Илья Кабачинский: На днях вышло исследование от компании Visa, Stay Secure, в котором описывают различные тренды интернет-махинаций, преступности в Сети и то, насколько украинская аудитория готова к пониманию этого. Был проведен опрос среди украинцев: 73%, вероятнее всего, не распознают «тревожных звоночков», которые указывают, что люди столкнулись с преступниками. На самом деле, это очень большая цифра, думаю.

Хотел бы вас попросить это прокомментировать, во-первых. А во-вторых, какие вы в ваших финучреждениях видите тренды или тенденции относительно кибербезопасности?

Дмитрий Мусиенко: Действительно, особенность Украины в том, что, хотя киберзащита в банковской системе на достаточно высоком уровне, психологические факторы (кибермошенничество, социальная инженерия и фишинг) широко распространены. За январь-сентябрь 2023 года мы видели рост случаев социнженерии и фишинга относительно аналогичного периода 2022 года, который составил примерно 20%.

Что этому способствует? Конечно, доверчивость населения, особенно учитывая фактор войны и то, что люди находятся в более сложных жизненных условиях. Преступники с легкостью к этому адаптируются, меняя свои мошеннические схемы под условия сегодняшнего дня.

Если в 2022 году основными методами мошенничества были фишинговые ссылки на торговых площадках, взлом аккаунтов в социальных сетях и выманивание данных клиентов в телефонном режиме, то в 2023-м мошенничество через торговые площадки уменьшилось, зато возросло мошенничество с распространением фишинговых ссылок якобы для регистрации выплат временно перемещенным лицам от государства или от международных организаций. Эти ссылки рассылаются в соцсетях и различных мессенджерах.

Фишинговые сайты сами по себе очень похожи на известные платежные сервисы, на правительственные порталы, такие как Дія, еДопомога, на сайты международных организаций. Поэтому граждане легко верят, что действительно получат помощь.

Схемы со взломом аккаунтов в соцсетях и выманиванием данных по телефону («Вам звонит служба безопасности банка…») остались на том же уровне.

Наибольшее количество случаев мошеннических платежей, 60%, — это операции до 2000 гривен. Но, кстати, если сравнить Украину со странами Европейского Союза, то, по данным Национального банка, у нас показатель относительных убытков от общего объема операций с платежными карточками почти в шесть раз меньше.

Фото: Дмитрий Мусиенко, член правления ПриватБанка по розничному бизнесу

Александр Лапко: Соглашусь с тем, что, к сожалению, внимательность наших пользователей недостаточна. Они часто не замечают этого «тревожного звоночка», того момента, когда с ними начинает взаимодействовать мошенник. Здесь очень важно то, что мы сейчас делаем, — просвещение. Иначе не научиться замечать эти красные флажки.

Буду говорить больше о заказах на сайтах или маркетплейсах, потому что это основная наша работа — улучшение процесса покупки. Здесь важный элемент — когда происходит изменение цены или кто-то просит доплатить. То есть, вы сделали заказ, а продавец звонит и хочет что-то изменить. Это уже может быть «звоночком». Важно проверить, поговорить, возможно, написать в службу поддержки маркетплейса, чтобы понять, действительно ли это так.

Или фишинговые сайты, о которых говорил коллега Дмитрий. Создают сайт, очень похожий на тот, что вы привыкли видеть, но на самом деле, это клон. И распознать его можно, только посмотрев на адресную строку в браузере, то есть, на название сайта.

Если говорить о трендах, да, сейчас есть определенный рост мошенничества, особенно в сфере донатов. Там пользуются доверием, желанием людей помочь украинской армии.

И.К.: В предыдущем эфире на эту тему мы говорили с Ларисой Макаровой, старшим директором — главой по управлению рисками Visa в Украине, Грузии, странах СНГ и Юго-Восточной Европы. Она тогда сказала, что компания Visa немало делает для того, чтобы сохранить платеж, чтобы никто не мог на него повлиять и все дошло туда, куда нужно. Интересно узнать, что ваши компании делают для того, чтобы платеж был в безопасности. Насколько много софта вы покупаете или делаете сами? Насколько большие у вас департаменты, которые этим занимаются? Сколько средств вы инвестируете в безопасность?

А.Л.: Это постоянная работа. Мы работаем над уменьшением количества «точек», где вообще возможны мошеннические действия. В частности, мы токенизируем карты на всех площадках. Токенизация — сохранение карты в закодированном виде. Это помогает не показывать данные карты другим лицам, например, продавцам. Это важно, чтобы ограничить доступ к платежной информации.

Другим примером того, что мы внедряем, является введение двухфакторной авторизации. То есть, отправка смс во время того, как вы заходите в персональный кабинет. Это часто спасает от злоумышленников, когда те хотят получить доступ к вашим персональным данным.

