Направления взаимодействия госорганов и финансово-кредитных учреждений по противодействию киберпреступности
Проблема кибербезопасности в условиях развития глобального информационного общества приобрела особую актуальность. В связи с этим обращает на себя внимание указание Президента РФ В. В. Путина Федеральному Собранию в послании от 1 декабря 2016 года на то, что
в цифровых технологиях кроются риски, и необходимо укреплять защиту от киберугроз, должна быть значительно повышена устойчивость всех элементов инфраструктуры, финансовой системы, государственного управления. «Это вопрос национальной безопасности и технологической независимости России, в полном смысле этого слова - нашего будущего», - подчеркнул Президент.
В ИБ-доктрине РФ, утверждённой Указом Президента РФ от 5 декабря 2016 года №646, перечисляется не только перечень угроз, но и совокупность средств, способных обеспечить надёжную защиту информационной безопасности государства.
Жизнь множества людей незаметно для них самих во многом переходит в виртуальное пространство. И это явление, безусловно, ежедневно несёт в себе новые угрозы. С увеличивающимся количеством пользователей Интернетом растут и возможности у киберпреступников для совершения различного рода кибератак.
Противодействие киберпреступности является проблемой мирового масштаба. Более того, киберпреступность превратилась в организованный и достаточно прибыльный бизнес, в основе которого лежит, как правило, использование вредоносного ПО. Вредоносные компьютерные программы всё чаще пишутся с целью незаконного обогащения за счёт их дальнейшей перепродажи, а также в целях незаконного получения конфиденциальной информации пользователей и последующего хищения принадлежащих им денежных средств.
В России ежемесячная аудитория Интернета по состоянию на октябрь 2016 — март 2017 года достигла 87 млн человек, что составляет 71% от всего населения страны. По итогам 2017 года число интернет-пользователей во всем мире впервые превысило 4 млрд человек, а современными мобильными устройствами (смартфонами) владеют около 2/3 населения планеты. На начало 2018 года количество ежемесячных пользователей различных социальных сетей составило 3 млрд человек. При этом около 90% пользователей заходили на эти интернет-площадки через смартфоны.
Если говорить о финансово-кредитных учреждениях, можно сказать, что здесь наиболее распространено использование современных ИТ и сети Интернет, причём как для удобства предоставления своим клиентам новых банковских продуктов и услуг, так и для быстроты осуществления денежных переводов, что не может не привлекать внимания злоумышленников.
За 2017 год бизнес потерял примерно 116 млрд рублей из-за кибератак — убытки из-за киберпреступников признала почти каждая пятая российская компания. Злоумышленники взламывали банкоматы, электронные кошельки и даже целые платёжные системы. За последний год около 15 хакерских группировок атаковали государственные структуры, военные ведомства и частные компании. По мнению аналитиков, количество киберпреступлений в России к 2018 году грозит вырасти в четыре раза, а общие потери могут превысить два триллиона рублей.
Для злоумышленников киберпреступления во многом привлекательны за счёт того, что сегодня совершенно из любой точки земного шара они могут осуществлять подготовку и совершение киберпреступлений, поскольку теряет в стоимости компьютерная техника, а объекты таких преступных посягательств не обязательно должны находиться в непосредственной близости от преступников. Характерно и то, что для совершения компьютерных преступлений не требуется прикладывать особые усилия и затраты, ведь достаточно иметь компьютер, ПО и подключение к информационной сети. Глубокие технические познания также не обязательны — в сети Интернет можно найти большое количество специальных форумов, закрытых чатов в мессенджерах, в которых мошенники могут овладеть соответствующими познаниями и навыками, приобрести вредоносное ПО для последующего совершения правонарушений.
Открытость доступа к сети Интернет и, как следствие, затруднительность в отслеживании злоумышленников позволяют им совершать большинство компьютерных преступлений с использованием именно данной сети. Анонимность Интернета, уязвимость беспроводного доступа и использование прокси-серверов дают возможность существенно затруднить обнаружение злоумышленников — для совершения преступления может использоваться так называемая «цепочка серверов», о чём есть масса информации в открытом доступе в сети Интернет, и этому «навыку» также можно научиться.
