Организация работы по борьбе с мошенничеством в кредитной организации

Ларионова Светлана Львовна ORCID: 0000-0002-1815-2139 кандидат технических наук доцент, департамент Информационная безопасность, федеральное государственное образовательное бюджетное учреждение высшего образования «Финансовый университет при Правительстве Российской Федерации» 125167, Россия, г. Москва, ул. Проспект Ленинградский, 49/2 Larionova Svetlana L'vovna PhD in Technical Science Associate Professor of the Information security Department, Financial University under the Government of the Russian Federation, 125167, Russia, Moscow, 49/2 Prospekt Leningradskiy str. sv-larionova@yandex.ru

Введение

Кредитная организация занимается борьбой с мошенническими операциями в отношении своих клиентов по следующим причинам:

- во-первых, страх угрозы потери клиентов и репутации в случае, если мошеннические операции с упоминанием организации будут преданы огласки;

- во-вторых, угроза невыполнения требований законодательства и наложения санкций со стороны регулятора;

- в-третьих, угроза существенного ущерба, в случае судебных исков и штрафных санкций.

Таким образом, основная цель кредитной организации в рамках борьбы с мошенническими операциями с денежными средствами своих клиентов – это минимизация риска собственных убытков. Обеспечение сохранности денежных средств клиентов в настоящий момент перестало быть основной целью и задачей современных банков. Если в начале развития банковской деятельности разбойники нападали на кассы банков, забирали наличные деньги, банки в самых крайних случаях отказывались от своих обязательств перед клиентами, то в эпоху безналичных расчетов и платежей банки в прямую информируют клиента о том, что их денежные средства могут быть украдены и банк не несет за это никакой ответственности. Собственно, это обязанность возложена на банк, как правило, по закону (например, статья 9 Закона № 161–ФЗ ^[1]).

Данная статья посвящена рассмотрению и анализу возможных причин сложившейся ситуации в области банковского мошенничества, а также рассмотрением эффективности предпринимаемых мер и разработке предложений по оценке и направлениям совершенствования мер противодействия мошенничеству в банковской сфере.

Описание проблематики вопроса и целей исследования

Еще в конце 90х годов прошлого столетия никому и в голову не могло прийти, что денежные средства, размещенные в банке в безналичной форме с открытием счета, могут быть украдены. Хотя и в это время население «страдало» от недобросовестных банкиров – они выводили денежные средства на счета за границу и объявляли себя банкротами, т.е. не способными выполнить обязательства перед своими кредиторами, включая вкладчиков и владельцев счетов. После введения государством гарантий на обязательное возмещение определенной суммы вклада в любой кредитной организации, в принципе, проблема с предоставлением ненадежных банковских услуг была решена.

Спустя 30 лет мы снова сталкиваемся с проблемой предоставления ненадежных банковских услуг, причем не в масштабах отдельных коммерческих организаций, а в масштабах всей банковской системы. В настоящий момент не существует кредитной организации, которая бы имела права и возможность заверить своих клиентов, что размещенные ими денежные средства будут надежно сохранены и приумножены до востребования их владельцами. Прогресс развития банковской деятельности по сути обернулся ее большим регрессом, что явилось результатом внедрения новых и новейших технологий банковского обслуживания, позволяющих клиентам кредитной организации удаленно проводить финансовые операции с помощью своих компьютеров, мобильных телефонов или путем использования специальных технических устройств (банкоматов, платежных терминалов и т.п.) и электронных средств платежа (банковских карт, электронных кошельков, мобильных банковских приложений и др.).

По данным отчетов Банка России ^{[2, 3]}, потери от кибермошенничества по операциям без согласия клиентов ежегодно растут как по количеству, так и по объему. При этом следует отметить, что доля возмещенных в 2022 году денежных средств в зависимости от канала обслуживания составила от 0,9% до 18,5%. Схемы мошенничества с каждым годом меняются ^{[4, 5]}. Ранее преобладало вирусное заражение через установку вирусного программного обеспечения и смс-банкинг. Скимминг – мошенничество посредством накладных устройств на банкоматы – практически ушел. Фишинг остается активно используемой схемой мошенников. Социальная инженерия сейчас является основной схемой в кибермошенничестве, так как на человека воздействовать проще, чем технически разрабатывать вирусы и приложения. Мошенники широко используют методы социальной инженерии, чтобы заставить клиента сообщить данные, необходимые для хищения его денежных средств. Для этого организованы специальные контактные центры и офисы с IP–телефонией. Как правило, звонят «сотрудники» службы безопасности банка, представители государственных органов, предупреждают об оформлении кредита, изменении номера телефона, попытке кражи средств со счета, сообщают о расследовании дела в отношении клиентского менеджера банка. Два основных результата действий мошенников при контакте с жертвой социальной инженерии:

• «самоперевод»: клиент самостоятельно переводит деньги под давлением мошенника;

• кража личности: мошенник получает необходимые данные для перевода на своем устройстве из аккаунта жертвы.

