Наталья Ахтырская, кандидат юридических наук, доцент Crime-research.ru Способы хищений в банковских информационно-вычислительных системах Под способом хищений в информационных системах банков будем понимать совокупность приемов и средств, обеспечивающих умышленный несанкционированный доступ к банковским информационным ресурсам и технологиям, которые позволяют совершить модификацию хранимой банковской информации в целях нарушения отношений собственности, выразившемся в противоправном изъятии денежных средств или обращении их в пользу других лиц. Известные на сегодня способы отличаются значительным и постоянно расширяющимся многообразием. Это обусловлено как сложностью самих средств компьютерной техники, так и разнообразием и постоянным наращиванием выполняемых информационных операций, многие из которых отражают движение материальных ценностей, финансовых и денежных средств. По своей криминалистической сущности такого рода умышленные действия являются преступлением с четко выраженными этапами развития преступной деятельности. Они отличаются друг от друга по характеру действий и степени завершенности криминального деяния. Такое деление на стадии необходимо для правильной правовой оценки совершенного преступления. Можно выделить три таких стадии. Приготовление к преступлению. На этой стадии идет поиск, покупка, получение на время или хищение орудий преступления в виде компьютера, модема и пр. (приискание средств и орудий совершения преступления); написание специальной программы, позволяющей преодолеть защиту банковских сетей (изготовление и приспособление средств совершения преступления), сбор информации о клиентах банка, системе защиты, подбор паролей, преодоление системы защиты от несанкционированного доступа к данным и компьютерной информации (Умышленное создание условий для совершения преступления). Покушение на преступление. На этой стадии путем манипуляции данными, хранящихся в памяти банковской информационной системы, и ее управляющими программами организуется несанкционированное движение денежных средств в пользу злоумышленника или третьего лица, маскируются следы преступления. Эти две стадии составляют предварительную преступную деятельность (неоконченное преступление), которая совершается до окончания преступления и для его осуществления. Окончание преступления. Это заключительная стадия, когда завершены все несанкционированные транзакции и злоумышленник имеет возможность воспользоваться плодами своего преступного деяния. Основными приемами совершения преступления является: - изъятие средств вычислительной техники (СВТ), которое производится в целях получения системных блоков, отдельных винчестеров или других носителей информации, содержащих в памяти установочные данные о клиентах, вкладчиках, кредиторах банка. Такие действия могут осуществляться путем хищения, разбоя, вымогательства и сами по себе содержат состав преступления обычных, «некомпьютерных» преступлений; - перехват (негласное получение) информации служит для получения определенных сведений о клиентах, вкладчиках, кредиторах банка. Он может осуществляться с использованием методов и аппаратуры аудио-, визуального и электромагнитного наблюдения. Объектами, как правило, являются каналы связи, телекоммуникационное оборудование, служебные помещения для проведения конфиденциальных переговоров, бумажные и магнитные носители (в том числе и технологические отходы); - несанкционированный доступ к средствам вычислительной техники, т.е. активные действия по созданию возможности распоряжаться информацией без согласия собственника, что осуществляется с использованием следующих основных приемов: 1) «за дураком» - физическое проникновение в производственные помещения: злоумышленник ожидает у закрытого помещения, держа в руках предметы, связанные с работой на компьютерной технике (элементы маскировки), пока не появится кто-либо, имеющий легальный доступ в него, затем остается только войти внутрь вместе с ним или попросить его помочь занести якобы необходимые для работы на компьютере предметы. Другой вариант – электронное проникновение в СВТ – подключение дополнительного компьютерного терминала к каналам связи с использованием шлейфа «шнурка» в тот момент времени, когда законный пользователь кратковременно покидает свое рабочее место, оставляя свой терминал или персональный компьютер в активном режиме; 2) «за хвост» - злоумышленник подключается к линии связи законного пользователя и терпеливо дожидается сигнала, обозначающего конец работы, перехватывает его на себя, а потом, когда законный пользователь заканчивает активный режим, осуществляет доступ к банковской системе; подобными свойствами обладают телефонные аппараты с функцией удержания