Еще одна отличительная черта, присущая компьютерным преступлениям, — трансграничный характер.
Вышеперечисленные обстоятельства крайне затрудняют расследование таких преступлений, требующее максимально оперативного анализа и сохранения данных, которые ввиду своей уязвимости могут быть легко уничтожены злоумышленниками за считанные минуты.
По итогам 2017 года наиболее распространёнными преступлениями в сфере информационных и компьютерных технологий, с которыми пришлось столкнуться финансово-кредитным учреждениям, стали следующие:
— заражение вирусами рабочих компьютеров, в том числе с последующим вымогательством денежных средств;
— взлом почтовых ящиков сотрудников;
— атаки на сайты предприятий (взлом, вирусное заражение, DDoS-атаки);
— интернет-мошенничество или социальная инженерия (введение
в заблуждение с целью получения денежных средств или конфиденциальной информации);
— несанкционированный доступ к информации предприятия;
— кража персональных данных клиентов;
— вмешательство в работу интернет-банкинга.
Вместе с тем, за аналогичный период времени, Сбербанк называет основной угрозой кибербезопасности в банковской сфере не вирусы, а другой вид мошенничества — социальную инженерию (манипулирование поведением человека с использованием социальных и психологических навыков), на которую приходится 80% всех атак на клиентов. Сбербанк ежедневно фиксирует около 2 тыс. связанных с мошенничеством обращений клиентов а за год в черные списки банка попадает около 50 тыс. мошенников, пытавшихся обмануть частных клиентов, и еще несколько тысяч, атаковавших юридических лиц. Задачей любого злоумышленника, использующего методы социальной инженерии, является побуждение человека на доверии совершить необходимые от него для преступника действия, которые в нормальной жизни человек не стал бы делать.
Следует подчеркнуть, что чем стремительнее развивается ИТ-сфера, тем больше новых видов киберпреступлений изобретают злоумышленники, которые не перестают совершенствовать свои навыки и придумывать новые способы незаконного обогащения в данной сфере. При этом государство также должно не отставать, а, наоборот, наращивать темп проведения мероприятий, направленных на профилактику, предупреждение и борьбу с киберпреступностью, поскольку, как показывает правоприменительная практика, относительная длительность и бюрократический подход к развитию нормативно-правовой базы приводят к значительному отставанию таких мероприятий.
Как правило, успешные масштабные киберпреступления возможно совершать в рамках действия организованного преступного сообщества, членам которого не обязательно быть знакомыми лично — они могут знать друг друга лишь по никнеймам, используемым в сети Интернет при подготовке и совершении киберпреступлений. Одновременно с этим злоумышленники используют и традиционные методы совершения преступления, но, как правило, уже на его финальной стадии, а именно при обналичивании похищенных денежных средств.
Таким образом, рост компьютерных преступлений именно в финансово-кредитной сфере требует от сотрудников правоохранительной системы не только неукоснительного соблюдения и выполнения своих непосредственных служебных обязанностей по расследованию преступлений, но также понимания банковских процессов и финансовых отношений.
Обращает внимание проблема, связанная с нарушениями, допускаемыми сотрудниками правоохранительных органов при расследовании компьютерных преступлений. Органы прокуратуры отменяют каждое второе постановление об отказе в возбуждении уголовного дела по сообщениям о киберпреступлениях и о приостановлении расследования соответствующих уголовных дел. Это происходит от того, что большая часть специалистов органов предварительного расследования занимается расследованием традиционных видов преступлений, либо они пытаются расследовать уголовные дела о киберпреступлениях традиционными методами, что абсолютно неэффективно. Необходимо помнить, что преступники всегда вооружены, быстро находят всё более новые способы хищения денежных средств в сфере компьютерной информации, в то время как правоохранительным органам удаётся раскрыть незначительный процент от общего числа совершаемых киберпреступлений, учитывая суммы затрачиваемых государством бюджетных средств на содержание правоохранительных органов, что также неэффективно.