Исследования мобильных банковских приложений ^{[6, 7]}, на основе которых разрабатываются новые платежные технологии (платежи QR–кодами, платежи картой на мобильном телефоне и др.), показывают, что приложения не обладают приемлемым уровнем защищенности: большинство приложений содержит критические уязвимости, эксплуатация которых не требует доступа к устройству или административных прав.

Для эксплуатации ряда уязвимостей в клиентских частях мобильных банков злоумышленнику достаточно установить на устройство жертвы вредоносную программу, например, в ходе фишинговой атаки. Анализ имеющихся уязвимостей ^[8], показал, что для систем удаленного предоставления финансовых услуг актуален следующий перечень угроз:

· Угроза выполнения операций от имени пользователя путем перехвата данных пользователя при оплате в Интернете;

· Угроза перехвата вводимых пользователем конфиденциальных и/или аутентификационных данных;

· Угроза фарминга при покупке товаров или получении финансовой услуги;

· Угроза заражения вредоносным ПО устройства клиента;

· Угроза реализации злоумышленником атаки типа “человек посередине”;

· Угроза изменения логики работы мобильного приложения;

· Угроза использования методов социальной инженерии для получения идентификационных данных мобильных приложений или он–лайн кабинетов или использования электронных средств платежей;

· Угроза утечки конфиденциальных данных с устройства клиента;

· Угроза подбора пароля к личному банковскому кабинету клиента;

· Угроза хищения денежных средств клиента сотрудниками банка.

Целью настоящей работы является определить оптимальную систему противодействия мошенничеству и направления ее совершенствования.

Методы и средства противодействия мошенничеству

В настоящий момент предусмотрены законодательно следующие меры по борьбе с мошенничеством ^[9]. Банк России ведет работу по сбору информации обо всех случаях мошенничества при обслуживании клиентов финансовых организаций. На основании данной информации формируются базы данных, так называемые черные списки клиентов, списки устройств, с которых были осуществлены мошеннические операции, а также содержат другие признаки мошеннических операций. Законодательство требует извещать клиента о каждой электронной дистанционной операции с его счетами и предоставленными денежными средствами, связанной с переводом денежных средств. При использовании средств дистанционного банковского обслуживания, обеспечивающих возможность перевода денежных средств, требуется двухфакторная аутентификация клиентов. О каждой транзакции, совершенной дистанционно, клиент должен быть извещен и иметь возможность уведомить финансовую организацию о мошеннической операции. Самое важное – по каждой дистанционной электронной транзакции клиента, связанной с переводом денежных средств, должна быть проведена проверка наличия признаков мошенничества. Для этих целей в финансовых организациях должны быть внедрены антифрод–системы.

Схема работы системы противодействия мошенничеству – онлайн–контура фрод-мониторинга следующая:

• выстроить линию действий клиента на основе совершаемых им операций по различным каналам обслуживания;

• собрать профиль клиента;

• построить схему типичного/нетипичного поведения клиента;

• применить к профилю и схеме поведения клиента набор правил, моделей и алгоритмов AI;

• анализировать каждую операцию клиента и выносить вердикт: одобрено, подозрительно, отклонено.

Процедура обращения клиента в контактный центр при выявлении подозрительной операции помогает обучать систему фрод–мониторинга и ее алгоритмы. Жалобы клиентов позволяют системе автоматически перепроверить корректность маркировки операций как подозрительных и отклоненных. Обратная связь от клиента позволяет маркировать в системе соответствующие операции и правильно на них реагировать в дальнейшем.

• Если операция отклонена, то клиенту сразу поступает звонок, чтобы убедиться в правильности ее отклонения. В обратном случае операцию перемаркируют, чтобы в дальнейшем такие операции не отклонялись.

Помимо проверки электронных транзакций, совершаемых клиентом, к системе противодействия кибермошенничеству возможно также подключить все операции офисов банка. Раньше требовалось два сотрудника, чтобы ввести в компьютер операцию клиента и подтвердить ее. Теперь подтверждение операции от второго сотрудника требуется редко, поскольку система противодействия кибермошенничеству знает профиль, схему поведения клиента и отклонения от него. Это позволяет оптимизировать процесс обслуживания клиента. Кроме того, клиент видит, что делает сотрудник в офисе, и своей рукой подтверждает. Это позволяет клиенту контролировать операции, которые совершает сотрудник банка. Параллельно система противодействия мошенничеству проверяет действия и сотрудника, и клиента.

