Кардинг: вид мошенничества с банковскими картами¶

Кардинг — вид мошенничества, связанный с хищением средств с банковских карт и счетов клиентов с помощью кражи платёжных реквизитов, поддельных карт или компрометации системы аутентификации. Термин образован от английского carding, что означает незаконное использование платёжных карт. В российском законодательстве кардинг квалифицируется как мошенничество (статья 159.3 УК РФ) и может дополнительно квалифицироваться по статьям о неправомерном получении доступа к компьютерной информации (статья 272 УК РФ) и о производстве или сбыте поддельных платёжных средств (статья 186 УК РФ).

¶Методы совершения кардинга

¶Фишинг

Наиболее распространённый метод — фишинг, при котором злоумышленники создают поддельные сайты банков, платёжных систем или интернет-магазинов, визуально неотличимые от оригинальных. Жертву направляют на поддельный ресурс посредством электронного письма, SMS-рассылки или мессенджера, где она добровольно вводит номер карты, срок действия, CVV-код и коды подтверждения из SMS. Разновидностью фишинга является вишинг — телефонный мошеннический звонок, при котором злоумышленник выманивает платёжные данные под видом сотрудника банка, службы безопасности или государственного органа.

¶Скимминг

Скимминг предполагает установку специальных устройств (скиммеров) на банкоматы или платёжные терминалы. Скиммер считывает магнитную полосу карты, а миниатюрная камера или накладная клавиатура фиксирует PIN-код. Полученные данные затем используются для изготовления дубликата карты и снятия наличных. В России скимминговые устройства чаще всего устанавливаются на банкоматы в малонаселённых районах и на объектах с недостаточным видеонаблюдением.

¶Магнитные ботнеты и дампы карт

Значительная часть карточных данных попадает в даркнет в результате утечек из баз данных интернет-магазинов, платёжных систем и других организаций. Скомпрометированные данные (номер, срок действия, имя держателя) продаются на специализированных площадках. Злоумышленники используют их для совершения онлайн-покупок или выпуска поддельных карт. Магнитные ботнеты — заражённые вредоносным ПО компьютеры, с которых считываются данные карт, введённых пользователем при онлайн-оплатах.

¶Социальная инженерия

К этому методу относятся схемы, при которых жертва самостоятельно перечисляет деньги злоумышленнику: звонки от «сотрудника службы безопасности банка», сообщения о «блокировке карты», «выигрыше» или «необходимости срочного перевода». В России масштаб телефонного мошенничества, в том числе с использованием технологий подмены номера и голосового ИИ, привёл к введению обязательной маркировки звонков и запрету на анонимные SIM-карты.

¶Правовое регулирование в России

Деятельность, связанная с кардингом, преследуется по нескольким статьям Уголовного кодекса РФ:

Крупный размер ущерба и организованная группа усиливают ответственность. Следствие по карточным преступлениям в России осуществляется МВД и Следственным комитетом, при трансграничных составах — с участием Интерпола.

¶Масштабы явления

По данным Банка России, объём утратил операций с банковскими картами россиян за рубежом и в сети ежегодно оценивается в миллиарды рублей. Центробанк отмечает, что подавляющее большинство случаев мошенничества связано с добровольным раскрытием данных самими клиентами под давлением социальной инженерии. В 2020-х годах в России были приняты меры по ограничению переводов на карты иностранных эквайеров, введены лимиты на переводы физлицам и обязательная маркировка звонков.

¶Меры защиты

Банки и платёжные системы применяют системы скоринга и машинного обучения для выявления подозрительных операций в реальном времени. Для пользователей рекомендуются:

• не сообщать CVV-код и коды из SMS третьим лицам;
• использовать виртуальные карты для онлайн-покупок;
• включать уведомления обо всех операциях по карте;
• не переходить по ссылкам из подозрительных сообщений;
• использовать двухфакторную аутентификацию при оплате в интернете.

¶См. также

• Фишинг
• Скимминг
• Кибербезопасность
• Мошенничество