CC BY
87Развитие методов противодействия мошенничеству в банковской и финансовой сферах в условиях цифровизации
Алешина Анна Валентиновна,
кандидат экономических наук, доцент, доцент кафедры финансов и кредита МГУ имени М.В. Ломоносова E-mail: [email protected]
Булгаков Андрей Леонидович,
кандидат экономических наук, старший научный сотрудник кафедры финансов и кредита МГУ имени М.В. Ломоносова, доцент базовой кафедры цифровой экономики Института развития информационного общества РЭУ им. Г.В. Плеханова E-mail: [email protected]
Котов Александр Владимирович,
управляющий партнер, ООО «Юридическая компания
«ИнтеллектЪ»
E-mail: [email protected]
Трошков Олег Геннадьевич,
заместитель директора, ООО «Бавария-Строй» E-mail: [email protected]
Цифровизация банковской деятельности с одной стороны обладает рядом достоинств в виде увеличения скорости совершения банковских операций, снижения транзакционных издержек, с другой стороны влечет за собой новые виды рисков, в том числе риск хищения денежных средств с помощью цифровых технологий, а также риск вовлечения граждан в финансовые пирамиды, информация о которых распространяется с использованием сети Интернет. В последние годы увеличилось количество случаев финансовых мошенничеств, которые включают в себя как несанкционированое списание средств клиентов банков, финансовые пирамиды, работу нелицензированных организаций, оказывающих финансовые услуги. Для снижения количества таких случаев необходима, с одной стороны, более плотная координация действий между Центральным банком России и правоохранительными органами, с другой стороны необходимо совершенствовать протоколы совершения финансовых операций и повышать грамотность клиентов банков в вопросах цифровой безопасности. Увеличение скорости реагирования максимум до одного операционного дня со стороны банков и Центрального Банка России на информацию о хищении средств клиентов увеличит процент успешно возвращенных клиенту украденных денежных средств
Ключевые слова: Финансовое мошенничество, борьба с мошенничеством, финансовые пирамиды, несанкционированное списание средств клиентов, База случаев и попыток осуществления переводов денежных средств без согласия клиента.
а.
е
см см о см
Банковские мошенничества
Банковские мошенничества в последние годы становятся все более изощренными и перечень таких случаев расширяется. Растут убытки клиентов банков от таких операций. С одной стороны, цифровизация банковской сферы позволяет клиентам банков увеличивать скорость совершения финансовых операций до нескольких секунд, упрощает процесс взаимодействия с банком (современные технологии позволяют даже открывать счета в банках без присутствия в отделении банка), снижают расходы на совершение финансовой операции. Но с другой стороны увеличиваются возможности для мошенников в хищении средств с использованием финансовых технологий. Вопросы кибербезопасности в финансовой сфере с каждым годом становятся все более актуальными.
Статистика мошеннических финансовых операций
Центральный банк России ведет активную работу по предотвращению мошеннических финансовых операций совместно с правоохранительными органами.
Согласно данным ЦБ РФ за последние два года (в 2020 и в 2021 году) статистика мошеннических финансовых операций в каких-то случаях растет, но в каких-то случаях падает. Количество банковских операций, проведенных без согласия клиентов банка как физических, так и юридических лиц суммарно, выросло на 33,8% (с 773 тыс. ед. операций в 2020 году до 1035 тыс. ед. операций в 2021 году) (см. рис. 1) [1]. При этом общий объем операций также вырос на 38,8% (с 9783 млн руб. в 2020 году до 1358 млн. руб. в 2021 году) (см. рис. 1) [1].
В 2021 году основная доля таких операций пришлась на физические лица, в том время, как таких случаев у юридических лиц было существенно меньше (рис. 2), что во многом объясняется достаточно серьезными расходами, которые несут юридические лица по защите от мошенников, хакерских атак и иных несанкционированных случаев проникновения в системы клиент-банк юридических лиц. Если количество случаев операций без согласия клиента у физических лиц составило в 2021 году практически 1030 тыс. случаев, то у юридических лиц только 4,1 тыс. случаев (рис. 2). И в денежном выражении цифры операций без согласия клиентов физических и юридических лиц существенно различаются: 12,1 млрд рублей мошеннических операций по счетам физических лиц и 1,4 млрд. рублей мошеннических операций по счетам юридических лиц в 2021 году.
Общий объем и количество операций без согласия клиентов
13 582,23
9 733,13
773,27 1 035.01
2020 гея
Объем операций, млн руб. # Количество операций, тыс. ед.
