Безопасность онлайн-платежей

Платежи за товары и услуги с мобильных устройств становятся в Беларуси все более массовыми. К сожалению, по мере роста популярности этого удобного способа расчетов увеличивается и активность мошенников в данном сегменте. О том, как не стать их жертвой, рассказывает директор провайдера электронных платежей AssistBelarus Вячеслав СЕНИН.

В среднем в Беларуси на каждого работающего в 2017 г. приходится по 3 банковские карты, а 30% платежей в рознице совершается в безналичной форме. Официальной статистики по оплатам картами на белорусских веб-­ресурсах нет. Но рост их популярности отмечают все крупнейшие участ­ники рынка и международные платежные системы.

Услугу интернет-эквайринга (онлайн-­оплата банковскими картами) подключают многие интернет-магазины и сервисы, чтобы обеспечить удобство расчетов для своих клиентов. К сожалению, это привлекает и мошенников. Их действия (так называемый фрод) могут нанести ущерб как плательщикам, так и получателям платежей и банкам.

В онлайн-платежах банковскими картами участвуют: держатель карты, интернет-магазин или сервис, банк-­эмитент, выпустивший карту плательщика, банк-эквайер, который перечисляет деньги в пользу интернет-магазина, провайдер электронных платежей, а также платежные системы (Visa, MasterCard, БЕЛКАРТ и т.д.).

Процесс онлайн-платежа выглядит следующим образом: держатель карты заходит на сайт, выбирает товар или услугу и способ оплаты картой онлайн. Затем интернет-ресурс перенаправляет его на страницу провайдера электронных платежей для ввода карточных данных. Когда они введены, провайдер отправляет запрос банку-эмитенту и банку-провайдеру. Эти банки обмениваются информацией с платежными системами и по цепочке передают ее провайдеру платежей. Тот, в свою очередь, показывает результат операции плательщику. Все это происходит в считанные секунды. Если все в порядке, производится оплата. Если платеж не проходит, указывается причина такого результата.

Как становятся жертвой

По нашим данным, за прошедший год доля онлайн-платежей картами, совершаемых с мобильных устройств, выросла с 22 до 27,4%. Выросла и активность мошенников в этом сегменте, причем такая тенденция отмечается во всем мире.

Любые онлайн-оплаты сопровождают определенные риски, способные при­вести к нежелательным последствиям и потерям. Иногда это вызвано халатным поведением держателей карт, которые, сами того не подозревая, предоставляют злоумышленникам свои данные. Интернет-магазин не может знать, кто находится по ту сторону экрана – мошенник или добропорядочный клиент. Поэтому постоянно создаются новые способы идентификации он­лайн-­плательщика.

Действия мошенников бывают раз­нообразными. Например, они могут попытаться украсть данные банковской карты покупателя, который платит в Интернете. Предотвратить это можно только разумным поведением. Нельзя никому передавать данные карты и ее саму. Не стоит расплачиваться картой на сомнительных сайтах. Нужно своевременно обновлять антивирусное ПО на том устройстве, с которого совершается оплата. Многие эксперты по сетевой безопасности советуют заводить для онлайн-платежей отдельную карту, на которую обычно заранее переводится сумма, нужная для конкретной покупки в интернет-магазине. И, конечно, не стоит пренебрегать SMS-информированием об изменении баланса вашей карты.

Риски онлайн-бизнеса

Есть свои риски и для интернет-магазина. По сообщениям портала www.banki.ru, самый популярный тип мошенничества с банковскими картами – это friendlyfraud (или «дружеский фрод»). Суть в том, что держатель карты совершает покупку в Интернете, а затем требует от банка-эмитента проведения процедуры возврата средств на карту по причине неоказания услуги. Если онлайн-магазин не может доказать необоснованность претензий плательщика, банк-эмитент должен воз­местить владельцу карты требуемую сумму. Убытки здесь несет интернет-­торговец, т.к. сумму возмещения банк взыщет с него. Интернет-магазины также могут по­страдать от действий хакеров и соб­ственных недобросовестных сотрудников.

Немного цифр: по данным международной компании по предотвращению и расследованию киберпреступлений и мошенничеств IB-Group, потери от действий мошенников в электронной ком­мерции в странах Северной Америки и России ежегодно составляют до 0,5%. Для бизнеса это убытки в миллиарды долларов или российских рублей.

