Самый масштабный в России всплеск атак мошенников произошел во время пандемии: в 2020 году выросло количество поддельных сайтов для кражи персональных данных, так как россияне чаще пользовались онлайн-заказами для доставки товаров и продуктов.
С тех пор мошенники не сбавляют темп атак.
По данным регулятора, банки тоже не стоят на месте и совершенствуют свою борьбу с мошенниками. В 2023 году увеличилась доля возврата денег пострадавшим от кибермошенничества — с 4,4% до 8,7%. Всего возвращено 1,38 млрд рублей.
«Меньше 10% средств возмещается людям, то есть эта цифра еще достаточно низкая», — отметила Эльфира Набиуллина.
«Да, увеличилось количество успешно отраженных атак банками, но увеличилось и число успешных атак — почти 1,2 млн операций без согласия клиентов. Поэтому мы видим, что здесь перелома долгожданного, о котором мы говорили, конечно, не произошло», — пояснила она.
Она признала серьезность проблемы. «Мы все прекрасно осознаем, что угроза кибербезопасности будет только нарастать, и это не что-то далекое от бизнес-процессов, которые в финансовых организациях существуют. Поэтому нам нужно здесь постепенно менять наш менталитет, наши подходы к информационной безопасности. И сделать так, чтобы произошел перелом, чтобы люди теряли меньше от кибермошенничества», — отметила Эльвира Набиуллина.
Успех не у тех
Кибермошенники в 2023 году на треть увеличили количество успешных операций, до 1,17 млн. Им удалось украсть 15,8 млрд рублей, сообщается в телеграм-канале ЦБ РФ. Потери клиентов банков выросли на 11,5%. Примерно на столько выросла и сумма переводов по банковским картам — «именно с них было украдено больше всего денег».
Ущерб был бы больше, но банки сами предотвратили мошеннические хищения на 5,8 трлн рублей. Так, кредитные организации при поддержке антифрод-процедур научились быстро определять подозрительные переводы, быстро предупреждать клиентов и блокировать карты мошенников.
ЦБ РФ называет одну из возможных причин такого всплеска киберугроз — «более адресные и подготовленные атаки телефонных мошенников».
«Для этого преступники используют данные о человеке из открытых источников, а также полученные в результате утечек информации из компаний и организаций различных отраслей», — поясняет регулятор.
Не забываем о самозащите
О самых простых мерах защиты постоянно рассказывают Банк России, Росфинмониторинг и МВД. Среди них — не сообщать незнакомым людям свои персональные данные. Пусть даже незнакомцы убедительно представляются сотрудниками банков, МВД, ЦБ РФ. В этом случае «надо позвонить в банк по номеру телефона, указанному на обратной стороне карты или на его сайте, или в контакт-центр ведомства, сотрудником которого представлялся звонящий», дает регулятор базовый совет.
Еще один совет — не переходить по незнакомым ссылкам в мессенджерах, электронных письмах. Даже корпоративная почта может быть взломана, и хакеры могли рассылать письма с убедительным текстом о важности перехода по ссылке.
Появилась и новая схема мошенников: в последнее время выросло количество взломов мессенджеров, соцсетей и от имени близких, друзей, родственников могут рассылаться просьбы о переводе денег на карту.
При этом могут присылаться фото банковских карт с именем и фамилией знакомого, родственника, а номер счета — реальный (карта принадлежит мошеннику или подставному лицу). Но имя и фамилия могли быть взяты из соцсети или после утечки данных, а изображения могут быть созданы с использованием графических программ. В этом случае необходимо перезвонить по телефону напрямую без использования мессенджера и уточнить у «просителя» — в курсе ли он, что от его имени просят о переводах денег.
«С банковской сферой связано около 40% объявлений в даркнете. В топе запросы на открытие счетов, продажа и покупка доступов в личный кабинет, банковских карт, обналичивание, пробив данных и вербовка сотрудников», — предупреждают киберспециалисты компании «Солар».
Защита государства и бизнеса
Правительство заботится о защите государственной информационной инфраструктуре, а частные организации по закону обязаны сами защищать персональные данные клиентов и развивать защиту от киберугроз за свои деньги.