Рис. 1. Динамика операций, совершенных без согласия клиентов банков: общий объем и количество [1]
Рис. 2. Статистика динамики операций, которые совершаются без согласия клиентов: физических и юридических
лиц [1]
При этом доля возвращенных средств пострадавшим клиентам банка составляет относительно небольшую величину: согласно данным ЦБ РФ [1 ] в 2021 году было возвращено всего 920,5 млн рублей (что составляет всего 6,8% от украденных средств), в то время как в 2020 году 1,1 млрд. рублей (что составляет 11,3% от украденных средств).
Количество случаев операций без согласия клиентов при оплате товаров и услуг в Интернете резко выросло в количественном выражении с 585,5 тыс. ед. в 2020 году до 742,3 тыс. ед. в 2021 года (см. рис. 3), что составляет прирост практически на 26,7% за год.
Для борьбы с мошенническими финансовыми операциями Центральный банк России активно взаимодействует с Генеральной прокуратурой Российской Федерации. В частности в 2020 году начался эксперимент с участием Банка России и генеральной прокуратуры Российской Федерации в раках которой осуществлялся обмен информацией о мошеннических сайта. В последующем такое взаимодействие ЦБ РФ и Генеральной прокуратуры РФ получило закрепление в законодательстве (был принят федеральный закон «О внесении изменений в отдельные законодательные акты Российской Федерации» от 1 июля 2021 г. № 250-ФЗ) [2], в соответствии с которым ЦБ РФ получил право
о.
е
см см о см
осуществлять внесудебную блокировку противоправных сайтов.
Указанный закон № 250-ФЗ внес изменения в закон «О банках и банковской деятельности» статья 30 которого была дополнена частью пятнадцатой, которая предусматривает запрет «размещения в ... сети «Интернет», информации, позволяющей в целях неправомерного завладения ... имуществом клиентов осуществлять доступ к информационным системам кредитных организаций, электронным средствам платежа или программному обеспечению, которое применяется клиентами
с использованием технического устройства, подключенного к ... сети «Интернет», и используется клиентами при предоставлении (получении) услуг кредитных организаций.» [2]. Закон, который вступил в силу с 01.12.2021 года, предусматривает право Банка России блокировать интернет-ресурсы, которые используются мошенниками для кражи денег у граждан и юридических лиц. Новый механизм блокировки интернет-сайтов распространяется как на сайты российской зоны, так и на сайты, расположенные в иностранных доменных зонах (.сот,. ик,.пе! и других).
Рис. 3. Количество операций, совершенных без согласия клиентов при оплате товаров и услуг в Интернете (CNP-
транзакции) [1]
До вступления в силу указанного закона Центральный банк РФ тратил несколько месяцев на блокировку мошеннических сайтов, которые были включены в список недобросовестных сайтов, который ведет ЦБ РФ с 01.01.2020 года (портал ЦБ РФ «Список компаний с выявленными признаками нелегальной деятельности на финансовом рынке») [3].
Центральный банк России достаточно оперативно вносил в список компании и сайты с возможной нелегальной деятельностью на финансовом рынке, однако, чтобы осуществить блокировку этих сайтов приходилось раньше тратить существенно больше времени, так как блокировка осуществлялась только по решению суда. Сначала Центральный банк России вносил компанию или сайт в Список компаний и сайтов с возможной нелегальной деятельностью, и далее подавал заявление в суд на блокировку. При этом еще несколько месяцев, сайт компании, включенной в Список подозрительных компаний, продолжал свою работу. За тот срок, который уходил у ЦБ РФ на получение судебного предписания на блокировку сайта, мошенники успевали привлечь достаточно большое количество денежных средств от инвесторов и скрыться.
После принятия закона ФЗ-250 ЦБ РФ может в течение суток внести доменный адрес подозрительного сайта в Единый реестр запрещенных Интернет-ресурсов Роскомнадзора. Окончательное решение о полном удалении сайта будет принимать суд, но факт блокировки сайта позволяет Центральному Банку России предотвратить дальнейшую незаконную деятельность мошенников.
Согласно данным ЦБ РФ за 2021 год около 49,4% хищений со счетов граждан были совершены с использованием методов социальной инженерии. Центральный банк России в 2021 году инициировал разделегирование 6213 фишинго-вых доменов, по 3100 доменам была направлена информация в Генеральную Прокуратуру РФ для ограничения доступа, и более 179 тысяч мошеннических телефонных номеров были направлены на блокировку [4].
Основную долю среди мошеннических интернет-ресурсов занимают явные случаи финансового мошенничества (с 6152 случаев в 2020 году они снизились до 4377 в 2021 году, безлицензионная детальность (выросла с 1352 единиц в 2020 году) до 1521 случая (в 2021 году). (см. рис. 4). Количество случаев финансовых пирамид выросло с 28 единиц в 2020 году до 302 единиц в 2021 году.
