"ग्राहक बैंक पर हमला ..."। बैंक कर्मचारी से देखें

मुझे इस तथ्य के कारण एक ग्राहक बैंक या हंट पर एक लाख के लिए लेख में बहुत दिलचस्पी थी कि मैं बैंक से दूरस्थ बैंकिंग सेवाओं (इसके बाद - आरबीएस) की प्रक्रिया में प्रत्यक्ष भागीदार बनूंगा। थोड़ी देर बाद एक लेख सामने आया। मुझे कौन चाहिए? , इसलिए इस विषय पर बहुत सारे विचार जमा हो गए हैं और मैं हर किसी के साथ साझा करना चाहता हूं (और मैं भी लंबे समय तक पंजीकरण करना चाहता था, लेकिन उपयुक्त क्षण नहीं था)। जब भी संभव होगा मैं संक्षिप्त हो जाऊंगा और वैज्ञानिक शब्दों में नहीं डालूंगा।

ग्राहक बैंकों के प्रकार

आइए सबसे पहले मक्खियों को कटलेट से अलग करें।

रिमोट के दो मुख्य क्षेत्र हैं (और न केवल) बैंकिंग सेवाएं (इसके बाद - आरबीएस) - सर्विसिंग व्यक्तियों (इंटरनेट बैंकिंग (इसके बाद - आईबी)) और कानूनी इकाइयाँ (सिस्टम जैसे इंटरनेट क्लाइंट-बैंक (इसके बाद - आईसीबी))। लेख " एक बैंक-ग्राहक पर हमला या एक मिलियन के लिए शिकार" कानूनी संस्थाओं की सेवा के मुद्दे से संबंधित है, और लेख मुझे किसकी ज़रूरत है? , पहले और उस पर टिप्पणियों के प्रभाव के तहत लिखा गया है, व्यक्तियों के लिए आरबीएस सिस्टम से संबंधित है।

अंतर क्या है? उत्पादन और उत्पादन की मात्रा में! एक बैंक को भुगतान करने वाले मध्यम आकार के उद्यम का दैनिक कारोबार लगभग आधे साल के लिए एक साधारण व्यक्ति के संचालन के योग के बराबर है। यहां से हमें वहां और वहां ऑपरेशन करने के लिए पूरी तरह से अलग प्रणालियों की आवश्यकता होती है।

मुझे लगता है कि मैं गलत नहीं होगा अगर मैं कहता हूं कि 99% सूचना सुरक्षा प्रणाली जावा में बनाई गई हैं। उन्हें प्रति सेकंड कम संख्या में ऑपरेशन करने की आवश्यकता होती है ..., मुझे माफ करना, एक दिन। दूसरी आवश्यकता भविष्य में किसी भी अन्य बैंक उत्पादों के ग्राहक और संभावित खरीदार के लिए मस्तिष्क को उड़ाने की नहीं है (अच्छी तरह से, जो उसे सिर के एक छेद के साथ ऋण देगा! इसलिए, विभिन्न सेवाओं के लिए भुगतान के तैयार रूपों, एक सीधा और सरल इंटरफ़ेस, सिस्टम का उपयोग किए बिना लेनदेन! सभी की जरूरत है कि एक ग्राहक एक ब्राउज़र है जो एक पीसी पर स्थापित एसएसएल, जावा स्क्रिप्ट और जावा आरई का समर्थन करता है। अतिरिक्त प्रमाणीकरण कारक, जैसे कि मोबाइल फोन, पिन कोड प्रविष्टि, और एक-समय के सॉब्स के सुरक्षा उपकरण के रूप में उपयोग किया जा सकता है। हस्तलिखित हस्ताक्षर (HSA कोड)।

