130 млн карт на трех мошенников

Прокуратура штата Нью-Джерси предъявила обвинение гражданину США Альберту Гонсалесу в краже данных 130 млн кредитных и дебетовых карт

Глеб Климентьев, Константин Пукемов

Самому известному в мире хакеру Альберту Гонсалесу и двум его подельникам вынесено обвинение. Главе группировки грозит до 25 лет тюрьмы и штраф в $500 тыс. Злоумышленникам вменяется в вину самая масштабная кража личных данных в американской истории. Мошенники завладели данными 130 млн банковских карт.

Прокуратура штата Нью-Джерси предъявила обвинение гражданину США Альберту Гонсалесу в краже данных 130 млн кредитных и дебетовых карт. По сообщению BBC, в настоящее время дело уже передано на рассмотрение суда присяжных.

28-летний Альберт Гонсалес (известен как Segvec) из Майами, штат Флорида, и двое его неназванных сообщников, проживающих «на территории России или близлежащих государств», взломали систему расчетов ряда розничных сетей, в том числе магазинов 7-Eleven, платежные системы Heartland Payment Systems Inc и Hannaford Brothers Co, передает Wall Street Journal.

Справка

По мнению экспертов, мошенник пользовался техникой, известной как SQL-инъекция. «Смысл SQL-иъекции состоит в следующем: при работе с базой данных сотрудник формирует специальные запросы, в ответ на которые база данных предоставляет ему необходимые данные, например, имена клиентов и их телефоны. Данные, недоступные этому пользователю, при определенных условиях, злоумышленник может «вытащить» путем включения (инъекции) в исходный запрос дополнительных служебных параметров. Самым надежным способом защиты от SQL-инъекции является фильтрация обрабатываемых данных, т.е. проверка на наличие служебных символов. Но таким механизмам разработчики и администраторы систем не всегда уделяют должное внимание», — говорит Иван Твердохлебов, консультант «Инфосистемы Джет». SQL-инъекция достаточно трудоемка. «На западе внедряется единый стандарт защиты карточных данных. В соответствии с ним ритейлерам и платежным организациям запрещено хранить в открытом виде данные карточек, а данные по авторизации - в любом виде. В противном случае их ждут серьезные штрафы. Поэтому воровство было достаточно трудоемким процессом, если, конечно, не было следствием инсайдерского внедрения. Масштабы можно оценить, если представить, сколько бы заработали мошенники, если бы сняли, хотя бы по доллару с каждой карточки», — полагает Евгений Рудацкий, руководитель направления аудита «Инфосистемы Джет».

По мнению следствия, преступники подключались к незащищенным беспроводным сетям крупных сетевых магазинов и внедряли в них сетевые анализаторы, которые перехватывали номера кредиток, пароли и данные о личных счетах покупателей. Также, согласно материалам следствия, Гонсалес, закончивший лишь среднюю школу и самостоятельно изучивший основы программирования, использовал хитроумную компьютерную программу для проникновения в защищенные сети.

Получив доступ к данным миллионов людей, преступники воровали деньги с их счетов и торговых компаний в особо крупных размерах. Похищенные данные также продавались на черном рынке. Жертв нападения преступная группа выбирала из списка 500 самых успешных компаний журнала Fortune.

