Скиминг, фишинг, спуфинг – новите думи на новите престъпления

Високите технологии създадоха нови предизвикателства при разследването на случаите на кражби на идентичност. Фактическата анонимност при общуването в интернет и извършването на транзакции прави трудно разследването и доказването на измами, свързани с кражба на идентичност. Това беше темата на презентация на Дарина Димова-Обретенова, началник сектор “Престъпления срещу финансово-кредитната система и застраховането” в отдел “Икономическа полиция” при Главна дирекция “Противодействие на престъпността, опазване на обществения ред и превенция” към МВР. Представянето беше направено в рамките на IDC IT Security Roadshow, което се проведе с медийното партньорство на Investor.bg.

Все по-сериозен става проблемът със „скимирането“ на карти при ползването на банкомат, посочи Обретенова. Скимиращите устройства копират данните от магнитната лента на банковата карта и ги записват на друга карта, която е евтин къс бяла пластмаса, имитираща размерите на картите. Пренесената информация може да се ползва на банкомати, които не изискват друга идентификация, освен въвеждането на пин код, който вероятно също вече се знае от престъпниците. Скимиращите устройства стават все по-модерни, каза Обретенова и посочи за пример скимиращо устройство, свързано с mp3-плейър, което било демонтирано преди 2 седмици от банкомат у нас.

Неправомерният достъп до бази данни също е сериозен проблем – всяка година се случва да хакват бази данни на компании, които съдържат информация за банкови сметки. През 2005 г. бяха компрометирани данните на голям брой карти, като компанията трябваше да информира всеки клиент да не ползва картата си и да я подмени, посочи Обретенова.

Много трудно се разследва и доказва събирането на данни чрез т. нар. фишинг и спуфинг.

При фишинга се изпраща съобщение от името на съществуваща компания, която подканва получателя да предостави лични данни. Въпреки че хората знаят за явлението, голяма част от тях продължават да се доверяват на тези съобщения. Изследване на Харвардския университет, при което 6 фишинг съобщения са изпратени на технически грамотни и добре информирани потребители, сочи, че едно от съобщенията заблуждава 90% от тях. Причината за това е, че хората нямат нагласата да оглеждат внимателно за сигурността, която трябва да бъде вградена в съобщението. Освен това фишинг съобщенията подтикват потребителя да действа сравнително бързо и получателите не отделят време за проверки.

Спуфинг е създаването на фалшив сайт, който имитира в детайли истинския на съществуваща компания. Много пъти фишингът насочва към такъв сайт, където да бъдат въведени съответните данни. Освен това фишинг съобщенията може да инсталират и злонамерен софтуер за прихващане на пароли и друга информация. Вече се появяват и фишинг съобщения, които се обръщат лично към получателя със собствено или фамилно име.

Съществува и вторичен пазар на данни за идентичността, каза Обретенова. По думите й данните на около 10 хил. кредитни карти се продават между 1 000 и 5 000 долара, като се обменят цели пакети данни.

Най-честите престъпления чрез изграждане на фалшива самоличност са източване на сметки, откриване на сметки за мобилни телефони, заемане на пари, регистриране на дружества, получаване на лизинг за автомобили, имоти и подобни, разказа Обретенова.

Извършителите на този тип престъпления са далеч от класическата мафиотска структура – те са в групи без ясна връзка и без да се познават лично. Разпръснати са из целия свят, като общуват в специални чат стаи. Взаимодействието се извършва на търговски принцип – необходимите за престъплението данни се купуват и продават.

Обретенова описа три вида защити от кражба на идентичност – технически (чрез пароли, ползването на firewall, криптиране на данни и пр.), административно-организационен (пропусквателен режим, с ограничение на достъпа) и законов, който цели да промени законодателството и неговото прилагане по начин, който да намали мотивацията за опити за атака.

Приемането на самоличност на несъществуващо лице или представянето под чуждо име със или без съгласието на лицето сами по себе си не са престъпления, но стават такива, когато се ползват с цел финансова облага.

Идентичността се състои от три основни компонента – рождена идентичност (данни в документи, издадени още при раждането – име, ЕГН), биографична (формирана от обществения живот на човек – училище, работа) и биометрична (уникалните телесни характеристики на всеки). Сърдечният ритъм например е уникален, каза Обретенова и уточни, че чрез него може да се установяват кражби на идентичност. Класическите кражби в САЩ и Япония много често включват подмяна и на трите компонента. У нас засега все още не са регистрирани такива случаи.

Основните принципи за установяване на самоличността са отговорите на три въпроса – какво притежаваш (лична карта, кредитна карта), какво знаеш (номер на банковата си сметка, пин код, моминското име на майка си) и какво си ти (физическите характеристики).

Средствата за установяване на самоличността включват отговорите на горните три въпроса – представяне на документи за самоличност, установяване на знания за определени данни и проверка на физически съответствия. Правят се и експертизи, проверки с технически средства и справки с централна база данни.

Класическите методи за кражба на идентичност включват подправяне на истински документи за самоличност, изготвяне на неистински документи за самоличност, както и използване на откраднати истински документи, което е възможно при наличието на известна физическа прилика.

Предпазването от кражба на идентичност предполага висока степен на защита на документите, обучение на лицата, работещи с документите и техническите средства и осведоменост на обществеността.

Още по темата:

Най-активните киберпрестъпници са от Централна и Източна Европа