Безопасность карточного бизнеса : бизнес-энциклопедия.

<… >

Показания эксперта Т. О. В. — заместителя начальника отдела компьютерных экспертиз и технологий ЭКЦ МВД России, которая пояснила, что в результате проведенных ею судебных экспертиз № 9036 от 20 марта 2008 г. и № 1689 от 8 апреля 2008 г. за период с 9 по 14 мая 2007 г. была получена следовая картина процесса негласного получения конфиденциальной клиентской информации пользователей банкомата АТМ90042, принадлежащего ОАО «С… — банк», и банкомата АТМЧ146, принадлежащего филиалу ОАО «Т..К…банк» в г. Екатеринбурге, отразившегося на журнальных лентах указанных банкоматов, в содержимом файла «доло1105а1» («dоlо1105а1»), расположенном на ноутбуке, изъятом в ходе обыска в гостинице «Парк Инн», г. Екатеринбург, и на флеш-накопителе, изъятом в ходе личного досмотра у Б. Ц. Н., в следах работы в ноутбуке специальных программ для ЭВМ: «КОКО», «джиРап» (gRар), «КэйБиДи1» («КВD1»), «Майти_Кли» («Мitu_Сli»), в датах и времени установки и снятия на оба банкомата накладок на картридер и клавиатуру, изъятых при личном досмотре у И. Г. Т. и при осмотре места происшествия с банкомата АТМЧ146, в виде фиксации использования небанковских карт болгарского супермаркета «Пикадили», тестовых запусков специальных программ для ЭВМ «КОКО» и «джиРап» («gRар»), проверки работоспособности накладок на клавиатуру и картридер банкомата, их содержимым, скачивание информации с картридера и клавиатуры банкомата АТМЧ146, принадлежащего филиалу ОАО «Т…К…Банк» в г. Екатеринбурге и, возможно, с картридера банкомата АТМ90042, принадлежащего ОАО «С…банк», что подтверждается датой и временем создания, сохранения и содержимым файлов «горе1105а1» («gоrе1105а1») и «доло1105а1» («dоlо1105а1»); файла «уор\ доло1105а1» («wоr\dоlо1105а1») с флеш-накопителя, изъятого в ходе личного досмотра Б. Ц. Н., датой и временем сохранения, содержимым файла «виндоус\системЗ2\чет\дат» («windоws\ sуstеm32\сhеt.dаt»); датами и временем сохранения файлов «виндоус\префеч\джирап. икси-31378еа. пф» («windоws\рrеfеtсh\grар.ехе-31378еа3.рf») и «виндоус\префеч\коко. икси-06еф56аО.пф» («windоws\рrеfеtсh\коко.ехе-06еf56а0.рf»).

(том № 8, л. д. 296–300).

Показания свидетеля Т. О. В. — заместителя начальника отдела компьютерных экспертиз и технологий ЭКЦ МВД России, которая пояснила, что в файле «доло1105а1» («dоlо1105а1») в ноутбуке, изъятом в ходе обыска в гостинице «Парк Инн», накладке на картридер банкомата АТМ90042, изъятой в ходе личного досмотра И. Г. Т., и в накладке на картридер банкомата, изъятой при осмотре места происшествия с банкомата АТМЧ146 филиала ОАО «Т…К…Банк» в г. Екатеринбурге, за 10,11 и 12 мая 2007 г. имеются сведения об использовании небанковской пластиковой карты № 9702801000136786 и одновременном нажатии на клавиатуре для ввода ПИН-кода клавиш 1234567890 и 0987654321.

(том № 10, л. д. 329–332).

Показания свидетеля Ш. И. Г. — руководителя экспертной службы ООО «Г. кардсервис», который пояснил, что банковская платежная карта является инструментом безналичных расчетов, достоверно устанавливающим соответствие между номером банковской карты и номером банковского счета клиента, к которому она прикреплена. Для совершения хищения чужих денежных средств с банковского счета под видом законного держателя банковской карты путем снятия наличных денег через банкоматы необходимо нанести на заготовку поддельной пластиковой карты информацию о содержании второй дорожки магнитной полосы банковской карты и одновременно обладать информацией о ПИН-коде. Незаконное копирование вводимого клиентами ПИН-кода и информации с магнитной полосы банковской карты — трека 1 и/или трека 2 осуществляется при помощи использования специальных программ для микро-ЭВМ, записанных в микроконтроллере накладки на клавиатуру и накладки на картридер, устанавливаемых на банкомат. Данные, извлеченные из микроконтроллеров накладок на картридер банкоматов АТМ90042 и АТМЧ146, расположенных в г. Екатеринбурге, соответствуют тем сведениям, которые должны присутствовать на треке № 2 магнитной полосы банковской карты в соответствии с требованиями международных платежных систем. Треки, содержащие некорректные символы, могут использоваться в терминалах, которые позволяют совершить операцию без отправки авторизационного запроса на разрешение операции банку-эмитенту карты, т. е. в режиме офф-лайн.