Риски банков

Банки прежде всего рискуют своей репутацией. Банк-эквайер – этот тот банк, с которым интернет-магазин и провайдер электронных платежей со­трудничают при приеме карточных онлайн-оплат. Если выяснится, что интернет-магазин сам оказался мошенником (в некоторых сферах это не редкость), то компенсировать убытки покупателям будет банк-эмитент, а ему в свою очередь – банк-эквайер.

Если интернет-магазин нарушил какое-либо правило платежных систем, то штрафные санкции также будут наложены на банк-эквайер. Поэтому банки, предоставляющие услуги интернет-­эквайринга, требуют от интернет-магазина довольно внушительный пакет документов для принятия решения о сотрудничестве.

Риски провайдера электронных платежей

Провайдер электронных платежей при совершении карточных оплат связывает между собой плательщика с банками и платежной системой. При этом средства со счета плательщика списывает только банк, а провайдер лишь обрабатывает такую транзакцию. Тем не менее во многом безопасность карточных оплат в Сети зависит от действий провайдера.

Компания, обрабатывающая платежи, также сталкивается с разного рода трудностями. К примеру, серверы провайдера электронных платежей могут подвергаться DDOS-атакам. Это значит, что провайдер временно не способен обрабатывать платежные операции, при этом магазин несет убытки, покупатели уходят, а провайдер теряет доверие.

Также злоумышленники могут попытаться взломать серверы провайдера платежей. Если им это удастся, то в их руках окажутся карточные данные, что принесет ущерб и провайдеру, и держателям карт. Платежные системы в таких случаях штрафуют провайдера эле­ктронных платежей. Именно поэтому сервис-провайдеры обязаны ежегодно проходить сертифицированный аудит, включающий поиск уязвимостей на всех уровнях инфраструктуры.

Выход есть

Существует множество инструментов минимизации рисков в электронной коммерции. Один из мощнейших – используемая провайдерами электронных платежей антифродовая система. Это программно-технический комплекс, который анализирует и защищает онлайн-платежи, совершенные с помощью банковских карт. Каждый раз, когда плательщик вводит карточные данные на защищенной странице оплаты, антифродовая система провайдера проверяет детали операции. При этом анализируется множество параметров, от IP-адреса компьютера до платежной истории по конкретной карте. Каждый из этих критериев характеризует персональные и карточные данные пользователя. Цель системы – убедиться в том, что пользователь является истинным держателем карты, совершающим покупку на сайте.

В хорошей антифродовой системе есть ряд профилей среднестатистического плательщика магазина. Если при попытке оплаты были замечены нестандартные детали расчетной операции, то платеж автоматически блокируется, о чем тут же сообщается плательщику и интернет-магазину.

Например, систему может насторожить попытка оплаты по одной карте с разных устройств, идентифицированных различными IP-адресами, или на подозрительно большую сумму, разные страны регистрации интернет-магазина, банка-эмитента карты и покупателя. Из-за этих и многих других особенностей платеж может быть отклонен. Если подобных признаков нет, оплата завершается успешно.

В AssistBelarus подозрительные транзакции дополнительно проверяются вручную специалистами отдела мониторинга. Только за 2016 г. наша антифродовая система заблокировала 9 тыс. операций более чем на 1 млн. BYN по подозрению в мошенничестве. Эти деньги могли потерять интернет-магазины и сервисы, если бы не инструменты онлайн-мониторинга. Конечно, киберпреступники не останавливаются и изобретают новые способы махинаций. В свою очередь, наша антифродовая система, построенная по принципу нейронных сетей, постоянно самообучается и гибко настраивается под разные типы бизнеса.

Эффективность антифродовой системы определяется процентом успешных платежей. У нас он достигает 99%, а 99,97% фрода отсеивается менее чем за 1 секунду.

Онлайн-магазинам и сервисам следует внимательно подойти к выбору провайдера электронных платежей. Надежный провайдер проходит сложную проверку на безопасность – ежегодную сертификацию PCI DSSLevel 1, что должно быть указано на сайте компании. Кроме того, он использует безопасные протоколы передачи данных в Интернете (TLS, SSL и т.д.), собственную антифродовую систему, имеет наработки и схемы предотвращения мошенничества, жесткую фильтрацию платежных операций и солидный опыт сотрудничества с разными интернет-магазинами и сервисами, а также, безусловно, ориентируется в платежной специфике конкретных сфер.

Если онлайн-бизнес ответственно подошел к выбору провайдера и учитывает перечисленные требования, то его риски в работе минимальны.