Рис. 4. Количество случаев мошенничества с использованием интернет-ресурсов (ед.) [1]
За последний год резко выросло количество выявленных финансовых пирамид от которых пострадало значительное число граждан. Такой прирост выявленных случаев финансовых пирамид свидетельствует о более активной деятельности Центрального банка России по предупреждению вредоносной деятельности от финансовых пирамид, так как Центральный Банк России предпринимает меры по выявлению таких случаев на ранней стадии, поэтому статистика выявленных случаев выросла.
Согласно статистике число операций, совершенных без согласия клиентов банка снизилось в 2022 году по сравнению с 2021 годом. Однако остается достаточно небольшим процент возвращенных средств клиентам банков, пострадавших от мошеннических операций. Если в 2021 году процент возврата средств пострадавшим клиентам составлял 7,4%, то в 2022 году показатель снизился и составил 5% (см. таблицу 1).
Таблица 1. Количество операций, совершенных без согласия клиентов банка и статистика объема возвращенных средств (от объема) [5]
Количество ОБС, ед. Объем ОБС, тыс. рублей Доля социальной инжене-рии,% Доля возмещенных (возвращенных) средств (от объема),%
II квартал 2021 236 971 3 013 664,38 47,0 7,4
II квартал 2022 211 263 2 848 614,92 44,8 5,0
Такие невысокие показатели возврата средств пострадавших клиентов заставляют ЦБ России и правоохранительные органы искать пути снижения риска попадания клиентов банков в мошеннические финансовые схемы и повышать взаимодействие между ЦБ России и правоохранительными органами.
Механизмы противодействия банковским мошенничествам
Необходимо отметить важность повышения информационного взаимодействия между Центральным банком России и МВД России, что позволит более оперативно правоохранительным органам реагировать на выявленные случаи мошеннических действий в сфере финансовых операций и поможет
более эффективно возвращать украденные средства пострадавшим. Повышение информационного взаимодействия может быть выражено в виде автоматизированной системы обмена информацией между Центральным Банком России (в лиц ФинЦЕРТ) и правоохранительными органами в лице МВД России и его структурных подразделений. ФинЦЕРТ - это Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере, специальное структурное подразделение Банка России (от CERT - Computer emergency response team, группа реагирования на компьютерные инциденты).[6]
С одной стороны, органы МВД России будут получать оперативную информацию о новых случаях мошенничества с денежными средствами клиентов банка и будут своевременно проводить
сз о
со £
m Р
сг
от А
=Е
о.
е
см см о см
следственные действия, что позволит более эффективно выявлять правонарушителей и более эффективно возвращать украденные средства пострадавшим клиентам банков. С другой стороны банки и иные организации, которые являются участниками информационного обмена в рамках ФинЦЕРТ (в том числе провайдеры и операторы связи, системные интеграторы, разработчики антивирусного программного обеспечения и другие компании, работающие в сфере информационной безопасности) [6] будут своевременно получать информацию о новых выявленных угрозах в сфере информационной безопасности, о совершаемых атаках и других инцидентах и более оперативно будут реагировать на новые вызовы и совершенствовать свои системы финансовой и информационной безопасности.
Такой механизм взаимодействия позволит более оперативно выявлять правонарушения в финансовой сфере, более оперативно проводить расследования, предотвращать новые аналогичные нарушения и оперативно восстанавливать права потерпевших, так как в таких случаях, чем быстрее реагируют банки и правоохранительные органы на выявленные угрозы, тем больше шансов возвратить обратно украденные средства клиентов банков и не допустить новые аналогичные нарушения.
Вопросы усиления информационной работы с клиентами банков в целях противодействия мошенническим операциям
В связи с существующим высоким уровнем количества и объема операций, которые совершаются без согласия клиентов банков (см. рис. 1) Центральный Банк России разработал ряд нормативных актов, которые рекомендуют коммерческим банкам провести ряд профилактических мер с клиентами в целях повышения информированности клиентов и их осмотрительности в отношении сохранности информации, которая используется при совершении банковских операций, в том числе при осуществлении перевода денежных средств.
Одним из таких документов являются «Методические рекомендации по усилению кредитными организациями информационной работы с клиентами в целях противодействия несанкционированным операциям» Банка России № 3-МР от 19.02.2021 года [7] и Положение Банка России от 17 апреля 2019 года № 683-П «Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента» [8].