"क्लाइंट-बैंक" जैसे कार्यक्रम, और हमारे मामले में इंटरनेट, क्लाइंट-बैंक (इसके बाद IKB के रूप में संदर्भित), वहाँ कुछ दर्जन हैं, मुझे लगता है। उनमें से कुछ क्लाइंट के पीसी पर स्थापित सॉफ्टवेयर हैं, कुछ वेब क्लाइंट हैं, और भविष्य बाद वाले के साथ है, और पूर्व अप्रचलित हैं, क्योंकि उनका उपयोग करना और बनाए रखना बहुत असुविधाजनक और धीमा है (यह मौके पर सॉफ़्टवेयर स्थापित करने के बारे में है, सेटिंग, आदि)। यदि आप प्रति माह लगभग 100-200 क्लाइंट कनेक्ट करना चाहते हैं, और आपके पास 1 कर्मचारी (जैसा कि मेरे मामले में) है, तो आप वेब क्लाइंट के बिना नहीं कर सकते।

आईसीबी सिस्टम और सूचना सुरक्षा के बीच मुख्य अंतर एन्क्रिप्शन सिस्टम (एफएसबी द्वारा आवश्यक रूप से प्रमाणित!) का उपयोग है। यह, उदाहरण के लिए, CryptoPro या मुफ्त और IPRIV का भुगतान किया। मैंने दूसरों का सामना नहीं किया, मैंने झूठ नहीं बोला।
दूसरी बारीकियों - विभिन्न मुद्राओं में कई प्रकार के भुगतान लेनदेन, फ़ाइल, बैंक के साथ संदेश विनिमय, लेखांकन कार्यक्रमों के साथ बातचीत, दस्तावेजों के बहु-स्तरीय हस्ताक्षर की संभावना और एक इंटरफ़ेस - गोरे लोगों के लिए नहीं।

बैंकिंग और हैकिंग, या चोरी की मूल बातें

जैसा कि आप देख सकते हैं, आरबीएस सिस्टम में अंतर मौलिक हैं, इसलिए, प्रत्येक सिस्टम के लिए ग्राहक खातों में अनधिकृत पहुंच के तरीके अलग-अलग हैं। वे ऊपर वर्णित लेखों में संक्षेप में और स्पष्ट रूप से वर्णित हैं, जिसके लिए लेखकों को बहुत धन्यवाद।

किसी खाते तक पहुंचना आधी लड़ाई है। धन प्राप्त करना हमलावरों का लक्ष्य है। चलो उन्हें हैकर्स और अन्य "सुंदर" शब्द नहीं कहते हैं। रूसी में, ऐसे लोगों के लिए सरल धारणाएं हैं - एक चोर और एक स्कैमर। न सही, लेकिन सच है।

इसलिए, चोर को ग्राहक के खाते में प्रवेश मिला। व्यक्तियों का डेटा चोरी करते समय, वह दो तरीकों से जा सकता है - ऑनलाइन स्टोर में खरीदने के लिए क्रेडिट कार्ड के डेटा का उपयोग करें (सेवाओं के लिए भुगतान करें) या किसी अन्य कार्ड (या खाते) में धन हस्तांतरित करें। किसी स्टोर में खरीदते समय, खाते से धन तुरंत डेबिट नहीं किया जाता है। वे प्राप्तकर्ता को बाद के हस्तांतरण के लिए आरक्षित हैं। इस स्थिति में, वे 30 दिनों तक घूम सकते हैं, यदि भुगतान नहीं हुआ है और धनराशि का अनुरोध नहीं किया गया है, तो उन्हें खाते से उपलब्ध शेष राशि (वे इस समय खाते में हैं!) पर रिजर्व से वापस कर दी जाएंगी! इसलिए, एसएमएस-सूचना, जो कुछ कम-दृष्टि वाले साथियों द्वारा उपेक्षित है, यहां बचा सकता है। पहला कदम आपके बैंक को कॉल करना और कार्ड को ब्लॉक करना है। पहले चरण के समानांतर, आपको लेन-देन के बारे में अपनी असहमति के बारे में बैंक को एक बयान लिखना होगा, अधिकांश सूचना सुरक्षा प्रणालियों में आप सीधे साइट पर ऐसा कर सकते हैं। इस स्थिति में कि आपके बैंक में काम करने वाले, कानून का पालन करने वाले और जिम्मेदार कर्मचारी (प्रबंधन के साथ शुरुआत!), लेन-देन रद्द कर दिया जाएगा और आप पैसे वापस कर देंगे।

