Информационная безопасность электронных платежных систем

Электронные платежные системы являются важной частью как экономики современного государства, так и повседневной жизни граждан в осуществлении цифровых платежей разного вида. С их помощью обеспечивается мобильность, скорость, удобство и цифровая безопасность денежных средств в транзакциях, а также расширяются возможность внедрения инноваций в финансовые технологии. Поэтому предлагаем разобрать в статье тему информационной безопасности электронных платежных систем, их компонентов и процессов функционирования.

План статьи:

1. Понятие электронных платежных систем

2. Основные функции электронных платежных систем

3. Основные компоненты и структуры электронных платежных систем

4. Виды электронных платежных систем

5. Информационная безопасность электронных платежных систем: угрозы и защита

6. Основные угрозы безопасности для электронных платежных систем

7. Ключевые элементы системы информационной безопасности ЭПС

8. Хранилища данных в ЭПС: архитектура, регулирование и защита 

Понятие электронных платежных систем

Электронные платежные системы (ЭПС) — это специализированные программные и аппаратные продукты для проведения финансовых операций между сторонами через интернет или другие электронные каналы связи. 

Главная цель создания ЭПС: усовершенствование финансовых операций между сторонами (продавцами и покупателями товаров и услуг) через улучшение процессов хранения, передачи ценности и ее использовании, а также через отказ от физического посещения платежных организаций и традиционных наличных денег.

В контексте бизнеса использование ЭПС улучшает коммерческие отношения благодаря:

• автоматизации процесса оплаты и отказа от физического контакта, особенно актуального в постковидном мире;
• снижению количества операционных затрат на денежно-финансовое обращение;
• повышению безопасности процесса передачи средств из-за возможности применения цифровых технологий;
• снижению использования наличных средств и денежной массы;
• быстроте выполнения транзакций и возможность совершения операций 24/7;
• доступу к оплате товаров и услуг с помощью мобильных цифровых платежей;
• прозрачности платежей, поскольку все транзакции визуализированы и их история может быть отслежена.

Таким образом, электронные платежные системы являются важным элементом коммерции, поскольку обеспечивают автоматизацию платежных процессов и минимизацию операционных затрат, что, в свою очередь, делает покупки удобными и безопасными.

Недостатки ЭПС:

• зависимость от интернета и мобильной связи;
• комиссии за переводы и конвертацию;
• уязвимость к киберугрозам и мошенничеству;
• ограничения на использование в некоторых странах.

Основные функции электронных платежных систем

Рассмотрим, какие основные функции выполняют электронные платежные системы в обществе.

1. Прием и обработка платежей. Позволяет клиентам оплачивать товары и услуги с помощью электронных каналов.
2. Хранение денежных средств. В большинстве случаев ЭПС позволяют пользователям хранить деньги на виртуальных счетах или в электронных кошельках.
3. Переводы между счетами. Позволяют быстро переводить деньги между различными пользователями или компаниями в рамках одной системы.
4. Конвертация валют. Некоторые ЭПС предоставляют возможность конвертации средств в различные валюты.
5. Обеспечение безопасности платежей. В системы внедряют технологии шифрования и аутентификации для защиты личных данных пользователей и предотвращения мошенничества.

Основные компоненты и структуры электронных платежных систем

Для обеспечения безопасности ЭПС необходимо понимать структурную и процессуальную составляющую осуществления платежей с помощью цифровых средств. Это поможет создать более эффективную систему защиты информации и охватить все основные компоненты системы. ЭПС состоит из следующих компонентов:

Электронный кошелек. Это специализированное программное обеспечение, которое отображает имеющиеся средства пользователя, а также позволяет их хранить и управлять в цифровой среде без привлечения третьей стороны (сотрудников банка, техподдержки, консультантов и т. д.). Может быть представлен как в виде самостоятельных приложений (PayPal, Яндекс.Деньги, ЮMoney, QIWI), так и быть интегрированными в официальные мобильные приложения государственных и коммерческих банков (например, Райффайзен Банк, Альфа-Банк, Сбербанк Онлайн и др.).