Финансовые организации имеют возможность использовать антифрод–системы в разных вариантах:

1. Облачные решения иностранных и отечественных производителей: компания-заказчик подключается к облачной платформе, передает данные по операциям, платформа по заранее определенным заказчиком схемам маркирует операции как разрешенные, отклоненные и требующие дополнительного рассмотрения. Преимущества этого варианта: нет затрат на содержание серверов, поддержку, за работоспособность системы, качество алгоритмов отвечает производитель. Кроме того, есть возможность по договору аллоцировать риски мошенничества на производителя. Недостатки этого варианта: необходима передача всего антифрод–процесса на аутсорсинг, вплоть до предоставления конфиденциальных клиентских данных.

2. Локальное решение производителя. Покупается, «разворачивается» внутри компании–заказчика. Ответственность за работоспособность лежит на финансовой организации. Любые доработки системы – дополнительная платная услуга, т.к. программный код платформы – интеллектуальная собственность производителя.

3. Комбинированные решения: сочетание облачных с локальными решениями.

В целом данное решение подходит для крупных компаний: достаточный уровень сервиса и дополнительные функции облачной составляющей решения.

Следует также отметить, что Банк России предоставляет финансовым организациям возможность использовать систему АС «Фид–Антифрод», которая предоставляет информацию для выявления признаков мошенничества.

В антифрод-системах существует несколько подходов к оценке рисков:

1. Использование правил (Rule Based). Оценка рисков основывается на статических правилах, списках. Примерами таких систем является SmartVista FP, Компас. Подобные системы считается неэффективными, потому что мошенники быстро взламывают и обходят алгоритмы. Обнаружение отклонения, позволяющего обойти алгоритм, – возможность начать атаку. Например, блокировка операций по сумме: если мошеннический перевод в 50 000 руб. не сработал, а в 12 000 руб. оказался успешным, значит будет применена схема на меньшую сумму.

2. Использование модели искусственного интеллекта (AI Based). В финансовой организации должно быть накоплено необходимое количество кейсов, чтобы правильно настроить маркировку операций и модель не демонстрировала неверные отклонения. Данный подход позволяет адаптироваться под разный вид атак и позволит более эффективно проводить оценку риска мошенничества. Но следует отметить, что данные системы не позволят использовать правила выявления мошенничества, устанавливаемые законодательно.

3. Комбинированные системы (AI + Rule Based).Современный наиболее эффективный стандарт системы фрод–мониторинга. Они построены на списках, правилах, алгоритмах, моделях AI, нескольких уровнях проверки и комбинации данных инструментов и позволяют выявлять сложные признаки мошенничества. Например, cистема может идентифицировать, что сейчас операция совершена в Москве, а через пол часа – в Ростове, а это существенное отклонение, которое говорит о мошенничестве.

AI–модели фрод–мониторинга основываются на типах мошенничества и учитывают особенности каналов обслуживания клиентов (мобильное приложение, офис). Комбинированные анитифрод–системы позволяют выполняют следующие функции:

• проверка транзакций в режиме реального времени;

• графовые модели выявляют связи в поведении клиентов и мошенников;

• гео-модели анализируют геолокации транзакций, перемещения между ними;

• для повышения качества анализа классифицируют жалобы от клиентов для фильтрации случаев бытового мошенничества и ошибочных отклонений операций;

• скоринг по правилам – оценка физических и юридических лиц, телефонов, устройств по негативным признакам, исходя из имеющихся данных.

Существует множество направлений совершенствования алгоритмов фрод-анализа. Одна из проблем моделей искусственного интеллекта связана с неравномерностью распределения исходных данных на классы: операций, совершаемых клиентами, существенно больше, чем операций без согласия клиентов, что приводит к неправильной классификации объектов миноритарного класса и некорректному обучению моделей искусственного интеллекта. Эту проблему принято решать путем генерации синтетических операций без согласия клиентов с их последующим перемешиваем с реальными операциями, для чего используются алгоритмы SMOTE и ADASYN ^{[10, 11, 12]}. В рамках решения проблемы несбалансированности распределения данных на классы для обучения антифрод–системы можно также использовать сети CycleGAN для генерации синтетических мошеннических операций ^[13].