Меры, которые необходимо предпринять для снижения рисков хищения у клиентов их денежных средств мошенниками:
А. Меры со стороны коммерческих банков: 1. Ежегодное тестирование банком на проникновение и анализ уязвимостей информационной
безопасности объектов информационной инфраструктуры.
2. Информационная работа с клиентами по разъяснению принципов безопасной работы с банковскими картами, банковскими финансовыми приложениями в целях снижения рисков хищения средств, так как большое количество случаев хищения средств связано с действиями клиентов, которые сами сообщали мошенникам финансовые реквизиты своих карт, в том числе ПИН-коды и коды, приходящие по смс для подтверждения операции. Б. Меры со стороны регуляторов
1. Внести поправки в отдельные статьи закона «О национальной платежной системе» (в частности в ст. 8 и 9) в части введения проверки операции на признаки мошенничества не только со стороны банка плательщика, но и со стороны банка получателя средств.
2. Внесение в законодательство возможности ограничения дистанционных операций банка в том случае, если счет, на который приходит платеж, находится в Базе случаев и попыток осуществления переводов денежных средств без согласия клиента, которую ведет ЦБ России (п. 4 ст. 27 16-ФЗ Федеральный закон от 27 июня 2011 г. N 161-ФЗ «О национальной платежной системе») [9]. Ограничены должны быть именно дистанционные операции, что не будет препятствовать клиенту банка придти со своим паспортом в отделение и подтвердить свою личность, отношение к этому счету и получить денежные средства наличными.
3. Внести в законодательство изменения по вопросу возврата средств пострадавшим клиентам банка, чтобы увеличить процент возврата несанкционированно списанных средств. В настоящее время клиент может претендовать на возврат несанкционированно списанных средств только в том случае, если не нарушил правила обращения с пластиковыми картами и не сообщал информацию мошенникам по своей карте. Однако если банк будет оперативно реагировать по попытку хищения средств клиентов и своевременно передавать дальше информацию об инциденте, то быстрые действия банка плательщика и банка получателя средств помогут своевременно заблокировать мошеннический платеж и предотвратить хищение денег. Часто несвоевременное реагирование банка на информацию от клиента о хищении средств препятствует оперативной блокировке платежа и снижает вероятность возврата средств клиента. Поэтому целесообразно установить срок реагирования банка плательщика на информацию клиента о хищении средств в один банковский день, в течение которого банк, получив информацию от клиента о хищении средств, должен направить информацию в Базу случаев и попыток осуществления переводов денежных средств без согласия клиента, которую ведет ЦБ РФ. В свою очередь в течение
операционного дня База случаев должна выдавать предписание банку получателю о блокировании дистанционного платежа и возможности получения средств клиентом-получателем только при очном обращении и после разбора претензии со стороны плательщика.
Вывод
Организация более тесного взаимодействия между правоохранительными органами и Центральным Банком России позволит снизить количество инцидентов с финансовым мошенничеством и случаями несанкционированного списания средств клиентов банка. Целесообразно увеличить скорость реагирования банков и Центрального банка России на обращения клиентов по факту мошеннических действий и дистанционного хищения денежных средств и в подозрительных случаях осуществлять блокировки дистанционных финансовых операций в течение одного операционного дня. Такие действия также позволят увеличить процент успешно возвращенных клиенту украденных денежных средств по сравнению с текущим уровнем возврата.
Литература
1. Обзор операций, совершенных без согласия клиентов финансовых организаций в 2021 году // [Электронный ресурс]. - Портал ЦБ РФ от 11.04.2022 г. // URL: https://cbr.ru/analytics/ ib/operations_survey_2021/#1 (дата обращения: 20.09.2022).
2. О внесении изменений в отдельные законодательные акты Российской Федерации: Федеральный закон от 1 июля 2021 г. № 250-ФЗ // [Электронный ресурс]. - Доступ из справ.-пра-вовой системы «Гарант» (дата обращения: 20.09.2022).
3. Список компаний с выявленными признаками нелегальной деятельности на финансовом рынке // [Электронный ресурс]. - Портал ЦБ РФ // URL: https://www.cbr.ru/inside/warning-list/ (дата обращения: 20.09.2022).
4. Информационная безопасность // [Электронный ресурс]. - Портал ЦБ РФ // URL: https:// cbr.ru/information_security/ (дата обращения: 20.09.2022).
5. Обзор отчетности об инцидентах информационной безопасности при переводе денежных средств за 2 квартал 2022 года // [Электронный ресурс]. - Портал ЦБ РФ от 25 августа 2022 года // URL: https://cbr.ru/analytics/ib/ review_2q_2022/ (дата обращения: 20.09.2022).