Есть и другая проблема в данном направлении, связанная с программой обучения следственных и оперативных работников правоохранительной системы. К примеру, курс криминалистики нуждается в кардинальном обновлении, поскольку он уже устарел. Радикально должны быть переработаны и созданы новые курсы, изменены научные подходы к исследованию данных вопросов. Сбербанк осознаёт всю глобальность данной проблемы и первым в стране начал вести такую деятельность по направлению переподготовки специалистов, их обучение киберграмотности, ИБ и основам банковской системы. Представляется, что тесное сотрудничество финансово-кредитных учреждений с правоохранительными органами, а также ведущими вузами страны в рамках вышеуказанных направлений позволит эффективнее вести борьбу с киберпреступностью.
Необходимо активное вовлечение и органов государственной власти
в части, касающейся внедрения и разработки новых учебных программ на всех уровнях образовательной системы, что будет способствовать формированию правового фундамента для дальнейших практических шагов в направлении обеспечения информационной безопасности.
До недавнего времени судьи, прокуроры и следователи руководствовались в своей профессиональной деятельности нормативно-правовыми документами, которые уже устарели и не дают ответов на все актуальные вопросы, что мешает представителям названных ветвей власти иметь не только правильное представление о киберпреступлениях и механизмах их совершения, но и общий подход к толкованию и правоприменению.
Так, в одном из своих решений Московский городской суд оставил без удовлетворения апелляционное представление государственного обвинителя, которая просила отменить приговор суда первой инстанции, переквалифицировавшего действия виновного лица с ч. 2 и ч. 3 ст. 159 УК РФ на ст. 159.6 УК РФ.
Государственный обвинитель, мотивируя свою позицию, отметила, что «находит необоснованной и неправильной переквалификацию судом действий Д. со ст. 159 ч. 3 УК РФ по восьми преступлениям и ст. 159 ч. 2 УК РФ на ст. 159.6 ч. 2 УК РФ, указав, что для осуществления переводов денежных средств со счетов потерпевших Д. незаконно добился перевыпуска сим-карт потерпевших, используя которые путём введения достоверных логина и пароля осуществлял перечисление денежных средств потерпевших через систему «Онлайн». Данная судом квалификация этих действий как мошенничество в сфере компьютерной информации — несостоятельна, поскольку указанные действия образуют простое мошенничество». В ответ на это судебная коллегия апелляционной инстанции справедливо отметила, что, несмотря на то обстоятельство, что виновный Д. для входа в систему «Онлайн» использовал подлинные логин и пароль при совершении преступления, оно не может служить основанием для совершения Д. простого мошенничества, не связанного с хранением компьютерной информации.
Таким образом, суд апелляционной инстанции квалифицировал действия виновного именно как вмешательство в функционирование средств хранения, обработки или передачи компьютерной информации или информационно-телекоммуникационных сетей. Возражения прокурора судом были обоснованно отклонены.
На протяжении последних лет правоохранительные органы, принимая решения о квалификации действий виновного лица, также руководствовались некоторыми устаревшими положениями постановления Пленума Верховного Суда РФ от 27.12.2007 № 51 «О судебной практике по делам о мошенничестве, присвоении и растрате». В частности, с появлением
шести новых специальных составов мошенничества в 2012 году, некоторые положения вышеуказанного постановления Пленума фактически утратили актуальность.
В связи с этим, постановлением Пленума Верховного Суда РФ от 30 ноября 2017 года № 48 «О судебной практике по делам о мошенничестве, присвоении и растрате» признано утратившим силу Постановление № 51. Новое постановление достаточно актуально как для сотрудников правоохранительных органов, так и для специалистов финансово-кредитных учреждений, поскольку даны разъяснения по многим актуальным вопросам. Во-первых, Верховный суд РФ обратил внимание на нормы закона, содержащиеся в Гражданском кодексе РФ, по смыслу которых хищение чужого имущества охватывает собой понятие «электронные денежные средства». Таким образом, разъяснено, в каких случаях наступает уголовная ответственность за совершение хищения безналичных денежных средств, в том числе электронных денежных средств. Во-вторых, социальная инженерия должна квалифицироваться как кража (по ст. 158 УК РФ). Таким образом, в случае хищения безналичных денежных средств, когда злоумышленник получает к ним доступ, воспользовавшись той конфиденциальной информацией держателя платёжной карты, которую он сам злоумышленнику сообщил под воздействием обмана, содеянное квалифицируется как кража.
