологию 3-D Secure или нет. Выгода использования протокола 3-D Secure для точки электронной коммерции понятна, а вот эмитенты попадают в сложную ситуацию, поскольку оказываются перед выбором: либо приобрести очень недешевое решение 3-D Secure и обезопасить своих клиентов и себя от мошенников, либо запретить держателям карт их использование в интернет-магазинах и потерять значительную часть клиентов, пользующихся интернет-коммерцией, либо ничего не делать и надеяться, что мошенничество не затронет их.

Можно с уверенностью сказать, что применение этого протокола гарантирует безопасность платежей через Интернет для всех пользователей в любых электронных магазинах.

В борьбе за безопасность интернет-платежей международные платежные системы действуют сообща, поэтому протокол 3-D Secure, предложенный Visa Int., был поддержан системой MasterCard Worldwide. Результатом сотрудничества в сфере безопасности интернет-расчетов стало появление программ Verified by Visa и MasterCard SecureCode. Обе программы для безопасных расчетов в Сети предлагают использовать технологию 3-D Secure.

В самом общем виде обе программы предлагают держателю карты для проведения интернет-платежей зарегистрироваться на сайте банка-эмитента и получить от него некое кодовое слово (число), которое потребуется ввести в всплывающем окне после решения держателя оплатить выбранный товар/услугу на сайте интернетпродавца. Именно по этому слову (числу), которое известно только банку-эмитенту и держателю, эмитент идентифицирует держателя и подтверждает возможность успешного проведения операции оплаты. Как вариант, кодовое слово или число может генерироваться единожды для каждой оплаты и высылаться SMS-сообщением на телефон держателя карты. В этом случае при регистрации держателю потребуется сообщить банку-эмитенту свой номер мобильного телефона, проконтролировать, чтобы на момент проведения операции телефон был в зоне действия оператора связи, и иметь положительный баланс на счете для успешного получения SMS-сообщения. Таким образом, проверкой введенной кодовой информации и отправкой банком-эмитентом ответного сообщения транзакция успешно завершается. Даны гарантии безопасности платежа и сохранности индивидуальной информации, эмитент и эквайер обеспечили проведение безопасного расчета, интернет-коммерсант продал товар, а держатель карты получил не только товар, но и новые преимущества от совершения покупки по 3-D Secure: в системе создается специальная регистрационная запись, фиксирующая платежи в Интернете, держателю не нужно иметь особую карту, чтобы оплачивать товары или услуги в сети Интернет. Кроме того, владельцам зарегистрированных карт Visa Int. предоставляет дополнительные удобства: возможность возврата денег, гарантированную защиту от мошенничества.

Прочитав все вышеизложенное, резонно задаться вопросом, почему же не все так хорошо, если все так хорошо? Почему продолжают встречаться случаи мошенничества и кражи персональных данных, почему Интернет кишит сообществами интернет-шоперов, делящихся информацией о потерянных деньгах и отказах в проведении платежей? Ответ прост — вся красивая модель работы 3-D Secure строится на непременном участии в этих программах и эмитента, и эквайера, и интернет-коммерсанта. Если держатель карты зайдет на сайт интернет-коммерсанта, участвующего в любой из программ Verified by Visa или MasterCard SecureCode, и получит отказ в проведении операции, это будет означать, что банк-эмитент, выдавший держателю карту, не присоединился к протоколу 3-D Secure.

По информации MasterCard Worldwide, в мире зарегистрировано более 470 тыс. интернет-магазинов, участвующих в программе MasterCard SecureCode, и примерно столько же участвующих в программе Verified by Visa.

А что в России?

В 2003 г. система ASSIST стала первой российской системой электронных платежей, сертифицированной Visa International по новой технологии 3-D Secure, что можно считать как значимым событием для самой компании, так и важным этапом в развитии электронной коммерции в России в целом. С этого времени система ASSIST выступает в качестве независимого провайдера аутентификации кард-холдера Verified by Visa.

Банки, принципиальные члены МПС, имеющие лицензию на интернет-эквайринг и заинтересованные в нем, могут подключать свои процессинговые центры к шлюзу ASSIST.

В деле обеспечения возможности участникам электронной коммерции принимать к оплате карты международных платежных систем активно стартовала компания PayOnline System — самая современная из российских систем интернет-платежей. Компания сертифицирована на соответствие PCI DSS и прошла сертификацию в международных платежных системах Visa International и MasterCard Worldwide.

