Объем мошеннических операций, по данным Банка России, в 2024 году достиг 27,5 млрд рублей — это на 74% больше, чем год назад. При этом, больше всего денег — 9,6 млрд рублей, было украдено через системы дистанционного банковского обслуживания. Чуть меньше — 8,5 млрд, россияне потеряли в результате мошеннических операций с банковскими картами. Зато количество карточных краж оказалось в 8 раз выше: 821,8 тыс. инцидентов против 102 тыс. случаев, связанных с дистанционным доступом. Это сделало их самым массовым инструментом в руках мошенников.

Несмотря на то, что общие потери юрлиц сравнительно невелики, «всего» 667 млн рублей за год, именно компании и интернет-магазины часто становятся объектами, которые атакуют мошенники. Иногда их жертвами становятся даже транснациональные корпорации.

Как обмануть Facebook и Google

Этот случай вошел в историю. В 2013-15 годах житель Литвы Эвальдас Римасаускас похитил более $120 млн у Google и Facebook, выставляя поддельные счета за свои услуги. IT-гиганты оплачивали их два года, принимая за реальные «платежки» от своего подрядчика. Мошенник зарегистрировал «двойник» известного бренда — тайваньского производителя техники Quanta Computer, и присылал от его имени контракты на поставки, счета и другие документы.

Данные для своей аферы Римасаускас выманивал фишингом. Подложные электронные письма рассылались сотрудникам компаний, которые регулярно переводили миллионы долларов на счета фейковой Quanta Computer.

Тем не менее, спустя два года сотрудники Google сумели вычислить мошенника и вернуть все украденные деньги. Позже большую часть похищенных средств удалось возвратить и Facebook.

Как избежать такого мошенничества?

Обучить сотрудников основным правилам безопасности:

• Никогда не переходить по ссылкам из внешних писем

• Всегда проверять домен отправителя
• Проверять платежи только через официальные каналы (банк-клиент, личный кабинет платежного агрегатора).

Такие крупные случаи фрода, скорее, исключение из правил. Гораздо чаще компании и предприниматели сталкиваются с более мелким мошенничеством — попытками оплатить товар по украденной карте. Вот как, примерно, происходит.

Самая распространенная схема мошенничества

Интернет-магазин «Электроник» получает заказ на ноутбук стоимостью 85 000 рублей. Клиент оплачивает покупку картой, и товар отправляется в постамат в Московской области. Однако вскоре магазин получает уведомление от банка, в котором владелец карты совершает чарджбэк — требует у банка отменить транзакцию.

Все потому, что владелец карты никогда не совершал покупку. Это мошенник использовал его платежные данные, украденные через фишинговое письмо с вредоносной ссылкой. Банк возвращает деньги клиенту, удерживая с площадки стоимость эквайринга, но ноутбук к этому времени уже получает покупатель-мошенник.

В итоге, владелец магазина «Электроник» страдает трижды: он теряет товар, несет расходы за доставку, а также платит комиссию за эквайринг по отмененной транзакции.

Если таких возвратов в истории магазина накопится много, это может грозить ему блокировкой денежных средств и расторжением договора эквайринга с банком.

Вот что можно сделать, чтобы избежать такого мошенничества в будущем.

Использовать 3D Secure

Технология 3D Secure (Three-Domain Secure), защищенный протокол, который разработан специально для безопасной оплаты товаров и услуг в интернете.

Впервые его использовала платежная система Visa (сервис Verified by Visa), а вскоре он появился у всех международных платежных систем: Mastercard (Mastercard Secure Code), МИР (MirAccept) и др.

Как это работает?

Во время покупки на сайте пользователь вводит реквизиты карты, а затем перенаправляется на специальную страницу платежной системы, где ему нужно ввести одноразовый SMS-код. Сообщение с кодом приходит на номер телефона, к которому привязана банковская карта. Таким образом, в авторизации участвует сразу три площадки (домена): интернет-магазин, платежная система и банк-эмитент.

Что это дает?

Такая защита не позволяет мошеннику воспользоваться украденной картой. Одновременно она предохраняет онлайн-магазин от мошеннических чарджбэков. Если покупатель решит отменить покупку, заявив, что она прошла без его согласия, банк встанет на сторону площадки, расценив введение SMS-кода как доказательство намерения приобрести товар.

Косвенно такая степень защиты влияет и на количество завершенных покупок. Покупатели реже бросают корзины в момент оплаты, если знают, что их платежные данные надежно защищены.