В-третьих, «фишинг» должен квалифицироваться как мошенничество
(по ст. 159 УК РФ). Таким образом, в случае хищения чужого имущества или приобретения права на него, когда злоумышленник распространяет заведомо ложные сведения в сети Интернет (поддельные сайты, интернет-магазины и
т.д.), мошенничество квалифицируется по статье 159, а не 159.6 УК РФ.
Кроме того, изменения, в которых, безусловно, нуждается российское законодательство в части противодействия киберпреступности, должны приниматься в соответствии с действующими международными нормативно-правовыми актами (Будапештская Конвенция по киберпреступлениям от
23 ноября 2001 года и др.), поскольку эффективное ведение борьбы
с киберпреступностью, которая, как правило, носит международный характер, немыслимо на территории одного государства без международного сотрудничества.
Одним из ключевых направлений обеспечения ИБ является усиление государственно-частного партнёрства и развитие соответствующих регионально-ориентированных программ с учётом экономической заинтересованности кредитных организаций в повышении уровня защищённости их информационных ресурсов. Представляется необходимым применение подходов, аналогичных тем, которые избраны в целях противодействия иным угрозам системного характера, например таким, как коррупция.
Отдельно обращает внимание проблема недостаточного уровня киберграмотности населения. Большинство киберпреступлений совершается
в том числе благодаря неосведомлённости населения и клиентов кредитно-финансовых организаций, а также несоблюдения ими основных правил безопасности. В связи с этим значительную пользу в предупреждении киберпреступности имеют информационно-просветительские мероприятия
в отношении новых рисков и угроз в информационных и компьютерных системах. Сбербанк регулярно предоставляет своим клиентам рекомендации по соблюдению кибергигиены, такие, например, как скачивание приложения «Сбербанк Онлайн» только с официальных ресурсов. Данному направлению уделяет большое внимание и заместитель председателя правления Сбербанка С.К. Кузнецов, который справедливо отмечает важность соблюдения элементарных правил информационной безопасности, а именно: не пренебрегать антивирусом, создавать и использовать сложные пароли, не повторять их на всех используемых ресурсах, применять двухфакторную аутентификацию везде, где это возможно, использовать функции шифрования информации на жёстких дисках, USB-носителях и применять шифрование для сохранения конфиденциальности переписки в Интернете.
Таким образом, можно сформулировать отдельные направления взаимодействия государственных органов и финансово-кредитных учреждений по противодействию киберпреступности в части обеспечения информационной безопасности:
1) содействие по созданию системы международной ИБ, развитию сотрудничества с партнёрами на глобальных и региональных площадках, таких как ООН, БРИКС, Шанхайская организация сотрудничества, АТЭС, ОДКБ, СНГ и других, проведению межведомственных консультаций и переговоров, что позволит более эффективно бороться с современными угрозами;
2) обоюдное сотрудничество в совокупности с усовершенствованием нормативно-правовой базы в области информационного законодательства РФ как основа правового фундамента для дальнейших практических шагов в направлении обеспечения информационной безопасности, предупреждения и пресечения компьютерных преступлений;
3) образовательные курсы для граждан, в первую очередь, для социально незащищённых категорий граждан и пожилых людей в целях повышения осведомлённости старшего поколения о финансовом рынке, банках, их продуктах, современных технологиях и возможностях их применения, а также о том, как научиться распознавать мошенников, финансовые пирамиды, правила кибергигиены;
4) обучение слушателей учебных заведений и переподготовка следователей в целях обучения и формирования квалифицированных специалистов для органов внутренних дел, противостоящих преступлениям в сфере высоких технологий.
Дарья Савенкова,
менеджер Управления противодействия
кибермошенничеству Сбербанка
Опубликовано 21.03.2018