номера, вызываемого абонентом; 3) «компьютерный абордаж» - злоумышленник вручную или с использованием автоматической программы подбирает код (пароль) доступа к банковской системе с использованием обычного телефонного аппарата; 4) «неспешный выбор» - злоумышленник изучает и исследует систему защиты от НСД, используемую в банковской компьютерной системе, ее слабые места, выявляет участки, имеющие ошибки или неудачную логику программного строения, разрывы программы (брешь, люк) и вводит дополнительные программы, разрешающие доступ; 5) «маскарад» злоумышленник проникает в банковскую компьютерную систему, выдавая себя за законного пользователя с применением его кодов (паролей) и других идентифицирующих шифров [1]; 6) «мистификация» - злоумышленник создает условия, когда законный пользователь банковской системы осуществляет связь с нелегальным терминалом, будучи абсолютно уверенным в том, что он работает с нужным ему законным абонентом. Формируя правдоподобные ответы на запросы законного пользователя, и поддерживая его заблуждения некоторое время, злоумышленник добывает коды (пароли) доступа или отклик на пароль; 7) «аварийный» - злоумышленник создает условия для возникновения сбоев или других отклонений в работе СВТ банковской компьютерной системы. При этом включается особая программа, позволяющая в аварийном режиме получать доступ к наиболее ценным данным. В этом режиме возможно «отключение» всех имеющихся в банковской компьютерной системе средств защиты информации, что облегчает доступ к ним злоумышленника. Асинхронная атака является одним из приемов подготовительного этапа к совершению преступления. Злоумышленник, используя асинхронную природу операционной системы, заставляет работать банковскую компьютерную систему при ложных условиях, из-за чего управление обработкой частично или полностью нарушается. Эта ситуация используется для внесения изменений в операционную систему, причем эти изменения не будут замечены. Моделирование – это наиболее сложный и трудоемкий прием подготовки к совершению преступления. Злоумышленник строит модель поведения банковской компьютерной системы в различных условиях и на основе изучения организации движения денежных средств оптимизирует способ манипуляции данными. Например, в нескольких сторонних банках открываются счета на незначительные суммы, моделируется ситуация, при которой деньги переводятся из одного банка в другой и обратно с постепенным увеличением сумм. В ходе анализа выявляются условия, при которых: а) в банке обнаружится, что поручение о переводе не обеспечено необходимой суммой; б) когда в банк необходимо прислать извещение из другого банка о том, что общая сумма покрывает требование о переводе; в) сколько циклов это нужно повторять, чтобы на нужном счете оказалась достаточная сумма, и число платежных поручений не оказалось подозрительным. Подмена данных используется непосредственно для обращения денежных сумм в свою пользу и представляет собой прием модификации информации, при котором злоумышленником изменяются или вводятся новые данные (как правило, на этапе ввода-вывода информации) для приписывания банковскому счету «чужой» истории. «Троянский конь» («матрешка», «черви», «бомба») также служит непосредственно для обращения чужих денег в свою пользу [2]. Это такая манипуляция, при которой злоумышленник тайно вводит в прикладное программное обеспечение банковской компьютерной системы специальные программные модули, обеспечивающие отчисление на заранее открытый подставной счет определенных сумм с каждой банковской операции или увеличение суммы на этом счете при автоматическом пересчете гривневых остатков, связанных с переходом к коммерческому курсу соответствующей валюты. Все манипуляции с данными, а также начало бухгалтерских операций с ними производится и контролируется этим программным модулем в определенный заданный момент времени и при стечении благоприятных для злоумышленника обстоятельств. «Салями» - оригинальная электронная версия методов изъятия лишних денежных средств в свою пользу. При использовании этого метода злоумышленник так же, как и в предыдущем случае, «дописывает» прикладное программное обеспечение банковской компьютерной системы специальным модулем, который манипулирует с информацией, перебрасывая на подставной счет мелочи (результат округления при осуществлении законных транзакций), которая на бухгалтерском сленге называется «салями». Расчет построен на том, что отчисляемые суммы столь малы, что их потери практически незаметны, а незаконное накопление суммы осуществляется за счет суммы совершения большого количества операций. Особое место занимают методы, которые используются злоумышленниками для сокрытия следов преступления. Эти действия