Журнал «Компьютерра» N 27-28 от 25 июля 2006 года

ОПЫТЫ:Тайна третьей полоски

Автор: Don_Pedalis

Наверняка каждый из вас натыкался в Интернете на ненавязчивую рекламу сайтов, где абсолютно новые и пользующиеся спросом товары, вроде ноутбуков, мобильных телефонов, КПК, а иногда и автомобилей, продаются за 30-40% от привычной цены.

Сайты эти обычно не могут похвастать изысканным дизайном, живут недолго, имеют чрезвычайно странные и незапоминающиеся адреса. А в качестве объяснения столь привлекательных цен фигурирует загадочное слово «кардинг» - то есть все товары якобы покупаются по ворованным кредиткам, а потому расстаться с ними надо как можно быстрее. Сегодня я расскажу, почему все обещания в девяноста девяти процентах случаев оказываются чистой воды мошенничеством, в чем смогли убедиться те из вас, кто соблазнился и выслал деньги в адрес владельцев подобных сайтов.

Для начала поговорим о кредитных карточках, которые так лихо воруют кардеры. На кусочке пластика, кроме красивых логотипов и голограммы одной из платежных систем, мы увидим длинный загадочный номер и магнитную полосу. Чтобы сделать покупку с помощью кредитки в реальном мире, достаточно провести магнитной полоской по приемному окошку считывающего устройства. На полоске записаны три трека. Первый и второй несут одинаковую информацию и отличаются лишь тем, что на первом дополнительно закодированы фамилия и имя владельца, а также срок действия карты. Третий трек был прекрасной задумкой и должен был, по идее, содержать сведения о последней покупке владельца кредитки. К сожалению, ничего записывать туда пока не начали, да и вряд ли когда-нибудь начнут. Дело в том, что банкоматы и прочие подобные устройства информацию с кредиток только считывают, а записать ничего не могут, для этого их нужно переоборудовать. Представляете, какие это затраты? Когда информация с магнитной полосы считана, в банк, выдавший кредитку, поступает запрос на снятие со счета клиента нужной суммы, и если указанная сумма на счете имеется, то операция заканчивается успешно. В некоторых системах (например, Maestro) для подтверждения легитимности операции требуется ввести PIN-код. Таким образом, информация о количестве денег, которые можно получить, пользуясь конкретной кредиткой, в самой кредитке отсутствует. И это - главная проблема для мошенников.

Другое дело, если вы совершаете покупку с помощью кредитки в интернет-магазине. Здесь, разумеется, нет возможности считать данные с магнитной полосы, поэтому при регистрации необходимо указать тот самый «длинный загадочный» номер, срок действия кредитки и имя владельца. В последнее время некоторые интернет-магазины стали требовать введения всяких мифических CVV- и PVV-кодов, о которых нормальный пользователь и слыхом не слыхивал. Они содержат в зашифрованном виде информацию: первый - с магнитного трека кредитки, второй - о PIN-коде, и служат еще одним подтверждением того, что кредиткой пользуется ее хозяин. Узнать эти коды можно в банке.

Таким образом, кардеры делятся на две большие категории - тех, кто осуществляет операции по ворованным кредиткам в реальном мире, и тех, кто делает это через Интернет.

Для покупки в реальном мире нам нужна собственно кредитная карточка. Сначала мошенники воруют информацию, записанную на магнитной полосе кредитки. Обычно в одном из магазинов, принимающих оплату кредитками, появляется нечистый на руку работник, который вооружен «усовершенствованным» устройством для считывания информации с вашего пластика. Вы протягиваете ему кредитку, он проводит ею по считывающему устройству… и вы благополучно оплатили заказ, однако копия информации, имеющейся на магнитной полосе, сохранилась в считывающем устройстве мошенника. В дальнейшем эта информация, именуемая в среде кардеров дампом, будет многократно перепродана. Еще не забывайте, что в некоторых магазинах и ресторанах принято отдавать кредитку продавцу или официанту, которые куда-то уходят с нею, а вы продолжаете заниматься своими делами. Потом кредитку вам, конечно, возвращают, но заодно могут снять с нее информацию и даже сфотографировать.