किसी अन्य खाते (कार्ड) में धनराशि स्थानांतरित करते समय, सब कुछ या तो खराब नहीं होता है। फंड भी तुरंत नहीं जाते हैं। सबसे पहले, भुगतान को ऑपरेटिंग कर्मचारी (प्लस या माइनस 15-30 मिनट) द्वारा मॉनिटर किया जाना चाहिए। फिर पैसा रूसी संघ के सेंट्रल बैंक के नकद निपटान केंद्र में जाता है। फिर वहां से वे प्राप्तकर्ता के बैंक में आएंगे और वहां, सबसे अधिक संभावना है, वे पहले से ही उनके लिए इंतजार कर रहे हैं और तुरंत वापस लेने के लिए एटीएम के पास खड़े हैं। कार्ड का मालिक तब घोषणा करेगा कि उसने कार्ड खो दिया है, और इसका उपयोग कौन नहीं करता है, वह नहीं जानता है। ऐसे में एसएमएस मैसेजिंग को भी बचाया जा सकता है। एक महीने में 50 रूबल का अफसोस न करें और इन एसएमएस को अपने पास आने दें, जो एक दिन आपको ठंडे पसीने में फेंक देगा, और फिर आपको शाम को ठंडी बीयर के साथ आराम करने की अनुमति देगा।

फंड लौटाने का दूसरा तरीका है कि आप अपने कार्ड का बीमा कराएं। उदाहरण के लिए, मेरे बैंक में बीमा की लागत प्रति वर्ष 300 से 500 रूबल (रिटर्न की राशि 30 हजार रूबल तक) है। इंटरनेट के माध्यम से और सामान्य दुकानों में लेनदेन करते समय - यह एक सिरदर्द से छुटकारा पाने का एक बहुत ही सरल तरीका है। खाते में धन वापस करने के अलावा, नुकसान के मामले में दस्तावेजों की बहाली के लिए बीमा कंपनी 2000 रूबल तक का भुगतान करेगी। तो इस सेवा के बारे में अपने बैंकों में पता करें। आप खुद जानते हैं कि कौन परवाह करता है।

यह वह जगह है जहां मैं व्यक्तियों के लिए सिस्टम के बारे में कहानी समाप्त करता हूं। मैं विशेष रूप से आपकी जानकारी की चोरी से निपटने के तरीकों पर विचार नहीं करता हूं, क्योंकि यह प्रत्येक बैंक की वेबसाइट पर विस्तार से वर्णित है, यहां सेर्बैंक के कर्मचारियों ने भी इस बारे में विस्तार से लिखा है।