Мы также анализируем поведение клиента с помощью всех данных, которые можем получить. Именно эти данные могут показать, что что-то пошло не так. Например, клиент из Украины, и вдруг он заходит из другой страны, что необычно. Для нас это индикатор того, что надо применить дополнительную проверку. Здесь важны партнерские сервисы, такие как Cybersource от Visa, которые предоставляют возможность добавить данные, которых мы не видим при транзакции. Это позволит нам принять правильное решение — была ли транзакция мошеннической или она нормальная, типичная для клиента.

Другой пример партнерского взаимодействия — это интеграция с курьерскими службами, которая позволяет нам видеть не только момент покупки, но и момент доставки. То есть, всю цепочку от начала заказа до получения товара. Это также минимизирует мошеннические действия, потому что, когда рассчитывается покупатель с продавцом, мы точно знаем, что все прошло успешно и товар доставлен.

Фото: Александр Лапко, руководитель платежного решения RozetkaPay

И.К.: Дмитрий, как Приватбанк заботится о том, чтобы с платежами было все хорошо? Как минимизировать истории интернет-мошенничества?

Д.М.: Александр уже назвал несколько вещей, которые аналогично используются и нами. У нас есть мощная служба anti-fraud. Мы четко мониторим время транзакции, с какого устройства заходит клиент. Если это какое-то необычное устройство, которое никогда этим клиентом не использовалось, идет запрос к нему, чтобы транзакция была подтверждена.

Двухуровневая аутентификация, то есть 3D Secure, применяется практически в каждой транзакции. Если вы вводите определенную сумму, вам необходимо будет зайти в Приват24, чтобы эту транзакцию подтвердить. Конечно, в Приват24 мошенник просто так не может зайти.

Мы считаем, что у ПриватБанка один из лучших уровней anti-fraud защиты. И по статистике мы видим, что в 90% случаев попыток мошеннических транзакций мы совершаем определенные действия, которые приводят к тому, что эти транзакции не осуществляются.

Работа с anti-fraud для нас — одна из стратегий клиентоориентированности банка вообще. Расскажу историю, которую многие слышали, но она хрестоматийная. После начала войны мы перенесли все без исключения дата-центры в облако в течение 45 дней. Это был огромный шаг для нас. Для банка нашего размера сделать это было очень сложно, но мы это сделали, понимая, что безопасность транзакций клиента, операционная стабильность чрезвычайно важны. Поэтому мы на это пошли, вложив огромные средства, чтобы обеспечить перенос в короткий промежуток времени.

Конечно, каждую заявку клиентов, которые жалуются на мошеннические действия, мы анализируем, ни одна жалоба не остается без рассмотрения. Мы корректируем соответствующие алгоритмы, если видим, что мошенники начинают использовать какой-то новый инструмент, который позволяет им обходить наши правила.

Как и RozetkaPay, мы плодотворно работаем с Visa и другими компаниями платежных технологий. Мы модернизировали все алгоритмы и инструменты, которые есть, и считаем, что ПриватБанк является лидером с точки зрения предотвращения попыток мошеннических транзакций.

И.К.: Вы упомянули, что придумываются новые методы мошенничества. Сейчас много говорят об искусственном интеллекте и фейках, которые он умеет генерировать. То есть, искусственный интеллект не всегда становится на сторону добра и помогает быстро создавать картинки и тексты, но и переходит на сторону зла. Исходя из этого, реально ли вообще искоренить онлайн-мошенничество, построить систему, в которой оно будет невозможным?

Д.М.: Наверное, полностью искоренить мошенничество невозможно, давайте будем смотреть правде в глаза. Но можно сделать так, чтобы количество мошеннических операций минимизировалось. Для этого мы вместе с Visa в рамках информационной поддержки Национального банка снимали ролики #ШахрайГудбай, где четко разъясняли клиентам, какие алгоритмы использовать, чтобы уменьшить шансы мошенников.

Для большинства мошеннических операций информацию предоставляют сами клиенты. Например, данные платежной карты, CVV-пароль, CVV-коды, заходят на фишинговые сайты, кликают на ссылки, которые отправлены с неизвестных номеров или неизвестных адресов в мессенджере.

Конечно, просветительская работа финансовых компаний, банков, Национального банка приведет к тому, что таких операций будет меньше. Основной фактор предотвращения мошенничества — это улучшение финансовой культуры, культуры безопасных расчетов украинцев.

В сентябре мы запустили интересный проект о финансовой грамотности на YouTube-канале ПриватБанка, он называется Агент 3700. Там мы в легкой, понятной форме рассказываем нашим клиентам о наиболее распространенных видах мошенничества, даем советы, как их предотвратить. 3700 — это номер службы поддержки.

Конечно, для роста финансовой грамотности населения нужно время. Люди должны понять, какими данными можно делиться, а какую информацию ты не можешь предоставлять в принципе, даже если тебе якобы звонят из банка. Потому что эту информацию, например CVV-коды, банки и финансовые компании никогда не просят.