Скопировав данные с магнитной полосы кредитной карточки, мошенники связываются (как правило, через Интернет) с людьми, изготавливающими нелегальные кредитки. Здесь бывает два варианта. В первом случае изготавливается «белый пластик» - то есть просто кусок пластмассы с магнитной полоской, соответствующий по размерам кредитной карточке. Он пригоден только для снятия денег через банкомат. Во втором случае имитируется и внешний вид кредитки, и тогда подделкой уже можно расплачиваться в настоящем магазине. Впрочем, с получением наличных не все гладко: банкоматы оборудованы видеокамерами, да и без PIN-кода никто вам денег не выдаст. В магазине же на камеру не снимут и PIN-код, скорее всего, не попросят, - но там в руки мошеннику попадает товар, который надо еще сбыть. Однако в случае с магазином нужно обязательно быть уверенным, что кредитка все еще не заблокирована, а также неплохо бы знать остаток средств на счете, чтобы не попасть впросак с суммой покупки. Иначе у мошенника могут возникнуть проблемы, и его обязательно запомнят. Поэтому приходится привлекать еще одного человека - так называемого чекера, в чьи обязанности входит проверка кредитки на ликвидность и определение количества денег на счете непосредственно перед покупкой в магазине.

Итак, список участников операции по обналичиванию ворованной кредитки в реальном мире выглядит следующим образом: организатор (берет на себя координацию), нечестный продавец (добывает информацию о кредитке), изготовитель копии кредитки, чекер, покупатель.

В онлайновом мире все проще. В последнее время уже никто не добывает информацию о кредитках и их владельцах, взламывая буржуинские интернет-магазины. Вместо этого кардеры заводят собственные магазины, казино, порносайты, а был один случай, когда охотники до чужих карточек даже предоставляли хостинг. Причем все это нормально функционирует и приносит неплохую прибыль. Просто иногда у клиентов подобных сервисов куда-то деваются деньги с кредитных карточек, а если клиенты что-то и заподозрят - можно раструбить на весь мир об очередном хакерском взломе системы безопасности магазина, в которой использовались технологии от Microsoft. Именно поэтому рекомендуется регистрироваться только в проверенных сетевых магазинах и казино. А платные порносайты лучше обходить за версту.

Однако перед мошенниками, добывшими реквизиты кредитных карточек через Интернет, встает другая проблема - обналичить деньги. Самый простой и, казалось бы, легкий способ состоит в регистрации по этим карточкам в проверенных интернет-магазинах при покупке легкореализуемых вещей (тех же мобильных телефонов, ноутбуков, КПК). Но при регистрации нужно указывать реквизиты настоящего владельца кредитки. Соответственно и купленный товар будет отправлен по его адресу. Существуют сложные схемы обхода этого правила, когда на сцену выходят новые действующие лица - так называемые дропы - то есть люди, получающие товар на свой адрес, а затем пересылающие его мошеннику. И еще: может статься, что настоящий владелец кредитки уже зарегистрирован в этом магазине - естественно, с другим логином и паролем. Да и дураки, желающие быть дропами, за границей уже перевелись.

Впрочем, есть способы получить деньги с ворованной кредитки, минуя стадию приобретения и перепродажи товара. Для этого мошенник, например, регистрируется на eBay.com в качестве продавца, выставляя на продажу какой-нибудь пользующийся спросом товар. Затем он же регистрируется как покупатель, но уже под реквизитами реального владельца кредитки. Далее в напряженной борьбе с реальными людьми мошенник-покупатель выигрывает аукцион, давая самую высокую цену за товар мошеннику-продавцу (деньги-то не его, так что за ценой он, как говорится, не постоит). Покупка оплачивается кредиткой, товар, конечно, никуда не отправляется, но покупатель и продавец обмениваются положительными отзывами, что вроде бы подтверждает легитимность сделки. Аукцион eBay постоянно борется с подобными видами мошенничества, но все, что можно сейчас сделать, - это ограничить разовую прибыль мошенников и усложнить процесс получения денег, чтобы настоящий владелец кредитки мог успеть обнаружить пропажу. Так что до победы здесь еще далеко. Этот вид мошенничества является одним из самых труднодоказуемых.