हमारे देश में बैंकिंग प्रणाली के बारे में कुछ टिप्पणियों को पढ़ने के बाद, मैं कुछ मुद्दों को स्पष्ट करना चाहूंगा। हमारे बैंक, सौभाग्य से, स्विस बैंक नहीं हैं (जो पहले जैसे नहीं हैं)। रूस में बैंकिंग प्रणाली पारदर्शी है। हर कोई सब कुछ जानता है और हर कोई सब कुछ देखता है, धन कहाँ से और कहाँ से आ रहा है। आंतरिक मामलों के निकायों के अनुरोध पर, उन्हें किसी व्यक्ति या संगठन के संचालन के बारे में सभी जानकारी दी जाती है। आरसीसी में पेचेक का विनाश भी कोई नहीं करता है। हमलावरों को अपनी खराब गतिविधियों के निशान को नष्ट करने की आवश्यकता नहीं है, और वे ऐसा नहीं करेंगे और नहीं करेंगे। चोरी की प्रणाली बस काम करती है। फंडों को व्यक्तियों के कार्ड खातों में स्थानांतरित किया जाता है, उनके कार्ड को वापस लेने के बाद या तो "खो दिया जाता है" या उन्हें वापस ले लिया जाता है और वापस नहीं किया जाता है। आप किसी को उसके अपराध सिद्ध होने पर धन वापस करने के लिए मजबूर कर सकते हैं। यदि कोई व्यक्ति निर्दोष है, तो यह माना जाता है कि जब वह स्वर्ग का मन्ना बिल पर गिरा था, तो वह बस "भाग्यशाली" था। अपराधबोध साबित करना बहुत मुश्किल है। अपने निष्कर्ष निकालें। ऐसा क्यों - कानूनी संस्थाओं के बारे में चर्चा करते समय थोड़ा नीचे पढ़ें। किसी भी मामले में, यदि बैंक का कोई ग्राहक खुद को अजीब स्थिति में पाता है - किसी और का पैसा उसके पास आता है, तो बैंक अब ऐसे ग्राहक के साथ काम नहीं करना चाहेगा। दूसरी बार जब हमलावर खुद इस खाते में पैसा स्थानांतरित नहीं करेंगे - आंतरिक मामलों के मंत्रालय के सामने, वे अब केवल "भाग्यशाली" की तरह नहीं दिखेंगे। इसलिए, व्यक्तियों के लिए सूचना सुरक्षा प्रणालियों में धन की चोरी व्यापक नहीं है - बहुत परेशानी, और थोड़ा पैसा। मेरी स्मृति में, केवल एक ही मामला था जब क्लाइंट ने बिना किसी कारण के चार अंकों का पिन -1 (सूचना सुरक्षा प्रणालियों में प्रमाणीकरण के लिए, 16-अंकों का पिन -2 का उपयोग किया जाता है) का अनुरोध किया।

"हमला"

और अब हम अपनी भेड़ों, या कानूनी संस्थाओं की ओर रुख करते हैं। कंप्यूटर कैसे संक्रमित होता है? जासूसी शैली के प्रशंसकों की बड़ी निराशा के लिए, किसी भी अंदरूनी सूत्र की आवश्यकता नहीं है। जब किसी कंप्यूटर पर बैठे उपयोगकर्ताओं के 90% महसूस किए गए बूट से अलग नहीं होते हैं, तो सिवाय इसके कि बूट खुद को चाबी नहीं दे सकते? तृतीय-पक्ष साइटों के लिंक, पत्र, एक सामान्य एंटीवायरस और फ़ायरवॉल की कमी, प्रशासकों की लापरवाही जो कम से कम एक प्रॉक्सी को कॉन्फ़िगर करने के लिए बहुत आलसी हैं, और कुछ मामलों में राज्य में ऐसे कर्मचारियों की अनुपस्थिति उनके गंदे काम कर रहे हैं। और यह कल्पना करना कठिन है कि कैसे रियान, सरतोव या मास्को में बैठे एक व्यक्ति के पास पूरे रूस में दर्जनों संगठनों में अंदरूनी सूत्र हैं।

हमारे सिस्टम और क्लाइंट पर सक्रिय हमले और सिस्टम 2009 के अंत में शुरू हुआ। इस समय के दौरान, हमारे क्षेत्र में संक्रमण के 10 से अधिक मामले दर्ज नहीं किए गए थे, दुर्भाग्य से उनमें से 3 घातक थे - निधियों को बेहद खो दिया गया था, 2 मामले - एक सुखद अंत के साथ - भुगतान आदेश में त्रुटि के कारण बंद नहीं लिखे गए थे या बैंक तक नहीं पहुंचे थे- प्राप्तकर्ता और रूसी संघ के केंद्रीय बैंक के आरसीसी से लौटा। संक्रमण के शेष मामलों की पहचान शुरुआती चरणों में की गई और ग्राहकों को "अच्छी" खबरें पेश की गईं कि कंप्यूटर कोको है और व्यवस्थापक एक चूसने वाला है।

