“Ъ” стали известны детали кибератаки на российские банки из Бразилии. Всего нападению подверглись восемь банков. Учитывая продолжительность атаки, которую удалось остановить лишь после вмешательства центробанков России и Бразилии, участники рынка могли понести существенный ущерб. По оценкам экспертов, банки могли заплатить в виде комиссий за безуспешные трансакции по картам сотни тысяч долларов. Поэтому, хотя хакерам и не удалось добиться успеха, говорить об отсутствии потерь у российских игроков не стоит.
Как пояснил “Ъ” первый заместитель директора департамента информационной безопасности ЦБ РФ Артем Сычев, хакерская атака на российские банки из Бразилии, о факте которой стало известно 12 сентября, уникальна тем, что шла несколько месяцев: по десятку игроков и от одного эквайера из Бразилии. По информации источников “Ъ”, атака началась в апреле и была остановлена лишь недавно, жертвами киберпреступников стали восемь кредитных организаций.
Атака относилась к типу БИН. Это метод мошенничества, когда злоумышленники выясняют первые 6 цифр номера карты (БИН), используемые для идентификации банка в платежных системах, и далее уже методом перебора пытаются сгенерировать оставшиеся. «Если злоумышленнику удается сгенерировать номер карты, то идет списание средств»,— пояснил “Ъ” Артем Сычев.
Самостоятельно решить проблему банкам не удалось, они попросили помощи у регулятора.
«Мы связались с бразильскими коллегами, и атаки прекратились,— указывает Артем Сычев.— Мы не знаем, был ли взломан банк на той стороне или почему шла атака, это вне сферы нашей компетенции, но бразильские коллеги проблему решили».
Финансовых потерь российским банкам атака не принесла, заверил господин Сычев, однако «подобные БИН-атаки засоряют трафик, и потому проблема требовала решения».
Но даже если бразильские хакеры действительно не смогли похитить средства держателей карт российских банков, это не значит, что банкам не был нанесен ущерб. «Даже неуспешные хакерские атаки, связанные с перебором карт определенного банка, могут принести эквайеру и эмитенту существенные затраты ввиду того, что неуспешные авторизации также оплачиваются согласно тарифам платежных систем,— отмечает директор "КартСтандарт" Майя Глотова.— Сама суть такой атаки подразумевает многочисленные запросы, таким образом, убытки банка могут составлять до $10 тыс. в месяц. Таким образом, даже атаки, не принесшие ущерба клиентам банков, все равно являются затратными и требуют оперативного реагирования». Учитывая число подвергшихся атаке банков и ее длительность, можно предположить, что российским банкам, ставшим жертвами киберпреступников, пришлось потратить на комиссии сотни тысяч долларов, полагают эксперты.
И хотя данная атака относилась к типу простых, от которых российские банки умеют защищаться, это не значит, что она не могла быть успешной.
Показательным в данном случае является история южнокорейской компании KB Kookmin Card, которая в конце июня также подверглась БИН-атаке. Только держатели ее карт потеряли по $1, а общая сумма ущерба составила $2000. То есть мошенникам удалось провести 2 тыс. мелких трансакций всего за один день с 24 по 25 июня. Потери могли бы быть существенно больше, если бы компания не проявила бдительность и не порекомендовала держателям карт перевыпустить их. В такой ситуации эксперты и участники рынка отмечают замедленную реакцию российских банков и ЦБ, допустивших столь продолжительную по времени атаку.