Солидным игроком в области предоставления интернет-процессинга по банковским картам, работающим на российском рынке, является голландская компания CronoPay.

Интересным, на наш взгляд, явлением на российском рынке стала система HandyBank, которая представляет собой интернет-банковский сервис для пользователей — физических лиц. Этот сервис предоставляют банки — участники системы. HandyBank дает возможность клиенту банка круглосуточно с любого компьютера или мобильного телефона совершать интернет-платежи со счета своей банковской карты. Система только начинает свое развитие, но уже сейчас у нее есть ряд реальных преимуществ по сравнению с обычными карточными платежами в Интернете. Во-первых, высокий уровень безопасности: система позволяет совершать транзакции, не передавая в Интернет ни номера своей карты, ни ПИН-кода к ней, ни других ее реквизитов. Во-вторых, более широкий спектр платежных операций. Клиенты HandyBank могут оплачивать множество услуг в упрощенном режиме, совершать банковские переводы, платить налоги и штрафы (госплатежи), совершать интернет-покупки с банковской гарантией возврата денег при любых проблемах с поставкой товара. К дополнительным преимуществам можно отнести также мобильный банкинг и пополнение счета через терминальные сети.

Таким образом, у российской интернет-коммерции есть все необходимые ресурсы для того, чтобы привлечь к себе большое число интернет-покупателей, предоставив им широкий спектр предлагаемых товаров и услуг и продемонстрировав высокую степень защищенности расчетов.

***

По последним сообщениям, появившимся в СМИ, в кампанию по борьбе с интернет-мошенничеством включилась корпорация Microsoft. Как сообщает пресс-служба корпорации, Microsoft совместно с Национальной ассоциацией по борьбе с киберпреступностью (NCFTA) разработали систему Internet Fraud Alert, призванную противодействовать интернет-мошенникам. Инициативу поддержали eBay, система PayPal, Citizens Bank, а также американская Федеральная комиссия по торговле и некоторые другие организации.

Internet Fraud Alert позволяет создавать базу украденных данных о сетевых аккаунтах или кредитных картах. Информация будет максимально оперативно передаваться в организацию, обслуживающую владельца данных. Таким образом, банки и другие компании смогут обеспечить безопасность пользователя и, проанализировав механизм кражи данных, предотвратить новые случаи.

Все вышесказанное дает основания полагать, что защита платежей в сети Интернет есть краеугольный камень в деле дальнейшего развития электронной коммерции, и участие в этой работе таких монстров, как Visa International, MasterCard Worldwide и корпорация Microsoft, приведет к повышению безопасности производимых интернет-расчетов и, как следствие, к повышению уровня доверия держателей карт и пользователей интернет-коммерции.

Ну и, наконец, не забывайте о старом добром способе защиты — о страховом полисе, который в настоящее время предлагают в основном активные банки-эмитенты. Банки, заключая договоры со страховыми компаниями, предлагают держателям страхование рисков от мошеннических операций, а в связи с ростом количества таких операций страхование пластиковых карт становится все более востребованным как со стороны банков-эмитентов, так и со стороны держателей карт. Среди основных рисков, которые покрывает страховка карты, — получение мошенниками денег из АТМ с использованием украденной карты или поддельной карты, использование поддельной карты и поддельной подписи на платежных документах, совершение мошеннических операций по украденным данным карты в сети Интернет.

Банкам-эмитентам, которые хотят разрушить традицию перекладывания убытков по мошенническим операциям на держателей карт, следует серьезнее отнестись к этому перспективному способу защиты средств клиента и собственного имиджа.

В процессе работы с интернет-банкингом и платежными системами (например, PayPal , Яндекс.деньги и др.) требуется особая защита, поскольку в этом случае утечка конфиденциальной информации может привести к финансовым потерям. В качестве особой защиты используйте компонент Безопасные платежи в Kaspersky Internet Security .

1. Как работает компонент Безопасные платежи

При попытке зайти в личный кабинет платежной системы или систему интернет-банкинга Kaspersky Internet Security выполняет следующие действия:

• Проверяет, что обращение происходит действительно к странице банка или платежной системы, сверяя адрес страницы с обновляемой базой веб-сайтов банков и платежных систем в продукте (база составлена специалистами Лаборатории Касперского ).
• Проверяет сертификат, с помощью которого устанавливается защищенное соединение. Это позволяет избежать переходы на поддельную веб-страницу.
• Осуществляет проверку ОС на наличие критических для интернет-банкинга уязвимостей.
• Предлагает открыть этот веб-сайт в режиме Безопасных платежей для защиты ваших персональных данных от кражи.