"वे बैंक में कहां देख रहे हैं!" क्या वे नहीं देखते कि मेरा पैसा पी है ...? ”मेरा

क्षति की कुल लागत 900 हजार रूबल से अधिक नहीं थी (100 + 300 + 2x500 (वे एक भुगतान वापस करने में कामयाब रहे))।
जैसा कि आप देख सकते हैं, राशियाँ खगोलीय नहीं हैं। एक संगठन के लिए एक सौ हजार रूबल क्या है जिसमें इस तरह के भुगतान का 90% है, और बैंक 10 और 100 गुना बड़े भुगतानों को पारित करता है? बैंक भी इतनी मात्रा को नियंत्रित करने के लिए बाध्य नहीं हैं! 600 हजार रूबल से अधिक मात्रा में नियंत्रण शुरू होता है।

इसलिए, इस तरह के भुगतान करने में सफलता की संभावना अनुच्छेद 1 और 6 मिलियन में उल्लिखित की तुलना में बहुत अधिक है। सामान्य तौर पर, मुझे ऐसी राशि के लिए बैंक भुगतान के नियंत्रण और निष्पादन की प्रक्रिया समझ में नहीं आती है। इस मामले में, नियंत्रक को संगठन से संपर्क करने के लिए बाध्य किया जाता है और न केवल फोन करके पूछा जाता है कि क्या उन्होंने उन्हें भेजा है, बल्कि धन के कानूनी भेजने के तथ्य की पुष्टि करने वाले दस्तावेजों के प्रावधान की आवश्यकता है। मनी लॉन्ड्रिंग और मनी लॉन्ड्रिंग का मुकाबला करने के लिए कानून की आवश्यकताएं हैं।

हमारे मामले में, ट्रोजन ने सिस्टम में प्रवेश करने के लिए केवल "मास्टर" एक गुप्त कुंजी और पासवर्ड भेजा था। हमलावर ने खुद को सिस्टम में पंजीकृत किया, खाते की शेष राशि की जांच की और, यदि उसके पास पर्याप्त था, तो भुगतान आदेश को भर दिया और खाते को धनराशि (अपने खुद के लिए नहीं!) को भेज दिया, लेकिन उन डमी को, जो स्वाभाविक रूप से, उसे आंख में नहीं देख रहे थे, लेकिन रसीद पर इस तरह के एक अच्छा उपहार, इन निधियों को खाते से वापस ले लिया गया। यहाँ, कई मुझे बता सकते हैं: “ठीक है, यहाँ! सब कुछ स्पष्ट है! यहाँ वे हैं - खलनायक और चोर! उन्हें पकड़ो! "जिसके लिए मैं, कामरेड, मैं शांति से जवाब दूंगा:" रूसी संघ के आंतरिक मामलों के निकायों में थर्मोरेक्टल क्रिप्टोनालिसिस सबूत प्राप्त करने का एक कानूनी तरीका नहीं है, इसलिए इसका उपयोग नहीं किया जा सकता है, और उनके बैंक खाते के साथ संचालन के दौरान नागरिकों के कार्यों में अपराध का कोई सबूत नहीं था। "

यही है, सिद्धांत रूप में, सब कुछ स्पष्ट है कि धन कहाँ और किसके पास स्थानांतरित किया गया है, कोई भी इसे नहीं छिपाता है, हर कोई सब कुछ जानता है, लेकिन वे कुछ भी नहीं कर सकते हैं, क्योंकि जब पैसा खाते में जमा किया जाता है और वापस ले लिया जाता है, तो यह किसी भी जिम्मेदारी को सहन नहीं करता है। केवल एक विवेक एक नागरिक को राशि वापस करने के लिए मजबूर कर सकता है, अन्यथा इसका कोई कारण नहीं है, अपराध सिद्ध नहीं हुआ है। यह पूछने और विनती करने के द्वारा अपनी भागीदारी को साबित करना असंभव है, वह मूर्ख नहीं है :) आईपी पते से किसी हमलावर को ट्रैक करना भी संभव नहीं है - वे अपने घर के बाहर काम करते हैं और उन आभासी उपयोगकर्ताओं को हैक करते हैं जो आभासी तैनात करते हैं मशीन, यह पहले से ही लॉग इन है, आदि। दो साल के लिए, किसी को अदालत में नहीं घसीटा गया है, और न ही जाएगा। इसलिए, हम अपनी कहानी के तीसरे भाग की ओर बढ़ते हैं ...

