Безопасность банковских карт в интернете строится на строгом разделении финансовых потоков и контроле доступов, где главным правилом защиты является использование отдельной или виртуальной карты для онлайн-платежей.
Автор материала - Дмитрий Орлов - руководитель отдела анализа защищенности ИБ компании Simplity
Какие данные банковской карты позволяют мошенникам украсть деньги в интернете?
Для совершения покупок в интернете злоумышленникам нужен определенный набор реквизитов: номер карты, срок действия и трехзначный код на оборотной стороне. Если эти данные утекли, мошенники могут рассчитываться картой на сайтах или в сервисах, не поддерживающих технологию подтверждения платежей 3D-Secure.
Что за технология 3D-Secure: простыми словами, это тот самый экран или всплывающее окно, куда вы вводите код подтверждения платежа из смс или пуш-уведомления. Это технология двухфакторной аутентификации, которая защищает ваши деньги при покупках в интернете. 3D-Secure - цифровой замок, который не позволяет списать деньги с карты, пока владелец не подтвердит операцию лично.
Обойти 3D-Secure можно при помощи методов социальной инженерии: поэтому никогда и ни при каких обстоятельствах (включая «звонки службы поддержки» или «звонки для подтверждения заказа» или «получения подарка при покупке») нельзя называть одноразовые СМС-коды подтверждения, ПИН-код карты и пароли от мобильного банка. Эти коды - ваш аналог цифровой подписи, передавая который, вы лично одобряете списание денег или смену пароля от личного кабинета.
Как понять, что интернет-магазин или платежная страница поддельные?
Мошенники создают исключительно точные копии сайтов известных брендов, но их можно вычислить по деталям:
- В адресной строке URL буквы могут быть поменяны местами (например, wildberies)
- Слишком маленький возраст домена - это можно проверить через бесплатные Whois-сервисы. Безусловно сайт «популярных курсов» не может существовать 4 дня.
Главный маркер - аномальное поведение формы оплаты, например, требование ввести пин-код карты (не смс-код!), или предложение перевести деньги на карту чтобы уменьшить платеж, или звонок «менеджера» с предложением сообщить любой код по телефону - это прямые сигналы закрыть страницу.
Как обезопасить деньги от кражи в интернете?
Отдельная карта для онлайн-покупок - это самый эффективный способ защиты денег в интернете. Среди специалистов инфобеза есть правило: о вашей основной (зарплатной или накопительной) карте в сети не должен знать ни один сайт или сервис. Зарплатная карта нужна только для поступления зарплаты. Для покупок, подписок и так далее - отдельная карта или несколько.
Вопрос, какой баланс держать? Для онлайн-покупок можно держать нулевой баланс и пополнять его на нужную сумму в момент покупки. Для ежедневных расходов можно держать комфортную вам небольшую сумму. Даже если мошенники перехватят реквизиты этой карты, они не смогут украсть существенную сумму.
Какие настройки карты реально снижают риск кражи
- Обязательные смс или пуш-уведомления о любых движениях средств, даже если это платная услуга.
- Лимиты на онлайн-операции, которые можно корректировать вручную лично вами при совершении крупной покупки
- Также полезен будет лимит на офлайн покупки без пароля от карты на случай утери карты.
- Отказ от функции «сохранить карту для дальнейших платежей» в браузере
- Отказ от функции «привязать карту» на сайтах, где вы вряд ли будете покупать регулярно. А если и привязывать карту - то ту самую, которая для покупок. Зарплатная должна остаться в тени.