При условии применения злоумышленниками в своих схемах дроп–счетов, антифрод–системы выявляют операции с высокой степенью вероятности. Если операция идентифицирована, как перевод на дроп–счет, то она приостанавливается в соответствии с 9 статьей Закона №161-ФЗ. С такими операциями работает специализированный контактный центр. Переводы на дроп–счета бывают двух типов: когда перевод осуществляет мошенник или клиент делает перевод под воздействием мошенника. В первом случае операция сразу блокируется, а клиенту–мошеннику приходит оповещение о блокировке операции, после чего он может связаться с банком. Во втором случает перед контактным центром стоит задача как можно быстрее дозвониться до клиента и убедить его не переводить свои деньги на дроп–счет по другим каналам. В принципе Закон №161–ФЗ однозначно требует также приостанавливать зачисление на дроп–счет. Следует отметить, что, имея возможность с высокой степенью вероятности определить мошенническую операцию, финансовая организация не имеет право не исполнять ее, если клиент легитимный, добросовестный и настаивает на проведении операции.

Ключевые свойства современной антифрод–системы:

• кросс–канальный мониторинг транзакций клиентов;

• единая модель для разных категорий клиентов;

• самообучающийся модуль оценки риска мошенничества;

• быстрая адаптация к новым типам атак;

• минимизация «ручного» вмешательства в алгоритмы;

• детерминированное время обработки каждой транзакции;

• возможность быстрого подключения новых продуктов/источников данных;

• подключение новых моделей анализа.

Схема фрод–мониторинга в общим виде представлена на рисунке 1 ниже.

Рисунок 1. Схема фрод-мониторинга

Каждая операция проходит этап оценки – скоринг. Например, легитимным операциям присваивается значение от 0 до 500, подозрительным – 501-999, отклоняемым – 1000 и выше. По каждому клиенту формируется профиль: логин, ID, мобильный телефон, который привязан в банке, веб-приложение на компьютере и мобильное приложение, с которых клиент входит в онлайн-банк, набор и типы операций, которыми он пользуется, местоположение клиента, привычные локации. Оценка риска – модель, в которую передаются данные профиля клиента, а также данные о совершаемой в текущий момент операции. В зависимости от оценки риска финансовая организация либо передает операцию на дальнейшую обработку, либо требует от клиента дополнительно подтвердить личность, либо отказывает в выполнении операции. Операция также может быть передана на ручную обработку и анализ специалистом.

На основе фрод–анализа и оценки риска мошенничества по операции и клиента для противодействия мошенничеству используют риск–ориентированную аутентификацию (Risk-Based Authentication, RBA) – выбор метода аутентификации клиента в зависимости от уровня риска операции. Под тип операции клиента выбирается необходимый способ ее подтверждения с достаточным уровнем надежности: лицевая биометрия, звонок сотрудника банка, паспортные данные.

В систему фрод–мониторинга попадают данные об операции, канале ее совершения и профиле клиента, система обрабатывает данные, присваивает операции промежуточный статус и в зависимости от данного статуса требует от клиента способ подтверждения операции. Этот способ подтверждения после получения от клиента также проверяется в системе фрод–мониторинга.

При проведении операции система фрод–мониторинга проводит проверку по более чем 150 параметрам, среди которых логин + пароль, тип устройства, локация, время суток, удаленное управление, привычность или новизна операции. Если выявлено отклонение, то проводится сопоставление веса этого отклонения с количеством пунктов отклонений. Исходя из этого присваивается уровень риска и определяется фактор подтверждения операции.

Факторами подтверждения операции могут быть: IVR – звонок автоматизированной системы с просьбой сказать: «Да» или «Нет», входящий звонок сотрудника из банка, SMS-сообщение с кодом, проверка паспорта на подлинность, второй сотрудник (если операция осуществляется в офисе), исходящий звонок в банк, QR-код, карта + пин–код, биометрия, push–уведомление в приложении, NFC–токен и др.

Разные факторы RBA применимы в разных ситуациях. Например, если клиент сам переводит деньги под воздействием мошенника, то подтверждать операцию биометрией нельзя, необходим звонок сотрудника банка.

Система фрод–мониторинга применима не только для защиты клиента от внешних мошенников, но и для предотвращения внутреннего мошенничества, так как в канале отделения в роли мошенника могут выступать сотрудники.

Система фрод-мониторинга также может помогать в борьбе с DDoS–атаками. Если мошенникам удалось собрать данные по клиентам банка, их картам и в качестве атаки они стали совершать единообразные операции по переводу, это может привести к перегрузке системы процессинга. В таком случае система фрод–мониторинга выявит аномалии по операциям атакующих, заблокирует карты, операции не будут попадать в процессинг, и он не будет перегружен.