вряд ли можно квалифицировать по статьям Уголовного кодекса, однако они направлены на то, чтобы злоумышленник смог воспользоваться плодами своего неблагородного труда. Эти моменты важны при оценке завершенности совершенного преступления. Вот описание некоторых из них. Дробление денежных сумм – злоумышленник делит полученные в результате несанкционированных манипуляций с банковской информацией денежные суммы на неравные долевые части с зачислением на корреспондентские счета сторонних банков, в которых можно было бы снять переведенные суммы наличными. Переброска денежных средств – злоумышленник организует перевод полученных денежных сумм по счетам различных клиентов банка, прогоняет их по цепочкам счетов и в результате затрудняет возможность определения истинного происхождения денег. Далее, когда «концы» потеряны, эти суммы можно использовать по своему усмотрению. «Бухинг» (организация электронного блокирования) – банковская компьютерная система блокируется одновременной «атакой» несанкционированного доступа большим количеством злоумышленников (сообщников злоумышленника) со своих персональных компьютеров из различных регионов. Они организуют прикрытие одной основной незаконной транзакции огромным количеством фиктивных платежных поручений, которые затрудняют определение истинных путей утечки денежных средств. Общее положение дел таково, что расследование таких преступлений ведется лишь сотрудниками отделов по борьбе с экономической преступностью, не имеющих соответствующей специализации и необходимых познаний в области компьютерной техники. На наш взгляд, настало время создания института независимых экспертов в области создания и эксплуатации средств защиты информации, а также обработки банковской информации. Только они смогут дать квалифицированный ответ о механизмах совершения преступлений данного плана. И в этой связи стоит упомянуть о том, что здесь основная проблема не в отсутствии таких экспертов, а в отсутствии механизма их привлечения к судебной экспертизе и преодолении некоторой отсталости следователей в этой проблеме. Кроме того, необходимо отметить, что преступления такого характера носят, как правило, латентный характер, что обусловлено самим механизмом похищения денежных средств с использованием «дыр» операционного обеспечения. И в силу этого обстоятельства особую роль приобретает процесс профилактики таких преступлений и пресечения их на этапе подготовки. А здесь важно определить подготовку преступления по косвенным признакам. На практике сложилась ситуация, которая существенно затрудняет возможность обнаружения преступления и полного сбора доказательств. Существует много таких признаков. К ним относятся [3]: - хищение носителей информации; - ненормальный интерес некоторых лиц к содержимому мусорных емкостей (корзин, банков и т.д.); - совершение необоснованных манипуляций с ценными данными, например, частый перевод денежных средств с одного счета на другой, наличие нескольких счетов у одного лица, проведение операций с задержкой подтверждения соответствующими бумажными документами и т.д.); - нарушение законного (нормального) режима функционирования компьютерных систем; - проявление вирусного характера; - необоснованная потеря значительных массивов данных; - необоснованное нахождение в помещениях посторонних лиц, включая неплановый технический осмотр помещений банка, оборудования, различных средств систем жизнеобеспечения представителями обслуживающих и контролирующих организаций; - нарушение правил ведения журналов рабочего времени компьютерных систем (исправление в них записей, отсутствие некоторых записей или их фальсификация); - необоснованные манипуляции с данными без серьезных на то причин (перезапись, замена, изменение, стирание), либо данные не обновляются своевременно по мере их поступления (накопления); - появление на ключевых документах поддельных подписей либо отсутствие ее вообще; - появление подложных либо фальсифицированных документов или бланков строгой отчетности; - особый интерес некоторых сотрудников банка без видимых на то оснований к работам сверхурочно, проявление повышенного интереса к сведениям, не относящимся к их непосредственной деятельности, либо посещение других подразделений и служб банка; - возражение либо высказывание со стороны какого-либо сотрудника открытого недовольства по поводу осуществления контроля за их деятельностью; - многочисленные жалобы клиентов. Выход из этого положения может быть только один: эффективная борьба с преступниками при тесном взаимодействии трех групп специалистов правоохранительных органов (следователей, экспертов), персонала банка (специалистов в области банковских технологий) и специалистов в области защиты информации.
