Group-IB обнаружила новую схему хищения средств из POS-терминалов

ИБ-исследователи из Group-IB в 2015 году обнаружили новый вид мошенничества, с помощью которого злоумышленники похищали деньги с банковских счетов. Преступники использовали банкоматы, поэтому эксперты назвали схему «АТМ-реверс», или «обратный реверс». Об этом сообщает РБК со ссылкой на данные о схеме.

Мошенник получал в банке неименную карту, вносил на нее через банкомат от 5 тыс. до 30 тыс. руб., а потом в том же банкомате их снимал и получал чек о проведенной операции. Затем преступник отправлял чек своему сообщнику, у которого был удаленный доступ к инфицированным вредоносным ПО POS-терминалам. Чаще всего подельник находился за пределами России. Через терминалы по коду операции, указанной в чеке, сообщник формировал команду на отмену операции по снятию наличных (на терминале это могло выглядеть, как возврат товара). В результате отмены операции баланс карты восстанавливался мгновенно, и у злоумышленника оказывались на руках выданные наличные и прежний баланс карты. Преступники повторяли эти действия до тех пор, пока в банкоматах не заканчивались деньги.

Представитель Group-IB рассказал корреспондентам РБК о том, что в результате этих действий пострадали пять крупных банков РФ. В общей сложности преступники похитили 250 млн руб., однако потенциальный ущерб оценивается в 1,12 млрд руб. Предотвратить последующие попытки хищений банкам удалось после разработки и внедрения защитных инструментов совместно с платежными системами Visa и MasterCard.

По словам представителя одного из крупных банков, в описанной схеме, скорее всего, злоумышленники эксплуатировали уязвимость в карточном процессинговом центре банка-эмитента, который при операции отмены проверял не все данные. «Дополнительная проверка могла бы обнаружить, что деньги выдаются в одной стране, а операция отменяется в другой. Преступники могли обнаружить эту уязвимость и воспользоваться ею», - отметил эксперт.

Представитель Visa рассказал, что платежная система была уведомлена банками-участниками о некоторых подобных случаях, и они не были связаны с нарушениями работы платежной инфраструктуры Visa.