По умолчанию при установке Kaspersky Internet Security создается ярлык на Рабочем столе для быстрого запуска Безопасных платежей .

2. Как включить/выключить компонент Безопасные платежи

По умолчанию компонент Безопасные платежи включен. Чтобы выключить/включить контроль обращения к сервисам интернет-банкинга, выполните следующие действия:

1. В верхнем правом углу окна нажмите на кнопку Настройка .

1. В окне Настройка перейдите на закладку Центр защиты и выберите раздел Безопасные платежи .
2. В правой части окна снимите/установите флажок Включить Безопасные платежи , чтобы выключить/включить работу компонента.
3. В окне Настройка нажмите на кнопку Применить .

3. Как добавить адрес веб-сайта в список Безопасных платежей

Вы можете добавить адрес веб-сайта банка или платежной системы в базу Безопасных платежей . При обращении к адресу, добавленному в базу, компонент Безопасные платежи будет автоматически выполнять заданное действие (например, запускать защищенный веб-браузер).

Чтобы добавить адрес веб-сайта, выполните следующие действия:

1. В правом верхнем углу окна нажмите на кнопку Настройка .

1. В окне Настройка перейдите на вкладку Центр защиты и выберите раздел Безопасные платежи .
2. В правой части окна в блоке нажмите на кнопку Добавить .

1. В окне выполните следующее:

• В поле Веб-сайт банка или платежных систем введите адрес веб-сайта банка или платежной системы. Перед URL-адресом веб-сайта должен быть указан протокол https:// .
• В поле Описание введите краткое описание банка или платежной системы.
• В блоке При посещении этого веб-сайта выберите действие, которое будет применяться для этого адреса:
  • Запрашивать действие . При обращении к указанному веб-сайту в окне веб-браузера появится сообщение с предложением запустить защищенный веб-браузер, либо продолжить работу в обычном веб-браузере.
  • Запускать защищенный браузер автоматически . При обращении к указанному веб-сайту будет автоматически открыт защищенный веб-браузер.
  • Не запускать защищенный браузер . При обращении к указанному веб-сайту будет продолжена работа в обычном веб-браузере.

1. В окне Веб-сайт для Безопасных платежей нажмите на кнопку ОК .

1. В окне Настройка в блоке Веб-сайты банков и платежных систем появится добавленный адрес веб-сайта.
2. В окне Настройка нажмите на кнопку ОК .

Злоумышленники могут попытаться получить ваши платежные данные (номер карты, имя владельца, срок действия и CVV2), чтобы затем использовать их для кражи денег с вашего счета. Платежные данные могут подвергнуться опасности в следующих случаях:

• форма онлайн-платежа была размещена на сайте злоумышленниками;
• сайт, принимающий оплату с платежных карт, не использует защищенное соединение HTTPS ;
• сайт использует неизвестный Яндексу сертификат ;
• форма платежа находится на другом домене, нежели основной сайт.

При вводе номера платежной карты Яндекс.Браузер может вывести на экран два вида предупреждений:

• Угроза кражи данных
• Потенциальная проблема безопасности

Чтобы получить дополнительную информацию о проблеме, нажмите на значок карточки в Умной строке. Вы увидите одно из следующих сообщений:

Времена романтиков, пишущих вирусы только для того, чтобы просто сломать систему или передать жертве веселый привет, канули в Лету. Нынешние вредоносы в подавляющем большинстве случаев имеют самую что ни на есть коммерческую направленность - вымогательство, мошенничество, кража данных кредитных карт и так далее. Стоит помнить, что присутствие вируса на компьютере жертвы далеко не всегда необходимо - в ряде случаев киберпреступники могут обойтись и без этого. Разумеется, «Лаборатория Касперского» обращает самое пристальное внимание на таких любителей наживы и не дает им жить спокойно.

Модуль «Безопасные платежи» появился в 2012 году, став преемником «Безопасного браузера», имевшего более широкую сферу применения. О предназначении этой технологии мы уже неоднократно рассказывали на страницах Kaspersky Daily.

Мои статьи посвящены технической поддержке, поэтому повторять «матчасть» о принципах функционирования модуля мы сегодня не будем. Сегодня мы рассмотрим, в каких случаях «Безопасные платежи» могут не работать автоматически и почему. И самое главное - как эту проблему решить.

