Безопасность карточного бизнеса : бизнес-энциклопедия - А. Алексанов

Рассмотрим проведение мошеннических операций без присутствия карты. Если эквайрер блокирует проведение операций, например, из определенной доменной зоны, то такие попытки эмитенту видны не будут. Так, до недавнего времени сервисы PayPal были недоступны для россиян, фильтрация запросов происходила на основе анализа IP адреса клиента, но с конца 2006 г. ситуация изменилась. Если же клиент попадает на электронную страницу магазина, содержащего логотипы МПС, реквизиты его карты должны быть приняты к оплате по правилам МПС.

В случае принятия реквизитов к оплате банк-эквайрер должен обслужить операцию, за исключением случая неподдержки эмитентом схемы 3D Secure при одновременной ее поддержке эквайрером. Эквайрер, применяющий 3D Secure, в принципе может принимать к оплате не только карты эмитентов, поддерживающих данную технологию, но и любые другие. В любом случае оказывается, что если эмитент получает авторизационный запрос по операции без присутствия карты, то самостоятельно принимает решение об одобрении или отклонении ее (с учетом значения индикатора электронной транзакции в запросе авторизации — Electronic Commerce Indicator).

На основе изложенных доводов положим в формуле (11) Pбпк(поп |кпр исп) = 1, тогда вместо формулы (12) получим

Примеры мониторинга операций

Далее приведены несколько примеров применения СМТ для выявления мошеннических операций.

Мониторинг операций в разных странах с присутствием карты

Если совершаются две операции с присутствием карты в разных странах за небольшой интервал времени, то это может свидетельствовать о том, что одна из операций осуществляется по поддельной карте.

Оценка принципиальной невозможности для держателя карты перебраться из места совершения первой операции в место совершения второй за время между операциями может быть сделана с учетом географического расстояния между местами совершения операций. В параметрах транзакции в соответствии с ISO 8583 присутствует название города и код страны совершения операции, в свободном доступе имеются географические координаты городов мира, поэтому возможно создание таблицы географических координат городов мира в БД для расчета расстояния между ними.

Геодезические задачи решаются на плоскости, если размеры площади невелики. Если исследуемая часть поверхности занимает несколько градусов широты или долготы, то необходимо учитывать и кривизну поверхности — в этом случае можно использовать сферу. Более точно описывает форму Земли не сфера, а эллипсоид.

В случае сферической модели Земли расстояние между двумя точками рассчитывается с помощью сферической тригонометрии. Длина дуги большого круга — кратчайшее расстояние между любыми двумя точками, находящимися на поверхности сферы, измеренное вдоль линии, соединяющей эти две точки, и проходящей по поверхности сферы или другой поверхности вращения. Через любые две точки на поверхности сферы, если они не прямо противоположны друг другу, можно провести уникальный большой круг. Две точки разделяют большой круг на две дуги (рис. 3.4).

Длина короткой дуги — кратчайшее расстояние между двумя точками. Между двумя прямо противоположными друг другу точками (антиподами) можно провести бесконечное количество больших кругов, но расстояние между ними будет одинаково на любом круге и равно половине окружности круга.

В данном случае расчет может быть произведен, например, с использованием сферической теоремы косинусов, причем при использовании радиуса сферы в 6 372 795 м возможна ошибка вычисления расстояния порядка 0,5 %, но в случае маленьких расстояний и небольшой разрядности вычисления использование формулы может приводить к значительным ошибкам, связанным с округлением:

Для перевода углового расстояния в метрическое угловая разница умножается на радиус Земли (в данной модели это 6 372 795 м). Для преодоления проблем с небольшими расстояниями может быть использована формула гаверсинусов.

В программной среде (в том числе на уровне функций и хранимых процедур БД) легко реализуемым является также и расчет расстояний между двумя точками на поверхности Земли, если принять в качестве модели поверхность эллипсоида.

Таким образом, рассчитав расстояние между двумя городами, в которых проводятся две операции по банковской карте, и используя максимальную скорость перемещения между ними (например, скорость гражданского самолета с учетом времени регистрации в аэропорту), можно с использованием временного интервала между операциями выявить принципиальную невозможность перемещения держателя карты из одной точки Земли в другую. Проблемой в данном случае является некорректная регистрация терминальных устройств банками-эквайрерами, что может приводить к ошибкам определения их географического положения. Возможны ошибки следующих типов:

• некорректное указание города установки терминального устройства;

• ошибки в названии города установки терминального устройства;

• некорректное указание страны установки терминального устройства.

На практике известны примеры наличия всех отмеченных ошибок, так, вариантов названия города «Санкт-Петербург» в качестве города установки терминальных устройств автором обнаружено более сотни, большая часть из которых подпадает под одну из следующих масок:

%S%PET%, %PETER%, SPB%.

Ввиду отсутствия контроля со стороны МПС за корректностью указания эквайрером данных регистрации терминального устройства не приходится рассчитывать на решение указанной проблемы. Тем не менее практическое применение отмеченного подхода для выявления мошеннических операций по поддельным картам доказало свою эффективность.

Мониторинг операций по картам, использовавшимся в регионе возможной компрометации

Практика показывает, что в некоторых регионах мира существуют продолжительное время мошеннические схемы, связанные с компрометацией данных карт (и/или ПИН-кодов) и/или использованием поддельных карт. Например, особое внимание со стороны МПС и банков уделяется операциям в ТСП Азиатско-Тихоокеанского региона, где часто происходит компрометация данных магнитной полосы карты, после чего поддельная карта используется в ряде стран того же региона или мира.

В течение нескольких последних лет зафиксированы многочисленные случаи компрометации данных магнитной полосы карты в Таиланде, Тайване, Шри-Ланке, Индонезии, Малайзии, Гонконге, Сингапуре.