Оценка качества противодействия мошенничеству

Оценкакачество фрод–мониторинга состоит из двух частей – во-первых, удовлетворенность клиента: зависит от того, на сколько много ложных срабатываний допускается при фрод-мониторинге и насколько осложняет система процесс обработки операций, например, за счет добавления дополнительных факторов в рамках риск-ориентированной аутентификации.

Во-вторых, главная характеристика оценки антифрод–систем – отношения количества успешно выявленных и приостановленных операций, подтвержденных клиентами, к общему числу мошеннических операций, зафиксированных на основе жалоб клиентов. Данный показатель оценивается либо в количественном варианте транзакций, либо в части оборота денежных средств.

К1= Tпр/Тм (формула 1),

где К1 – характеристика оценки антифрод-системы,

Tпр – количество подтвержденных приостановленных операций клиентов,

Тм – общее количество мошеннических операций, зафиксированных в финансовой организации на основе жалоб клиентов.

К2= Опр/Ом (формула 2),

где К2 – характеристика оценки антифрод-системы,

Опр – сумма денежных средств (оборот) по подтвержденным приостановленным операциям клиентов,

Ом – сумма денежных средств (оборот) мошеннических операций, зафиксированных в финансовой организации на основе жалоб клиентов.

Отдельные финансовые организации оценивают показатель качества антифрода – отношение оборота финансовых операций к объему украденных средств мошенниками.

К3= ОБ/ОБм (формула 3),

где К2 – характеристика оценки антифрод–системы,

ОБ – сумма денежных средств (оборот) по финансовым операциям клиентов, связанным с переводами денежных средств за период,

ОБм – сумма денежных средств (оборот) мошеннических операций, зафиксированных в финансовой организации на основе жалоб клиентов за период.

Первый описанный показатель, связанный с удовлетворенностью клиентов, может быть измерен на основе средней оценки клиентов. В случае приостановки операции клиент тем или иным способом подтверждает или опровергает ее, после чего ставит оценку удовлетворенности данным сервисом

_i=N

К₄= ∑ Оц_i/N (формула 4),

ⁱ⁼¹

где К4 – характеристика оценки антифрод–системы,

Оцi – оценка i–го клиента;

N – количество клиентов, оценивших сервис в период времени.

Выводы

Таким образом, основным инструментом борьбы с мошенническими операциями являются системы фрод–анализа, основанные на использовании моделей искусственного интеллекта и статических правил, списков и алгоритмов. В связи с высокой эффективностью методов социальной инженерии именно эти системы являются ключевым инструментов в борьбе с мошенничеством в случае реализации угроз удаленного банковского обслуживания. Для эффективного выявления мошеннических операций следует использовать антифрод–системы на базе моделей искусственного интеллекта и индикаторов мошеннических операций, риск-ориентированной аутентификации. Качество фрод–анализа должно оцениваться точными числовыми показателями, которые характеризуют процент остановленных фрод-операций, а также степенью удовлетворенностью клиентов финансовой организации процессом фрод–анализа операций. Последний показатель является субъективной оценкой клиентов, на основе этого показателя можно оценить вероятность отказа клиентов от услуг финансовой организации.

Как показывает статистика, количество мошеннических операций в финансовых организациях неизменно растет. В чем же причина? Финансовая организация видит ее в недостатке полномочий в части операций клиентов. Клиенты совершают самостоятельно операции, которые позднее оценивают как мошеннические, и у финансовой организации нет возможности противостоять клиенту.

На мой взгляд, последнее утверждение противоречит Закону №161–ФЗ, который определяет, что финансовая организация имеет право отказать клиенту в использовании электронных средств платежей, а, значит, и в дистанционном банковском обслуживании, в том случае, если клиент нарушает порядок, определенный банком. Использование финансовых услуг для совершения мошенничества безусловно является нарушением порядка использования инновационных электронных финансовых услуг. В случае, если клиент вовлечен в мошенническую операцию, финансовая организация должна приостанавливать электронное дистанционное оказание услуг, вне зависимости от того является ли клиент мошенником или жертвой. Кроме того, проблема кроется еще и в том, что законодательно при выявлении мошеннической операции финансовая организация имеет право, но не обязана, приостановить удаленное предоставление услуг клиенту, т.е. блокировать предоставление услуг клиенту через мобильные и веб–приложения, электронные средства платежа.