(том № 8, л. д. 334–340).

Показания свидетеля П. Н. П., начальника сектора платежных систем отдела защиты информационных технологий управления защиты информации службы (департамента) безопасности «Г…банк» (ОАО), который пояснил, что в соответствии с поступившим запросом № 17/сч-6077 от 11 апреля 2008 г. на криптографическом модуле произведена генерация значений ПиВиВи по предоставленным в запросе значениям ПИН-кодов и их сравнение со значениями ПиВиВи, записанными на вторых дорожках магнитной полосы банковских карт, эмитированных банком, предоставленных в запросе. Вычисленные и представленные в запросе значения ПиВиВи оказались идентичными. Обладая указанной в запросе информацией о вторых дорожках на магнитной полосе и о ПИН-кодах при проведении операций в банкоматах с использованием поддельных банковских карт, возможно осуществить несанкционированный доступ к банковским счетам с целью хищения денежных средств.

(том № 12, л. д. 240–242).

Заключение программно-технической судебной экспертизы № 54/3 от 26 июля 2007 г., из выводов которой следует, что представленные на экспертизу накладка на картридер и накладка на клавиатуру к штатным элементам банкомата не относятся. Корпус и печатная плата накладки на клавиатуру изготовлены промышленным способом, монтаж электронных компонентов и доработка клавиатуры выполнены кустарным способом. Накладка на картридер изготовлена кустарным способом, устанавливается в углубление перед штатным картоприемником банкомата. Накладка на картридер и накладка на клавиатуру представляют собой электронные устройства, которые являются частями программно-аппаратного комплекса, предназначенного для получения конфиденциальной информации об учетно-регистрационных данных владельцев банковских карт, копирование которой происходит следующим образом: при нажатии клавиш на клавиатуре происходит запись последовательности их нажатия в память микроконтроллера; при прохождении банковской карты через накладку на картридер информация, содержащаяся на магнитной полосе карты, считывается и регистрируется в памяти микроконтроллера. Оба микроконтроллера позволяют сохранять скопированную информацию и в последующем считывать ее при помощи ПЭВМ со специальным программным обеспечением.

(том № 2, л. д. 51–56).

Заключение программно-технической судебной экспертизы № 54/8 от 26 июля 2007 г., из выводов которой следует, что представленный на экспертизу ЭВМ (ноутбук) с техническими характеристиками: процессор — «Джениен Интел» («Gеnuinе Intеl») Т2500 @ 2.000Ггц, 2000Ггц; оперативная память — 1Гб; привод чтения\записи компакт\DVD\RАМ дисков — «НL-DТ-SТ DVDRАМ GМА-4082N»; жесткий диск — «Хитачи Тревелста» («НIТАСНI Тrаvеlstаr»), модель — «НТS721080G9SА00», серийный номер — «Y4GJWН3Е», объем — 80 Гб; видеоадаптер — «Эйти Мобилити Рейдиун» («АТI Моbilitу Rаdеоn») Х1300; сетевая карта, аудиоконтроллер, блютуз-адаптер (Вluеtооth-адаптер), Вай-фай-карта (Wi-Fi-карта), модем интегрированы в системную плату, — исправен, является машинным носителем информации, предназначенным для записи и хранения данных, представленных в виде, пригодном для обработки автоматическими средствами при возможном участии человека.

В качестве средств для ограничения доступа к информации использовались пароли, установленные на учетные записи операционной системы, а также пароль, установленный на просмотр информации, генерируемой программами специального назначения.

При помощи данной ЭВМ осуществлялся доступ к ресурсам сети «Интернет», о чем свидетельствуют заполненные директории, содержащие в себе авторизационные файлы интернет-страниц. Доступ осуществлялся посредством сетевых подключений, взаимодействующих с модемом, встроенным в мобильный телефон, предположительно марки «Нокиа» («Nокiа»), и с помощью подключения к беспроводным сетям посредством встроенного в материнскую плату WiFi-контроллера с идентификаторами сети — «нетпоинт» («nеtроint») и «водафоун» («vоdаfоnе»).

