Как и многие другие представители малого бизнеса, Марша и Майкл Шеймс-Йекел не видели необходимости разделять свой личный и коммерческий счета в банке. И через год после того как они перешли на обслуживание онлайн, это вышло им боком: хакеры перевели около $27 000 с их счета неизвестно куда. Если вы попадетесь под руку интернет-ворам, то рискуете не досчитаться крупных сумм.
Банки бросают на онлайн-безопасность немалые силы. Проблема в том, что всякий раз, когда хорошие парни придумывают изощренную систему защиты, плохие парни отвечают еще более изощренными методами взлома. «Их стратегия не подразумевает взлом миллионов счетов ради снятия $10 с каждого. Сегодня у них другие способы», — утверждает Дональд Джексон, директор компании SecureWorks, расследующей финансовые преступления в сети. По федеральному закону США потери на счетах физических лиц — это проблемы банка, но коммерческим потребителям (юридическим лицам) средства не возвращаются.
Казалось бы, большой подарок для маленького человека, но стоит помнить, что частный бизнес в большинстве своем ведется индивидуальными предпринимателями. Кроме того, иногда личные и коммерческие счета со временем смешиваются, как это произошло с семейным предприятием Шеймс-Йекел. Теперь они судятся со своим банком.
Бизнес супружеской пары — они предоставляют услуги по бухгалтерскому учету — базируется в их загородном доме в Чикаго. В 2003 году они взяли кредит в $50 000 у Citizens Financial Bank, который привязали впоследствии к текущему коммерческому счету. Хакеры проникли в их счета в начале 2007 года и перенаправили $ 26 500 с кредитной линии на коммерческий счет. Потом взломщики перевели деньги на гавайский счет компании JV Financial — естественно, фиктивной. Через 10 дней, когда пара поняла, что деньги пропали, средства были уже в австрийском банке, который, естественно, отказывался их возвращать.
Оглядываясь назад, можно сказать, что банк мог заподозрить неладное: хакеры пришли через IP-адрес, которым чета Шеймс-Йекел никогда ранее не пользовалась. Каким образом хакеры заполучили их логин и пароль, остается загадкой. Они могли выслать на почтовый ящик письмо с вирусом. Или кто-нибудь мог бродить в окрестностях дома, где проживали бизнесмены, и перехватить данные, отправленные через беспроводную сеть. Подобную информацию обычно продают тем, кто лучше заплатит, — часто в Восточную Европу. К сожалению для Шеймс-Йекел, даже тот факт, что банковские данные были украдены из их дома, не проясняет ситуацию — придется ли им самим восполнять потерю средств.
Банк Citizens, как и многие банки, потребовал пару принять обязательства на случай того типа мошенничества, от которого пострадал их коммерческий счет. Когда они отказались покрывать потери, банк передал информацию в бюро кредитных историй о супружеской паре, как о неплательщиках и через шесть месяцев после кражи пригрозил лишить права выкупа заложенного имущества — их дома. Федеральный судья постановил, что судебное разбирательство с банком Citizens может получить дальнейший ход, так как в деле фигурирует индивидуальный счет.
Семья Шеймс-Йекелс была обманута в 2007 году. С тех пор банковские мошенничества шагнули далеко вперед. Сегодня хакеры заражают многоуровневые сайты троянскими вирусами. Когда посетитель попадает, скажем, на страничку новостей, вирус «прыгает» с сайта на его компьютер. Далее хакеры следуют за посетителем, который идет на свою страничку банковского счета. Оснащенный механизмом запоминания нажатия клавиш, «троянский конь» записывает логин и пароль пользователя. Затем ворам остается лишь перевести деньги, не вызывая подозрений у банка.
С тех пор как банки начали следить за запросами о переводах, поступающих с неизвестных компьютеров, хакеры принялись похищать IP-адреса самих жертв. С похожей схемой работы, наверняка, сталкивался любой пользователь, когда обращался за технической поддержкой для решения какой-то проблемы. Вы звоните в информационную службу своего провайдера, и через несколько секунд ребята на другом конце провода дистанционно управляют вашим компьютером.
Подобные технологии помогают понять, как, например, компания Unique Industrial Product Co, лишилась $200 000. Банк компании, Comerica, не заметил ничего необычного, когда в один прекрасный день хакеры нацелились на счет жертвы. На следующее утро финансовый инспектор Unique Industrial обнаружил целую кипу факсов от банка, подтверждающих переводы на общую сумму в $ 1,2 млн; некоторые из трансферов были сделаны в такие страны, как Украина. Хакеры хорошо подготовили взлом. Переводы были произведены незадолго до окончания рабочего дня; большинство переводов не превышали $10 000 — тактика, позволяющая не привлекать особого внимания. Банку Comerica в итоге удалось вернуть $1 млн. Unique Industrial вынуждена покрывать остатки потерь. «Мы вели переговоры с нашим банком на предмет того, кто в ответе за произошедшее, и они заявили, что виноваты мы, потому как атаке подверглись наши компьютеры», — рассказывает Джугал Малани, генеральный директор Unique Industrial.
Такие случаи встречаются сплошь и рядом. Банк из Миссури, который пожелал остаться анонимным сообщает о двух своих коммерческих клиентах, ставших в этом году жертвами русских хакеров. Один клиент, некоммерческая организация, потерял на подобных переводах $142 000, сумев впоследствии вернуть себе $107 000. Другой — строительная компания — потерял $50 000 в результате попытки похищения $115 000. «Когда взломана их система, за все платят владельцы коммерческих счетов», — говорит представитель банка.
Являются ли технологии решением проблемы? Семья Шеймс-Йекел считает, что да. Судебный иск семейной пары апеллирует к тому факту, что банк Citizens должен был снабдить их электронным ключом. Эти устройства позволяют пользователям получать доступ к счету, вводя уникальные пароли, которые меняются каждые несколько секунд. Увы, представитель фирмы SecureWorks Дональд Джексон утверждает, что группа русских хакеров разработала новый вирус, который устанавливает на компьютеры код для мгновенного обмена сообщениями. Когда пользователь вводит шифр своего электронного ключа, вирус раскрывает его хакерам, те используют пароль для входа в систему, придерживая связь законного владельца. Законный владелец денег успевает только заметить, что соединение притормаживает, а деньги в результате исчезают.
Ответ один: использовать звонки на мобильные телефоны или SMS-сообщения для подтверждения банковских переводов. Как утверждают представители фирмы по исследованию банковской индустрии Javelin Strategy & Research, сегодня этим пользуется менее 10% банков. Камни преткновения: затраты, страх создать неудобство для клиента и тот факт, что подобная система может оказаться недейственной, — утверждает Джозеф Йесутис, банковский адвокат из Вашингтона. Другая защитная тактика, которую могут использовать банки, это позволять клиентам четко определять, какая электронная транзакция (например, в иностранные банки) может быть проведена исключительно в присутствии владельца. Citibank, например, утверждает, что предоставляет такую услугу; Bank of America — нет. И ни тот, ни другой не предоставляют услуги двусторонних SMS-сообщений.