Виды мошенничества с пластиком

В настоящее время существует множество вариантов отъема денег у населения с помощью пластиковых карт. Один из них — так называемый «кардинг». При данном виде мошенничества производится операция с использованием банковской карты или ее реквизитов, не инициированная или не подтвержденная ее держателем. Как правило, реквизиты банковских карт берутся со взломанных серверов интернет-магазинов, платежных и расчётных систем. Кроме того, данные могут быть украдены непосредственно с персональных компьютеров путем внедрения программ удаленного доступа. Например, «трояны», «черви». Следующий вид мошенничества — «фишинг». Это наиболее распространённый метод воровства номеров платежных карт. При данном виде воровства создается специальный сайт, пользующийся доверием у пользователя. В России одним из наиболее распространенных способов хищения денег с банковских карт является «скиминг». Преступники используют специальные приборы, называемые «скимеры». Это устройства для считывания, например, магнитной дорожки кредитной карты. Сам по себе девайс является приспособлением со считывающей магнитной головкой, усилителем-преобразователем, памятью и переходником для подключения к компьютеру. «Скимеры», зачастую, портативны и миниатюрны. Как правило, их устанавливают на отверстие для приема пластиковой карты. Также устройства могут представлять собой поддельную клавиатуру для набора пин-кода, наложенную поверх настоящей. Еще существует «ливанская петля». В этом случае используется приспособление из куска резины, с помощью которого банковская карточка задерживается в банкомате. Через некоторое время, после того как раздосадованный владелец, после неудачных попыток извлечь карту, уходит за помощью, мошенники достают кредитку и снимают с нее деньги. Предварительно злоумышленники заполучают ПИН код, например, с помощью видеокамеры. Существуют и другие способы отъема денег у держателей пластиковых карт. Это может быть как инсценировка звонка из банка, так и рассылка SMS-сообщений с просьбой связаться с менеджером кредитной организации по указанному телефону и рассказать свои личные данные. Если мошенники завладели личной информацией (например, ПИН код) владельца пластиковой карты, то велика вероятность того, что деньги со счета последнего будут украдены. «Личные данные карты мошенники перепродают организованным преступным группировкам по цене 5-20$ в зависимости от объема. Далее с их помощью изготавливаются дубликаты пластиковых карт и, если ПИН код был также сворован, то можно смело идти в любой банкомат мира и снимать все деньги с карты. Если же ПИН кода нет, то злоумышленники идут в магазины и покупают различные товары, которые потом перепродают, получая деньги», — говорит Максим Эмм, директор департамента аудита компании «Информзащита». Если не заблокировать карточку в течение 1-2-х суток после компрометации, то вероятность потерять деньги существенно возрастает. «Особенно неприятен тот факт, что если был украден ПИН код, то банки по правилам платежных систем не обязаны возмещать средства с карты, похищенные злоумышленниками», — констатирует Эмм. И это даже не смотря на то, что платежные системы, такие как VISA и MasterCard ведут круглосуточный мониторинг мошеннических транзакций и сообщают банкам о том, что необходимо заблокировать те или иные карты. «Так, специально для пресечения подобных операций, ведущие платежные системы, включая VISA и MasterCard, несколько лет назад объединились и разработали единый стандарт безопасности – так называемый стандарт PCI DSS, минимизирующий риск утраты данных, — говорит Максим Эмм. — С 2006 года этот стандарт обязателен и для российских банков, а с 2010 года кредитные организации, которые не выполнят все его требования в полном объеме, будут штрафоваться».

Настоящая афера, по словам официальных лиц США, является крупнейшим преступлением такого рода в американской истории. «Это самая крупная хакерская операция и операция по хищению персональных данных из всех, которые когда-либо расследовались», — говорится в пресс-релизе министерства юстиции США.

К расследованию были подключены правоохранительные органы различных стран мира. В 2008 году Альберту Гонсалесу были предъявлены обвинения в руководстве международной группой из 11 хакеров, в которую входили американцы, украинцы, китайцы, белорус и эстонец.

Сам Гонсалес являлся «двойным агентом» и использовал информацию правительственных служб, чтобы помочь членам группировки избежать ареста.

Еще в 2003 года он был задержан, как один из основателей сайта ShadowCrew, где продавались и покупались «плоды деятельности хакеров». Тем не менее тогда мошенник не был арестован, поскольку согласился стать информатором Секретной службы США.

В начале этого года турецкий суд приговорил одного из подельников Гонсалеса, 26-летнего жителя Харькова Максима Ястремского, к 30 годам тюрьмы за хакерство. Его обвинили в краже информации и присвоении денег с банковских карт клиентов американских и турецких банков. Еще один, гражданин Эстонии Александр Суворов, был арестован в марте 2008 года немецкими чиновниками во время посещения этой страны

В том случае, если Гонсалес будет признан виновным, ему грозит до 25 лет тюремного заключения и штраф в размере $500 тысяч, говорится в материалах Wall Street Journal. Возможные сроки заключения, грозящие гражданам РФ за сообщничество, не называются.

По мнению экспертов,

ситуацию с воровством в данной области мог бы исправить выпуск чиповых карт.

«Реагировать на воровство с карт должны банки-эмитенты. Они могут перевыпустить скомпрометированные карты, но при больших масштабах хищений это операция дорогая и беспокойная для клиентов. Поэтому банк-эмитент идет на массовый перевыпуск только в крайнем случае», — говорит главный аналитик компании InfoWatch Николай Федотов.