6. ФинЦЕРТ // [Электронный ресурс]. - Портал ЦБ РФ // URL: https://cbr.ru/information_security/ fincert/ (дата обращения: 20.09.2022).
7. Методические рекомендации по усилению кредитными организациями информационной работы с клиентами в целях противодействия несанкционированным операциям»: Методические рекомендации Банка России
от 19.02.2021 года № 3-МР // [Электронный ресурс]. - Доступ из справ.-правовой системы «Гарант» (дата обращения: 20.09.2022).
8. Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента: Положение Банка России от 17 апреля 2019 г. N 683-П // [Электронный ресурс]. - Доступ из справ.-правовой системы «Гарант» (дата обращения: 20.09.2022).
9. О национальной платежной системе: Федеральный закон от 27 июня 2011 г. N 161-ФЗ (ред. от 14.07.2022) // [Электронный ресурс]. -Доступ из справ.-правовой системы «Гарант» (дата обращения: 20.09.2022).
DEVELOPMENT OF ANTI-FRAUD METHODS IN THE BANKING AND FINANCIAL SECTORS IN THE CONTEXT OF DIGITALIZATION
Aleshina A.V., Bulgakov A.L., Kotov A.V., Troshkov O.G.
Lomonosov Moscow State University; LLC "Intellectual Law Company"; LLC "Bavaria-Stray"
Digitalization of banking activity, on the one hand, has a number of advantages in the form of increasing the speed of banking transactions, reducing transaction costs, on the other hand, entails new types of risks, including the risk of embezzlement of funds using digital technologies, as well as the risk of involving citizens in financial pyramids, information about which is distributed using the Internet. In recent years, the number of cases of financial fraud has increased, which include unauthorized debiting of bank customers' funds, financial pyramids, the work of unlicensed organizations providing financial services. To reduce the number of such cases, it is necessary, on the one hand, closer coordination of actions between the Central Bank of Russia and law enforcement agencies, on the other hand, it is necessary to improve the protocols of financial transactions and increase the literacy of bank customers in digital security issues. Increasing the response rate to a maximum of one operational day by banks and the Central Bank of Russia to information about the theft of customer funds will increase the percentage of stolen funds successfully returned to the customer
Keywords: Financial fraud, anti-fraud, financial pyramids, unauthorized debiting of clients' funds, a database of cases and attempts to make money transfers without the client's consent.
Referenses
1. Review of transactions performed without the consent of clients of financial organizations in 2021 // [Electronic resource]. -Portal of the Central Bank of the Russian Federation dated 11.04.2022 // URL: https://cbr.ru/analytics/ib/operations_sur-vey_2021/#1 (date of appeal: 09/20/2022).
2. On Amendments to Certain Legislative Acts of the Russian Federation: Federal Law No. 250-FZ of July 1, 2021 // [Electronic resource]. - Access from the help.-the legal system "Garant" (date of application: 09/20/2022).
3. List of companies with identified signs of illegal activity in the financial market // [Electronic resource]. - Portal of the Central Bank of the Russian Federation // URL: https://www.cbr.ru/in-side/warning-list / (accessed: 09/20/2022).
4. Information security // [Electronic resource]. - Portal of the Central Bank of the Russian Federation // URL: https://cbr.ru/infor-mation_security / (accessed: 09/20/2022).
5. Review of reporting on information security incidents when transferring funds for the 2nd quarter of 2022 // [Electronic resource]. - Portal of the Central Bank of the Russian Federation from August 25, 20
6. FinCERT // [Electronic resource]. - Portal of the Central Bank of the Russian Federation // URL: https://cbr.ru/information_secu-rity/fincert/ (date of access: 20.09.2022).
C3
о
CO
от m Р от
от А
IE
7. Methodological recommendations for strengthening information work with clients by credit institutions in order to counter unauthorized transactions ": Methodological recommendations of the Bank of Russia dated 19.02.2021 No. 3-MR // [Electronic resource]. - Access from the reference legal system "Garant" (date of access: 20.09.2022).
8. On the establishment of mandatory requirements for credit institutions to ensure the protection of information in the implementation of banking activities in order to counteract the imple-
LO S Q.
e
CM CM
o
CM
mentation of money transfers without the consent of the client: Regulation of the Bank of Russia of April 17, 2019 N 683-P // [Electronic resource]. - Access from the legal reference system "Garant" (date of access: 20.09.2022).
9. On the national payment system: Federal Law of June 27, 2011 N 161-FZ (as amended on July 14, 2022) // [Electronic resource]. - Access from the legal reference system "Garant" (date of access: 20.09.2022).