Платежные шлюзы. Это инфраструктурные решения, которые обеспечивают обмен данными между покупателем, продавцом и банком, обслуживающими процесс передачи цифровых средств. Они выполняют роль связующего технического звена, между сайтом или приложением, где совершается покупка, и процессинговым центром банка, проверяя данные карты, подтверждая наличие средств и завершение платежа. Примерами могут являться PayAnyWay, Payler, Robokassa, Сбербанк Бизнес Онлайн, Яндекс.Касса и др.

Процессинговые центры. Эти центры отвечают за обработку данных о транзакциях и подтверждение успешности платежей. Процессинг включает в себя операции по проверке данных платежных карт (номера, срока действия, CVV-кода, статуса блокировки, лимитов и т. д.), авторизации платежа через запрос в банк-эмитент, по маршрутизации запросов, осуществлении клиринговых расчетов между участниками транзакции и др. функции. Примерами могут служить VisaNet (Visa), American Express Processing Network, ПРО100 (национальная система в РФ, ранее использовалась для карт «Мир»), Транскарт (российский процессинг) и др. процессинговые центры.

Важной функцией процессинговых центров является обеспечение безопасности транзакций через технологии шифрования и соответствие международным стандартам безопасности, таким как PCI DSS, EMV (Europay, Mastercard, Visa), ISO 8583, ISO 27001, PCI DSS (Payment Card Industry Data Security Standard) и др., чтобы исключить утечку или компрометацию данных.

Банковские системы и API. Современные ЭПС часто интегрируются с банками через специальные интерфейсы API, что позволяет пользователям производить оплату напрямую со своего банковского счета.

Службы безопасности и защиты данных. Основной целью этих компонентов является предотвращение мошенничества и защита конфиденциальности пользователей. Использование двухфакторной аутентификации, токенизации данных, SSL-шифрования и других методов безопасности стали стандартом для большинства ЭПС. 

Виды электронных платежных систем

Можно выделить несколько типов ЭПС, в зависимости от функциональности, уровню безопасности и используемой области.

Так, по функциональности можно выделить электронные платежные системы для денежных переводов между пользователями (типа Western Union, PayPal, Payoneer), для осуществления онлайн-оплаты (типа Stripe), для осуществления микроплатежей в небольших суммах (оплаты подписок на онлайн-контент и др.).

По используемой области можно выделить банковские (созданные и используемые официальными банками), небанковские (обслуживающие электронные кошельки), криптовалютные (для операций с криптовалютами, такими как Bitcoin, Ethereum и др.).

С точки зрения безопасности, ЭПС могут делиться на системы открытого и закрытого типа. ЭПС открытого типа — это когда платежи осуществляются без дополнительной верификации или через аккаунт, где уже подтверждена личность пользователя (например, оплата через Google Pay, Samsung Pay и др. типы).

Закрытые системы обеспечивают более высокий уровень безопасности, в отличие от открытых ЭПС, поскольку требуют от пользователя прохождения процедур верификации и аутентификации перед осуществлением каждой инициируемой транзакции. 

Информационная безопасность электронных платежных систем: угрозы и защита

Информационная безопасность электронных платежных систем — это комплекс мер и технологий, направленных на защиту данных и предотвращение несанкционированного доступа, хищений, мошенничества и кибератак. В условиях цифровизации и роста объема электронных финансовых операций вопросы безопасности становятся особенно актуальными, поскольку кибератаки могут не только привести к финансовым потерям, но и подорвать доверие пользователей к системе.

Для обеспечения информационной безопасности в ЭПС используются различные механизмы, которые объединены в комплексную систему защиты. 

Основные угрозы безопасности для электронных платежных систем

Поскольку основная среда существования ЭПС — это цифровое пространство, то и угрозы безопасности сконцентрированы во многом в этой области. Поэтому электронные платежные системы подвержены ряду специфических угроз ИБ, которые отличаются их от рисков информации других видов систем. Эти риски обусловлены особенностями работы с финансовыми данными и транзакциями, а также повышенным интересом киберпреступников к этим системам. Рассмотрим основные из них.