Поставить антифрод-защиту

Вторая вещь, которая необходима площадке для приема безопасных онлайн-платежей, — это установка специального софта: антифрод-систем.

Как это работает?

Антифрод (от английского anti-fraud — «борьба с мошенничеством») — система мониторинга, которая отслеживает онлайн-платежи в режиме реального времени и блокирует те из них, которые кажутся подозрительными. За считанные секунды она анализирует транзакцию, пропуская ее через разнообразные фильтры.

Например, алгоритмы автоматически проверяют два ключевых сценария:

Аномальная активность

Если с карты за 10 минут пытаются оплатить 20 покупок в разных магазинах, система заморозит транзакции и запросит подтверждение у владельца. Такое поведение характерно для мошенников, которые тестируют украденные данные.

Геолокационные несоответствия

Когда картой оплачивают продукты в Москве, а через час — дорогую электронику с IP-адреса в Нигерии, система распознает подозрительный «прыжок» между локациями. Даже если данные карты настоящие, это сигнал для блокировки платежа.

Что это дает?

Такие проверки снижают риск чарджбэков и краж, а клиенты получают SMS с просьбой подтвердить легитимность операции.

В случае с «Электроником» антифрод-система распознала бы, что платеж проходит по карте, данные которой уже были скомпрометированы, и сразу же отклонила бы такую транзакцию.

Современные антифрод-системы содержат сотни правил и фильтров и способны к самообучению. Они находят скрытые взаимосвязи и уязвимости, обучаясь на новых данных, и способны выявлять новые виды мошенничества.

Соответствовать стандартам безопасности

Чтобы мошенники не украли платежные данные — например, в момент введения номера карты и CVV (цифр на обратной стороне карты) на сайте, необходимо использовать международный стандарт безопасности PCI DSS.

Он обязателен для всех организаций, работающих с данными платежных карт: интернет-магазинов, онлайн-сервисов, банков, выпускающих карты, и процессинговых компаний. Его задача — обеспечить безопасность на всех этапах: когда данные карт вводятся на сайте, хранятся в системе или передаются между участниками платежной цепочки.

Что это дает?

Например, когда клиент оплачивает курс в онлайн-школе, PCI DSS гарантирует, что его CVV-код не попадет к мошенникам. Для этого стандарт строго регулирует, как компании должны шифровать информацию, контролировать доступ к ней и защищать инфраструктуру от взломов. Внедрение этих правил снижает риски утечек, а значит — финансовых потерь для бизнеса и угрозы для клиентов.

Найти поставщика платежных услуг

Самостоятельная разработка антифрод-системы, внедрение 3D secure и получение сертификата PCI DSS — технически сложный и дорогостоящий процесс, требующий глубокой экспертизы в области кибербезопасности и платежных технологий. Для малого и среднего бизнеса это неоправданные затраты. Гораздо проще воспользоваться уже готовыми сервисами приема платежей.

Как понять, что платежному решению можно доверять?

Убедитесь, что провайдер не просто предоставляет сервис, а инвестирует в собственные технологии безопасности — это говорит о его надежности и экспертизе.

Например, финтех-компания Paygine имеет многоуровневую систему онлайн и оффлайн фрод-мониторинга. Собственная разработка на основе машинного обучения позволяет подстраиваться под каждого клиента, создавая для него индивидуальные правила и проверяя по ним транзакции за доли секунды.

Высший уровень безопасности подтвержден сертификатом PCI DSS Level 1 v.3.2 - такая сертификация проводится только с привлечением независимого аудитора (QSA) и позволяет обрабатывать более 6 млн транзакций в год.

Для 3D Secure Paygine использует модуль собственной разработки, который повышает конверсию оплат и минимизирует отток клиентов в процессе приема платежей.

Технологии Paygine доступны бизнесу любого размера: от лидеров рынка и крупных банков до небольших интернет-магазинов. При этом все средства защиты уже включены в пэй-форму Method: дополнительно оплачивать ничего не нужно.

Подведем итоги

Чтобы не попасть в руки мошенников при приеме онлайн-оплаты, компаниям и предпринимателям нужно:

• Обучить сотрудников распознавать фейковые платежи и случаи социальной инженерии

• Использовать защитный протокол 3D Secure для подтверждения платежа через SMS
• Поставить антифрод-защиту, которая будет выявлять подозрительные транзакции и блокировать их
• Соответствовать международному стандарту безопасности PCI DSS, позволяющему шифровать платежные данные
• Найти надежный сервис приема платежей, в котором уже подключены все методы защиты и имеются самые надежные сертификаты безопасности