Итак, ваш банк обзавелся собственным Персональным кабинетом, откуда по вашей карте могут осуществляться финансовые операции. Если вы пользуетесь «Касперским», то страница онлайн-банка автоматически откроется в защищенном режиме, поскольку большинство популярных банков и платежных систем занесены в нашу базу. Однако иногда этого не происходит. Выглядит это так: при попытке войти в систему банка никаких уведомлений от «Безопасных платежей» не возникает, зеленая рамочка не появляется, вы чувствуете себя беззащитным и… Мой вам совет: уйдите с этой странички и добавьте ее вручную в «Безопасные платежи». Как это сделать, вы можете прочитать в нашей Базе Знаний. Сразу хочу сказать, что такая ситуация вовсе не является показателем опасности сайта - просто он не настолько популярен, чтобы оказаться в наших базах. Так бывает.

Но, допустим, вы добавили новый банк в настройках нашего продукта, а «Безопасные платежи» по-прежнему не хотят запускаться. Скорее всего, дело в том, что вы указали только домен банковского сайта (например, https://yourbank.com), Персональный кабинет находится по другому адресу (например, https://yourprofile.yourbank.com). Разумеется, «Безопасные платежи» на нем без соответствующей настройки не запустятся. Можно, конечно, добавить конкретный адрес личного кабинета, но, чтобы упростить дальнейшую работу, удобнее всего будет использовать не адрес банковского сайта, а его маску. Для этого применяется знак звездочки (‘*’), который во многих языках программирования заменяет любую последовательность символов.

Если ваш банк задан подобным образом, то «Безопасные платежи» будут запускаться на банковском сайте независимо от адреса Персонального кабинета - даже если банк поменяет структуру ссылок, все будет работать без изменений. Ну а чтобы не тратить время на открытие браузера и ввод ссылки, можно запустить страничку банка прямо из окна антивируса. Это же рекомендует сделать и подсказка в нижней части окна:

Хочу предостеречь от одной распространенной ошибки. Поскольку при запуске «Безопасных платежей» выполняется сразу несколько проверок, открытие страницы может занять некоторое время. Не спешите нажать на свой банк второй (третий, тысячный…) раз, если страница не запускается. Дайте приложению время обеспечить вашу защиту. Иначе после проверки вы получите несколько одинаковых страниц, запущенных в «Безопасных платежах», а также кучу ошибок, этим вызванных.

Однако вернемся к строке ввода адреса. Хочу обратить ваше внимание, что туда вводится именно адрес, а не название банка. Это не поисковая система, а обычное текстовое поле.

Как уже было сказано выше, большинство существующих банков и платежных систем внесены в базу наших продуктов, и «Безопасные платежи» в них будут открываться автоматически. Поэтому не нужно спешить добавлять в настройки каждый из ваших банков превентивно - сначала попробуйте открыть его в браузере. А вот если это не получается, теперь вы знаете, что делать.

Стоит отметить, что «Безопасные платежи» интегрируются в браузеры в виде плагинов. Если ваш браузер еще не поддерживается расширениями нашего продукта, то «Безопасные платежи» в нем запускаться не будут. В связи с этим можно порекомендовать использовать для онлайн-банкинга и шопинга Internet Explorer, который, в отличие от других популярных браузеров, обновляется крайне редко. Для любителей Google Chrome хочу напомнить, что «Безопасные платежи» включены в состав объединенного плагина Kaspersky Protection, о чем я уже рассказывал раньше. Так что не стоит переживать, не увидев отдельного расширения в списке.

К слову, чтобы «Безопасные платежи» запускались, нужно сначала не забыть включить сам плагин. По умолчанию это предлагается сделать сразу после установки продукта, при первом запуске браузера. Но часто наши пользователи забывают разрешить его установку, ведь по умолчанию в браузере эта галочка не установлена.

Если вы все же забыли поставить галочку и плагин не установился, то включить его в любой момент можно в настройках браузера. Подробный алгоритм описан в соответствующейстатье нашей Базы Знаний.

Кстати, частенько ссылки на подложные банковские страницы содержатся в фишинговых почтовых рассылках. Как их определить и как с ними бороться, вы можете прочесть в недавно опубликованной на нашем информационном сайте статье, посвященной компьютерному мошенничеству. Безопасного вам Интернета! И не забывайте, что главный гарант сохранности ваших персональных данных - это все же не антивирус, а вы сами.