1. Мошенничество и кража данных платежных карт

Одним из наиболее распространенных рисков является мошенничество с использованием платежных банковских карт (кредитных и дебетовых). Злоумышленники могут получить доступ к данным карты через фишинг, скимминг (использование поддельных считывающих устройств) или заражение устройств вредоносным ПО. Полученные данные помогут обеспечить доступ к средствам без физического подтверждения личности владельца карты, а, значит, допуск прямой краже средств пользователя. 

2. Фишинг и социальная инженерия

Фишинг и социальная инженерия — один из основных способов похищения конфиденциальных данных в ЭПС, поскольку сами атаки целевые,  направлены на получение личных и платежных данных от самого пользователя. Злоумышленники очень изощренные и могут отправлять не только поддельные электронные письма, ведущие на веб-сайты, имитирующие известные платежные системы. Специфическим якорем для внимания пользователя может стать сообщение в мессенджере, вложенное фото, СМС и любая другая коммуникация, к которой открыт собеседник и которая позволит выманить данные для входа в платежные сервисы или оплаты картами.

Особенно опасны успешные атаки на доверенных пользователей: тех, которые имеют привилегированный доступ к информации. Если фишинговая атака направлена на высокопоставленного сотрудника или администраторов системы, это может привести к компрометации не только персональных данных конкретного человека, но и сбою всей системной безопасности платежей на уровне хранения информации в базе данных или управления платежами.

3. Атаки с использованием вредоносного ПО

Вредоносное программное обеспечение, такое как вирусы, трояны, кейлоггеры, шифровальщики и программы для перехвата информации, может быть использовано для кражи данных учетной записи пользователя или финансовой информации. Зараженные устройства пользователей незаметно перехватывают данные учетных записей, PIN-коды, данные платежных карт и пароли для аутентификации в системе платежей, что позволит мошенникам осуществить управление транзакциями в реальном времени.

4. Атаки с применением ботнетов и DDoS-атаки

DoS или DDoS-атаки направлены на то, чтобы перегрузить сервера платежной системы, делая ее недоступной для пользователей. В этом случае пользователи не смогут получить услугу по осуществлению транзакции своевременно. Кроме того, если такой тип атак фиксируется достаточно часто, то это негативно отражается на репутации банка, цифрового кошелька либо платежной системы, через которую отправляются транзакции. Пользователи расценивают такой недостаток как слабость и не доверяют свою конфиденциальную информацию и доступ к средствам таким сервисам. Также ботнеты, с помощью которых проводят DDoS-атаки, могут использоваться для рассылки вредоносного ПО по сбору данных или как прикрытие для других, более изощренных атак, например, для получения доступа к административным данным.

5. Атаки на протоколы безопасности

Атаки типа «человек посередине» и «человек в браузере» предполагают перехват данных между пользователем и сервером во время передачи информации в транзакции, что может быть осуществлено через незащищенные сети Wi-Fi либо использование вредоносного расширения браузера для перехвата данных.

Вред таких атак состоит в том, что злоумышленники могут получить доступ к личным данным пользователя и выполнить транзакцию от имени жертвы, изменяя суммы переводов или информацию по адресатам.

6. Утечка данных из-за недостаточной защиты хранилищ

Электронные платежные системы хранят огромные объемы данных о транзакциях, пользователях и их финансовых операциях. Это критически важная масса данных, очень ценная для эмитентов платежной системы, поскольку одновременно на этой информации базируется стабильность ее работы и фиксируются все статистические данные об операциях. Сегодня архитектура хранилищ ЭПС претерпела изменения и представлена в двух типах: централизованном (классическом хранении информации о клиентах, их банковских счетах, истории операций и реквизитах платежей) и децентрализованном (основанном на технологии блокчейн и распределительных реестрах).

7. Уязвимости в API и программных интеграциях

Для работы многие ЭПС используют открытые программные интерфейсы, необходимые для интеграции с другими сервисами (например, интернет-магазинами, банковскими системами). Однако такие интеграции увеличивают уязвимость системы, так как киберпреступники могут найти уязвимости в API и использовать их для доступа к платежным данным.