डूबने से बचा ...

99.99% बैंकों में, RBS के ग्राहकों को इस तरह की परिस्थितियों से बचने के लिए कैसे और क्या करना है, इस पर बहुमूल्य निर्देश दिए गए हैं ... जैसा कि आप जानते हैं, 99.99% ग्राहक बैंकों के मूल्यवान निर्देशों के बारे में जानकारी देना चाहते थे।
और काउंटरमेशर्स वास्तव में सरल और बहुत सस्ते हैं:

1. एक कार्यस्थल से काम। इंटरनेट पर जाने, खरीदारी करने और सोशल नेटवर्क पर गर्लफ्रेंड के लिए कार्यस्थल का उपयोग नहीं करने की सलाह दी जाती है। आदर्श विकल्प - डेस्कटॉप पर एक शॉर्टकट - यह आपका क्लाइंट-बैंक है। :) क्या यह महंगा है? 100 हजार अधिक।
2. एक आईपी पते से काम करें। यदि क्लाइंट-बैंक की सेटिंग्स अनुमति देती हैं, तो इस आईपी को सिस्टम में मजबूती से बांधें ताकि अन्य पतों से प्रवेश करना संभव न हो। क्या आपको यात्रा करना पसंद है? फिर अगले आइटम पर जाएं।
3. एक रॉटोकन या ईटोकन ईमेल आईडी खरीदना सुनिश्चित करें। रुटोकन ईडीएस या ईकोन GOST खरीदना बेहतर है। यह एक गैर-निकासी योग्य निजी कुंजी के साथ इलेक्ट्रॉनिक डिजिटल हस्ताक्षर बनाने का एक व्यक्तिगत साधन है, अर्थात। प्रत्येक बाद के ऑपरेशन के लिए एक नया डिजिटल हस्ताक्षर बनता है। ऐसी कुंजी के साथ, अब जानकारी निकालना संभव नहीं होगा। एक कुंजी की लागत लगभग 1 हजार रूबल है।
4. एंटीवायरस, फायरवॉल, सुरक्षा ... सामान्य तौर पर, शैली का क्लासिक। लेकिन अगर आप पैराग्राफ 1-3 का पालन नहीं करते हैं, तो यह आपकी मदद नहीं करेगा

निष्कर्ष

मैं चाहूंगा कि अधिकांश ग्राहक मौके की उम्मीद करना बंद कर दें और मान लें कि अगर पैसा बैंक में है, तो उनके लिए कुछ नहीं होगा, और अगर ऐसा होता है, तो बैंक सब कुछ वापस कर देगा। बैंकिंग प्रणाली के संदर्भ में, बैंक पूरी तरह से अनुबंध के अपने हिस्से को पूरा करते हैं - वे क्लाइंट को अपनी समस्याओं को जल्दी से हल करने के लिए धन और तरीके प्रदान करते हैं, उनकी सुरक्षा का ख्याल रखते हैं, सलाह देते हैं कि इंटरनेट समाज में कैसे व्यवहार करें। दुर्भाग्य से, कई ग्राहकों को पता नहीं है कि चाबियों के संरक्षण और डिस्क की सफाई के लिए जिम्मेदारी मुख्य रूप से उनके साथ है, और बैंक के साथ नहीं। संक्रमण के संकेतों की हार्ड ड्राइव पर उपस्थिति क्लाइंट को दोषी बनाती है (हालांकि यह वास्तव में है) और अदालत में उनकी मेहनत की कमाई के लिए आगे संघर्ष (यदि यह उसके लिए आता है) सफल नहीं होगा। और क्या यह किसी की निंदा करने के लिए लायक है यदि आप दरवाजा चौड़ा खुला छोड़ कर काम पर चले गए?