Самый простой совет по элементарной финансовой безопасности: не использовать свою платежную карту или ту, на которую ты получаешь заработную плату, для расчетов в интернете. В нашем приложении в течение двух минут человек может выпустить digital-карту, интернет-карту и использовать ее для покупок онлайн. Можно установить лимиты для интернет-транзакций, любую сумму, и сверх этой суммы средства никто не спишет.

А.Л.: Это философский вопрос: возможно ли искоренить зло в целом? Наверное, если бы существовал идеальный мир, где все были бы образованными, состоятельными, высоконравственными, то мы бы этого достигли. А пока это не так, к сожалению, мошенники всегда будут пользоваться где-то невнимательностью, где-то ленью пользователя изменить пароль.

Мы, со своей стороны, можем только помогать и минимизировать количество таких «узких» мест.

И.К.: Как вы думаете, что наиболее благоприятно для онлайн-мошенничества? Та самая невнимательность людей, их склонность поддаваться социальной инженерии? Или все же главная опасность от современных технологий, искусственного интеллекта? Можно же создать аватар, смоделировать голос, картинку, и с помощью этого всего человека обмануть. Что, по вашему мнению, будет иметь влияние в будущем?

А.Л.: На мой взгляд, ключевой элемент в мошеннических действиях — это человек, на которого влияют. Со стороны технологий мы защищаем максимально, строим системы, чтобы не было никаких возможностей для мошенника. Но надо понимать, что мошенник будет искать, как повлиять на пользователя и получить его данные с помощью социальной инженерии.

Полностью заменить человека искусственным интеллектом невозможно, чудес не бывает. Стоит всегда быть внимательным. Если есть какие-то подозрения — пытаться проверить. Если ваш знакомый в мессенджере вдруг просит перевести деньги, пожалуйста, не поленитесь позвонить ему и спросить, действительно ли это он написал. Если просят изменить цену товара, свяжитесь со службой поддержки или с продавцом.

Важно всем понимать, как это работает. Я считаю, это основной рецепт, как не быть обманутым.

И.К.: Вспомнил ситуацию, после которой я гордился своим отцом. Ему кто-то позвонил и сказал, что ваш ребенок задержан, срочно сбросьте деньги. Он сказал: «Хорошо». Позвонил мне и спросил: «Илья, ты сейчас в тюрьме?» Я говорю: «Нет, дома». Отец сказал: «Я этому очень рад». Человек не будет обманут и пристыжен, если не поленится проверить информацию, которую ему кто-то донес.

Дмитрий, а по вашему мнению, большей проблемой является социальная инженерия или современные технологии, которые развиваются невероятными темпами?

Д.М.: Об искусственном интеллекте мы слышим недавно, а мошеннические действия происходят многие десятилетия. Поэтому говорить, что наибольшее влияние имеют современные технологии, наверное, не стоит. Соглашусь с Александром: это скорее вопрос социальной инженерии, проблема доверчивости клиентов и финансовая халатность. Люди доверяют информации, полученной из звонка, мессенджера или е-мейла, попадают под влияние определенных слов.

Илья, ваш отец поступил очень хорошо. У меня был аналогичный кейс. Я работал в Казахстане, а моей маме позвонили мошенники и сказали: ваш сын в тюрьме, высылайте деньги. Она меня набрала, спросила, все ли хорошо со мной. Я сказал, что все хорошо. Хорошо, что наши родители такие сознательные. Но, к сожалению, многие пенсионеры так не делают.

Поэтому образовательные программы, ежедневная работа с клиентами нужна. Но это не мешает нам строить определенные алгоритмы и использовать технологии в нашу пользу.

И.К.: У меня была еще одна ситуация. Дедушка позвонил, говорит, что ему пришла смска, что он выиграл или 300 тысяч, или 500, какую-то большую сумму. Спрашиваю: «А ты участвовал в лотерее?» Он говорит: «Нет». — «А заявки какие-то заполнял?» — «Нет». — «Ну, так о чем речь?». Дедушка говорит: «Ну что ж, тогда обойдусь без 300 тысяч». То есть, не повелся на эту схему.

Д.М.: А помните письма от нигерийских принцев? Эта схема существовала еще до появления наших алгоритмов, Cyber security и так далее. Мошенники просто постоянно совершенствуют свои процессы, действия, которыми могут влиять на людей.

И.К.: Александр, а у вас есть подобные истории, случившиеся с вами или с вашими близкими?

О.Л: Попытки мошеннических действий в отношении меня, конечно, были, и достаточно много. Но неуспешные, потому что я понимаю, как это работает.

Здесь хотел бы подсветить одну вещь для людей. Когда вы не инициировали определенное действие, а оно началось, обратите на это внимание. Именно это первый «звоночек», что что-то пошло не так. Не забывайте проверять сообщения и смс, никому не говорите коды карточек, потому что тогда управление вашими деньгами переходит к тому, кому вы их сообщаете.