Специфический риск состоит в том, что нарушение безопасности может позволить злоумышленникам не только получить доступ к данным пользователей, но и проводить транзакции от их имени или даже выводить средства.

8. Внутренние угрозы и ошибки персонала

Человеческий фактор имеет место почти во всех сферах и также актуален в информационной безопасности ЭПС. Может представлять опасность недостаточная квалификация и обученность специалистов, нарушения правил безопасности сознательно или по невнимательности. Сотрудники могут также потерять, испортить, допустить кражу оборудования, что приведет к утечкам данных и компрометации системы.

Эффективным решением для защиты от внутренних угроз и ошибок персонала является DLP-система Falcongaze SecureTower. Так, с помощью этого программного комплекса можно своевременно обнаружить кражу оборудования, либо, что еще важнее, предотвратить передачу логина и пароля для авторизации в ЭПС.

9. Недостаточная защита мобильных платежей и устройств

Большой проблемой остается недостаточная защита мобильных устройств, поскольку они популярны и являются одним из самых актуальных средств связи в современности. В отличие от стационарных устройств они могут стать целью кибератак со стороны мошенников, особенно с учетом роста количества мобильных платежей через смартфоны. Проблема мобильных устройств может быть представлена недостатком регулярных обновлений программного обеспечения, использованием небезопасных сетей (например, общедоступного Wi-Fi) либо скачиванием вредоносного ПО по фишинговой ссылке.

Злоумышленники могут перехватить данные учетных записей через эти уязвимости, что приведет к потенциальным потерям для пользователя и системы.

10. Ошибки и уязвимости в программном обеспечении и инфраструктуре

Ошибки и уязвимости в программном обеспечении на оборудовании, используемом в платежных системах, могут  позволить злоумышленникам получить контроль над транзакциями, хранилищем данных, системой управления доступом или базой данных пользователей.

Самые распространенные ошибки возникают из-за:

• устаревшего программного обеспечения;
• отсутствия или плохой реализации шифрования данных в каналах связи;
• использования нелицензированного ПО;
• уязвимости веб-приложений, через которые предоставляются услуги для пользователей;
• заражения вредоносным ПО, которое копирует данные карт, такие как номера, PIN-коды и CVV, платежных POS-терминалов;
• использования бэкдоров в оборудовании, оставленными злоумышленниками на этапе производства;
• уязвимости в NFC и бесконтактных технологиях, где система защиты и уровень шифрования значительно ниже классического типа оплат;
• отсутствия аудита безопасности программного обеспечения и оборудования;
• использования шаблонных или слабых паролей для доступа к администрированию оборудования, что также открывает путь к компрометации системы.

Ключевые элементы системы информационной безопасности ЭПС

Исходя из рассмотренных угроз ЭПС, можно выбрать несколько путей защиты передаваемой через них информации. Для противодействия вышеуказанным угрозам разработаны различные меры.

Шифрование данных

Наверное, это одно из основных технологических решений, используемых для обеспечения информационной безопасности электронных платежных систем. Это базовый элемент защиты, используемый для предотвращения доступа третьих лиц к конфиденциальной информации за счет преобразования ее в нечитабельный код, понять который без ключа-дешифратора невозможно. Как правило, используется два типа шифрования.

1. Через SSL/TLS-протоколы между пользователем и сервером для шифрования всего трафика.
2. Через шифрование «от отправителя до получателя», что обеспечивает защиту данных на протяжении всего пути от пользователя к серверу ЭПС.

Аутентификация и идентификация пользователей

Аутентификация — это процесс проверки подлинности пользователя через ввод правильного логина и пароля, в то время как идентификация направлена на точное установление его личности. Дополнительными факторами для подтверждения личности могут стать такие действия.

1. Двух- или многофакторная аутентификация, которая включает несколько дополнительных факторов проверки, таких как пароль, пуш- или смс-уведомление, что снижает вероятность того, что учетная запись будет взломана.
2. Аутентификация через использование уникальных биометрических данных, таких как отпечаток пальца или распознавание лица.