При помощи данной ЭВМ осуществлялось общение через сеть Интернет при помощи программы «иБэй-Скайп тм Версион» («еВау — Sкуре tm Vеrsiоn») 3.0.41.216, позволяющей вести голосовой и текстовый чат — обмен мгновенными сообщениями на болгарском языке.

На жестком диске ноутбука обнаружены программы специального назначения: «джиРап. иксе» («gRар.ехе»), «КеБиДи1.иксе» («КВD1.ехе») и «Р_ПиЕсВикли. иксе» («R_РSWсli.ехе»), предназначенные для считывания информации с внешнего микроконтроллера посредством КОМ-порта (СОМ-порта).

В директории «С: \WINDОWS\sуstеm32» обнаружена программа специального назначения — «КОКО^». Данный программный продукт предназначен для считывания информации с внешнего микроконтроллера посредством СОМ-порта и преобразования полученных данных в файл, а также считывания сохраненных данных из файла. Функция отображения информации из файла защищена паролем.

В директории «С: \Рrоgrаm Filеs\хеrох\ЕКВG» обнаружены файлы «доло1105а1» («dоlо1105а1») и «горе1105а1» («gоrе1105а1»), сгенерированные вышеперечисленным программным обеспечением специального назначения.

Представленная на экспертизу флеш-карта исправна и является машинным носителем информации. На флеш-карте обнаружены файлы, сгенерированные с помощью программ специального назначения, обнаруженных на жестком диске ноутбука — «dоlо1105а1», «gоrе1105а1».

Файлы «gоrе1105а1», «dоlо1105а1» выявлены в ходе проведения анализа флеш-карты на наличие удаленных файлов.

Файлы «dоlо1105а1», «gоrе1105а1» идентичны файлам, найденным на жестком диске ноутбука в директории «С: \Рrоgrаm Filеs\хеrох\ЕКВG».

(том № 2, л. д. 173–193).

Заключение комплексной судебной экспертизы № 9036э от 20 марта 2008 г. с приложениями, из выводов которой следует, что на представленном на исследование ноутбуке имеются файлы, содержащие информацию, касающуюся изготовления и сбыта банковских платежных карт, а также информация о подключении ноутбука к сети Интернет, файлы, содержащие информацию о контактах пользователя, историю электронной переписки и передаваемых файлов.

Также в ноутбуке и на флеш-накопителе имеются файлы, совпадающие по содержанию: файл «dоlо1105а1», вероятно, содержащий данные о нажатии клавиш, фиксируемых накладкой на клавиатуру банкомата, и файл «gоrе1105а1», вероятно, содержащий данные, фиксируемые накладкой на приемник картридера.

Для считывания и обработки данных из накладки на клавиатуру банкомата, вероятно, использовались программы «КОКО», «КВD1». Для считывания данных, фиксируемых накладкой на приемник картридера, вероятно, использовались программы «gRар», «Майти_кли» («Мitu_Сli»).

На представленном на исследование ноутбуке имеется информация о временных характеристиках одновременной работы программ «gRар» и «КОКО» в период с 29 апреля 2007 г. по 15 ч. 39 мин. 12 мая 2007 г.

Помимо этого, программа «gRар» запускалась 9 мая 2007 г. года в 15 ч. 11 мин., 11 мая.

2007 г. в 19 ч. 46 мин. и спустя 2 мин.; программа «КОКО» запускалась 9 мая 2007 г. года в 15 ч. 08 мин., 11 мая 2007 г. в 19 ч. 50 мин. и через 2иЧ мин.

Файлы, содержащие информацию, описанную в заключении эксперта, записаны на компакт-диск однократной записи с номером, нанесенным вокруг посадочного отверстия hQZ70681920В03, являющийся приложением № 5.

(том № 10, л. д. 18-228).

Протокол осмотра предмета от 12 февраля 2008 г., в ходе которого осмотрен микроконтроллер внештатной накладки на картридер банкомата АТМ90042, принадлежащего ОАО «С… — банк», защищенный паролем против считывания сохраненных в нем данных, с участием специалистов произведен демонтаж микросхемы памяти микроконтроллера, в результате чего обнаружена и извлечена информация о содержании второй дорожки магнитной полосы банковских карт в виде 784 наборов данных из накладки на картридер банкомата АТМ90042, изъятой 13 мая 2007 г. при личном досмотре И. Г. Т.

(том № 11, л. д. 20–26).