Финансовые организации в 2023 году увеличили свои затраты на информационную безопасность на 7% до 18 млрд рублей в разработку и внедрения технологий, оборудования, подсчитала компания по кибербезопасности «Солар».
Примерно столько же потратили федеральные органы исполнительной власти — 20 млрд рублей.
По данным компании, число киберинцидентов в кредитно-финансовой отрасли за прошлый год выросло более чем на четверть до 6,8 тысяч и киберугрозы только растут.
Защитит ли аналог «ОСАГО» от кибератак
Еще один способ сократить потери от кибермошенников — страховка. В России уже работает страхование бизнеса от киберрисков. Пострадавшая компания получает страховую выплату в случае потерь после хакерских атак.
Рынок страхования киберрисков для юрлиц оценивается примерно в 900 млн рублей в год, подсчитал Всероссийский союз страховщиков (ВСС).
Но в прошлом году был всплеск: объем киберстрахования в России за 2023 год вырос на 80% до 1,3 млрд рублей, по данным ПСБ. Больше всего такую страховку покупали банки.
Страховой рынок России готов к страхованию киберрисков и для защиты интересов граждан, сообщил 15 февраля президент Всероссийского союза страховщиков (ВСС) Евгений Уфимцев на Уральском форуме «Кибербезопасность в финансах».
«На мой взгляд, необходимо запускаться: страховая отрасль к этому готова, а вопрос защиты интересов граждан, страдающих от утечек персональных данных, уже давно назрел», — отметил Евгений Уфимцев (цитата ТАСС).
По его словам, принцип такого страхования будет схож со страхованием ответственности владельцев опасных объектов. Организации без требуемого уровня защиты персональных данных будут платить клиентам за потери, как владельцы опасных объектов в случае ущерба после технологической аварии. Закон может предусматривать право регресса к такому юридическому лицу со стороны страховой компании.
В 2023 году впервые обсуждалась идея создания единого страхового фонда для покрытия ущерба от кибератак с обязательным страхованием системных компаний, банков. О создании института страхования киберрисков говорится и в подготовленном Банком России документе «Основные направления развития информационной безопасности кредитно-финансовой сферы на период 2023—2025 годов».
«Страхование киберрисков может быть действенной мерой по борьбе с киберпреступностью только при условии, если вопросы информационной безопасности компаний решаются в комплексе», — пояснил Финансам Mail.ru Александр Хонин, руководитель отдела консалтинга и аудита компании Angara Security.
По его словам, страхование рисков за утечку информации может покрыть расходы компании на восстановление инфраструктуры и компенсировать расходы на выплату оборотных штрафов. Но помимо утечек информации компании сталкиваются со взломами через подрядчиков, внедрением вредоносного ПО, которое зачастую не используется преступниками в моменте, а просто ждет своего «часа», уязвимостями веб-приложений и внешнего периметра.
«Поэтому вряд ли стоит рассматривать страхование киберрисков как полноценную меру защиты, аспекты информационной безопасности должны быть интегрированы во все процессы IT-разработки, сбора, обработки и хранения клиентских данных, раскрытия информации в открытых источниках
«Нужно разделять устранение причин хищений и смягчение их последствий. Такие меры, как страхование ущерба от кибермошенников — безусловно, снижают фактический ущерб граждан. Но не устраняют его причину», — рассказал Финансам Mail.ru генеральный директор Ассоциации развития финансовой грамотности Вениамин Каганов.
«Иными словами, число новых хищений страхование не снизит. Чтобы это произошло, нужно работать с внутренними установками граждан, снижая их чувствительность к угрозам по телефону или веру в быстрый легкий заработок», — считает он.
При том, что абсолютные значения ущерба граждан остаются высокими, растет число отраженных атак и снижается доля успешных, напомнил он.
«Такая тенденция характерна в первую очередь для технологических лидеров финансового рынка. Поэтому тем банкам, которые хотят побороться за свою долю розничных клиентов, нужно тоже смотреть в сторону разработки сервисов, которые сделают атаки мошенников экономически нецелесообразными», — посоветовал Вениамин Каганов.
«Данная информация носит исключительно информационный (ознакомительный) характер и не является индивидуальной инвестиционной рекомендацией».