Токенизация для защиты персональной информации пользователя.

Защита от мошенничества (антифрод)

Системы защиты от мошенничества, или антифрод-системы, используют алгоритмы и модели машинного обучения для анализа поведения пользователя в сети, исследования осуществляемых транзакций и выявления подозрительных операций. Показателями могут стать отклонения в транзакциях от привычного поведения пользователя, нарушения географических ограничений на транзакции, проводимые в определенных регионах, где часто происходят мошеннические действия, превышение лимитов на операцию.

Установка защиты от DoS и DDoS-атак

DoS и DDoS-атаки направлены на вывод системы из строя путем переполнения серверов огромным количеством запросов. Для защиты может использоваться система фильтрации трафика, использование резервного копирования либо установка экранов и межсетевых барьеров (файрволов), которые позволяют блокировать трафик с подозрительных IP-адресов и определенных географических регионов.

Управление доступом и правами

Также одним из классических способов защиты информации является определение круга доверенных лиц, имеющих возможность получить доступ к охраняемым данным, а также разграничение ролей внутри этого круга. Самая популярная модель последних лет — Zero Trust, модель нулевого доверия, когда все доверенные пользователи априори считаются источниками угрозы и их права ограничиваются максимально.

Защита мобильных платежей

Доля мобильных платежей значительно выросла. В 2014 году объем транзакций через мобильные устройства составлял около 450 миллиардов долларов, а в 2023 году он превысил 2,4 триллиона долларов, что демонстрирует рост более чем в пять раз. Кроме того, количество пользователей мобильных кошельков увеличилось с нескольких сотен миллионов до более чем 1,48 миллиарда по всему миру, особенно после пандемии, которая ускорила внедрение этих технологий.

Мобильные приложения ЭПС должны использовать шифрование данных для защиты информации, технологии привязки аккаунта пользователя к конкретному устройству (например, путем регистрации устройства или IP-адреса) и геолокации, возможность дистанционного блокирования в случае утери устройства.

Комплексный подход к информационной безопасности

В обеспечении информационной безопасности платежных систем необходимо задумываться не только о специфических инструментах защиты, но и использовать классические подходы.

• Политики безопасности на предприятии, представленные в виде свода внутренних правил поведения для сотрудников. 
• Обучение сотрудников. Тренинги по основам информационной безопасности, предотвращению фишинговых атак и другим важным темам.
• Регулярные тестирования и аудит безопасности. Включают тесты на проникновение, внутренние проверки безопасности и аудит по защите данных.
• Оповещения и уведомления. Пользователи информируются о подозрительных операциях и могут немедленно заблокировать доступ при подозрении на взлом.

Хранилища данных в ЭПС: архитектура, регулирование и защита

Хранилища данных в электронных платежных системах (ЭПС) включают централизованные базы для хранения информации о клиентах, их счетах и операциях, а также децентрализованные решения на основе блокчейн, повышающие безопасность и прозрачность. Безопасность хранилищ данных критична для сохранения доверия пользователей, предотвращения финансовых и репутационных потерь, а также соблюдения нормативных требований. Утечки данных могут привести к значительным штрафам, нарушению работы систем и ущербу клиентам.

Работа хранилищ данных регулируется международными стандартами, такими как PCI DSS, обеспечивающий защиту данных платежных карт, и GDPR, регулирующий обработку персональных данных в ЕС. В России действует Федеральный закон №152-ФЗ и инструкции Центробанка по защите информации.

Основными угрозами остаются кибератаки, ошибки или злоумышленные действия сотрудников и устаревшие технологии, требующие модернизации для эффективной защиты данных.

Заключение

Электронные платежные системы являются важной составляющей цифровой экономики, и их значимость продолжает расти в условиях глобальной цифровизации. Благодаря удобству, скорости и безопасности, они находят применение в самых разных сферах — от онлайн-торговли до P2P-переводов. Развитие электронных платежных систем способствует интеграции технологий блокчейна, внедрению биометрических методов защиты и поддержке операций с криптовалютами.