Заключение комплексной судебной экспертизы № 1689э от 8 апреля 2008 г., из выводов которой следует, что внештатные накладки на устройство для приема карт в банкомат и на клавиатуру для ввода ПИН-кода, изъятые в ходе личного досмотра И. Т. Г. и изъятые с банкомата АТМЧ146, принадлежащего филиалу ОАО «Т…К…Банк» в г. Екатеринбурге, имеют единый источник происхождения и являются двумя аналогичными комплектами, которые относятся к специальным техническим средствам, предназначенным для негласного получения с технических устройств передачи, обработки и хранения конфиденциальной клиентской информации пользователей систем дистанционного банковского обслуживания, в том числе индивидуальных номеров и ПИН-кодов банковских карт.

Информация из наборов данных, извлеченных из накладки на клавиатуру банкомата, изъятой в ходе личного досмотра И. Г. Т., соответствует информации, имеющейся на журнальной ленте банкомата АТМ90042 в период с 11 по 12 мая 2007 г.

Информация из наборов данных файла «dоlо1105а1» соответствует информации, имеющейся на журнальной ленте банкомата АТМ90042 в период с 10 по 11 мая 2007 г.

Информация, извлеченная из накладки на картридер банкомата, изъятой в ходе личного досмотра И. Г. Т., соответствует информации, имеющейся на журнальной ленте банкомата АТМ90042 в период с 11 по 12 мая 2007 г.

В памяти запоминающего устройства внештатной накладки на устройство для приема карт в банкомат, изъятой в ходе личного досмотра И. Г. Т., и на журнальных лентах банкомата АТМ90042 имеется информация о двух картах болгарского супермаркета «Пикадили» с магнитной полосой: № 9702801000207450 за 9 мая 2007 г. в 15 ч. 20 мин. и № 9702801000136786 неоднократно начиная с 10 по 12 мая 2007 г.

Файлы, содержащие информацию, описанную в заключении эксперта, записаны на компакт-диск однократной записи с номером, нанесенным вокруг посадочного отверстия, Нqz706081926а03, являющийся приложением № 8.

(том № 11, л. д. 45-264).

Протокол осмотра предметов от 10 апреля 2008 г., в ходе которого осмотрены два компакт-диска однократной записи: один — являющийся приложением № 8 к заключению комплексной судебной экспертизы № 1689э от 8 апреля 2008 г., на который в файлы «nакlаdка_ТКВ.tхt» и «nакlаdка_Iliеv.tхt» скопирована информация, извлеченная из памяти микроконтроллеров накладок на клавиатуру банкомата АТМ90042, изъятая 13 мая 2007 г. при личном досмотре И. Г. Т., и банкомата АТМЧ146, изъятая 14 мая 2007 г. при осмотре места происшествия; другой — являющийся приложением № 5 к заключению дополнительной программно-технической судебной экспертизы № 9036э от 20 марта 2008 г., на который скопированы файлы «windоws\sуstеm32\коко.ехе» и «рrоgrаm filеs\хеrох\екbg\dоlо1105а1». В процессе осмотра осуществлен запуск программы специального назначения «КОКО» и поочередной загрузки в нее файлов «dоlо110581», «nакlаdка_ТКВ. tхt» и «nакlаdка_Iliеv.tхt». После ввода одного и того же пароля вместо символов «Х», отображающих номера введенной комбинации нажатых клавиш ПИН-кода накладки, появились цифры ПИН-кодов.

(том № 8, л. д. 301–328).

Ответ «Г…банк» (Открытое акционерное общество), г. Москва, исходящий № 29-3/919 от 11 апреля 2008 г., на запрос СК при МВД России, исходящий № 17/сч-6077 от 11 апреля.

2008 г., касающийся проверки ПИН-кодов, в котором указано, что в результате произведенных криптографических преобразований установлено соответствие между значениями ПИН-кода и их проверочными значениями ПиВиВи на второй дорожке магнитной полосы банковских карт, что позволяет осуществить неправомерный доступ к банковским счетам законных держателей банковских карт при помощи поддельных пластиковых карт.

(том № 11, л. д. 369).

Протокол выемки документов от 20 марта 2008 г. в «Г…банк» (Открытое акционерное общество), расположенном по адресу: г. Москва, ул. Новочеремушкинская, д. 63, в ходе которой обнаружены и изъяты выписки с информацией об остатках денежных средств на банковских счетах, соответствующих банковским картам № 4…, эмитированным данным банком, с указанием фамилии, имени и отчества их держателя, на момент завершения операций по указанным картам в период с 9 по 12 мая 2007 г. в банкомате № 90042, установленном в г. Екатеринбурге по адресу: ул. Вайнера, д. 10, принадлежащем ОАО «С… — банк».

(том № 6, л. д. 59–65).