Как видим, при использовании онлайнового способа обналички ворованных кредиток цепочка вовлеченных в преступную деятельность гораздо короче. Иногда это вообще может быть один человек.

Наши правоохранительные органы добились немалых успехов в борьбе с кардерами, занимающимися операциями с кредитками в реальном мире. Слишком уж велико число участников, которых необходимо привлечь для нормального функционирования механизма. Думаю, не выдам большой тайны, если скажу, что в настоящее время большинство изготовителей поддельных кредиток, а также самые надежные чекеры либо работают под покровительством отечественных государственных структур с названием из трех букв, либо вообще являются их штатными сотрудниками. Так что, как только приходит заказ на изготовление поддельной кредитки, за инициатором этого заказа начинается слежка. Сразу преступника не задерживают - стараются выявить всю группу. Слишком много следов ее деятельности остается - денежные переводы за услуги, получение посылок (с кредитками) по почте или через проводников на ЖД-транспорте и т. д. С пострадавшими владельцами кредиток, как правило, даже не связываются, выходят непосредственно на банк-изготовитель карточки и выясняют, где ее хозяин осуществлял платежи в последнее время. Ну а самих «покупателей» по чужой карточке могут задержать в последний момент - когда они расплачиваются за покупку.

В моей практике было несколько подобных дел, все преступники быстро становились известны, доказательств их деятельности тоже хватало. Правда, некоторые из них все еще «в бегах», есть даже рекордсмен, скрывающийся уже около двух лет, но и его, думаю, рано или поздно настигнет карающая дубина правосудия. Вообще же раскрытие подобных преступлений, из-за зрелищности, очень любит освещать пресса.

С интернет-кардерами борьба тоже идет постоянно, но не так успешно и захватывающе. Как я говорил, здесь в основном работают одиночки, почти не оставляющие следов и не трубящие на весь мир о своих успехах. Они не имеют никаких проблем с реквизитами кредитных карт, им не надо их изготавливать, зачастую многие банки предоставляют услуги по онлайновой проверке количества денег на кредитке. Единственная проблема здесь - деньги обналичиваются не так быстро. И сколько бы промежуточных счетов преступник ни завел, все равно ему где-то нужно ввести свои реальные реквизиты, на которые и будут поступать деньги либо товар. В современном мире, в отличие от кинематографа, чтобы проследить подобную цепочку и выйти на ее конечное звено, правоохранительным органам требуется несколько минут. Главное - своевременное заявление пострадавшего, а единственная проблема - доказать, что реальный владелец кредитки действительно не покупал этот товар на eBay, не регистрировался в данном интернет-магазине и не покупал там товар, не пользовался услугами данного платного порносайта и т. д.

С этой целью правоохранительные органы обычно изымают компьютеры мошенника и жертвы и назначают компьютерно-техническую экспертизу. Эксперт внимательно изучает информацию. Учитывается все - логины, пароли доступа и время выходов в Интернет, какие сайты посещались, какие файлы остались во временных папках… В результате, сопоставляя добытые сведения с банковскими данными о снятии денег с кредитки, как правило, легко удается вычислить, кто мошенник, а кто жертва.

Как видите, жизнь кардера не так уж легка, беззаботна и хлебна. Схемы, в которых фигурирует скупка товара по краденым кредиткам с последующей его перепродажей за 30-40% стоимости, сложны, неприбыльны, а потому постепенно сходят на нет. Вместо них преступники предпочитают сразу обналичивать деньги или жить на проценты от расходов привлеченных на порносайты и интернет-казино клиентов, которыми не по своей воле становятся несчастные владельцы кредиток.

Теперь вы владеете необходимым минимумом знаний об интернет-кардинге, и я надеюсь, что когда на ваш электронный почтовый ящик придет очередная реклама очередного чудо-"кардинг-магазина", то преступникам будет не так просто выманить ваши честно заработанные деньги.

А если они заработаны не очень честно… Что же, не мне, сотруднику правоохранительных органов, давать вам советы в этом случае.