Хотя преступления, связанные с хищениями денежных средств и конфиденциальной информации, существуют более десятка лет, законодательство очень медленно адаптируется под новые реалии. Проблема состоит не только в российской правоприменительной практике – для эффективной борьбы с мошенниками необходимо выработать трансграничные юридические нормы, так как современные инфокоммуникационные технологии стирают границы между государствами в традиционном понимании.

Юристы нашли определение компьютерным преступлениям

Прообразом международного документа, который дал определение преступлениям в сети, стала Конвенция по киберпреступлениям Совета Европы от 2001 г. (ETS №185). Согласно документу, участники этой организации должны были привести свои законодательные системы в соответствие с параграфами конвенции, а также определить санкции для преступников. Хотя Россия является членом Совета Европы, трансформация законодательства последовала с большими опозданиями.

Так, в 2012 г. в УК внесен отдельный состав преступления — мошенничество с использованием платежных электронных карт, поддельных или принадлежащих другому лицу (ФЗ №207 от 29 ноября 2012 г.). Еще одним новшеством является внесение в качестве отдельного состава преступления мошенничества в сфере компьютерной информации, то есть хищение имущества путем ввода, удаления, блокирования, модификации компьютерной информации, либо вмешательства в функционирование средств хранения, обработки или передачи компьютерной информации или информационно-телекоммуникационных сетей. Преступникам за совершение перечисленных деяний грозит лишение свободы на срок до десяти лет. Глава 28 уголовного кодекса целиком посвящена преступлениям в области компьютерной безопасности (Статьи 272, 273, 274).

Кроме того, по ФЗ №143 от 28 июля 2012 г. были внесены поправки в УПК РФ, в которых были определены процедуры, связанные с приобщением к вещественным доказательствам электронных носителей информации, включая порядок изъятия и копирования содержащихся на них данных. Также был оговорен порядок обязательного участия ИБ-специалиста в процедурах по изъятию электронных носителей.

Почему хакеры остаются безнаказанными?

Правоприменительная практика по статьям в области компьютерной безопасности пока невелика. Большинство преступлений остаются не раскрытыми. Например, в 2012 г. в России было ликвидированы две преступные группы, занимающиеся кражами через банковские системы дистанционного обслуживания (ДБО), оборот которых составил не мене 250 млн руб. Для сравнения, по данным Group-IB, в 2012 г. мошенники заработали на онлайн-банкинге более 13 млрд руб., и на конец года было зафиксировано 12 преступных групп, действующих на территории России.

Опрошенные CNews эксперты по безопасности выделяют несколько комплексов причин. Во-первых, требуется дальнейшее развитие законодательной базы. «Основные трудности при доказательстве вины киберпреступников – особенности нашего УК и УПК, хотя законодательство медленно, но верно адаптируется под современные реалии, что позволяет существенно облегчить процедуру расследования», – говорит Руслан Стоянов, руководитель отдела расследования компьютерных инцидентов «Лаборатории Касперского».

Руководитель отдела расследований Group-IB Дмитрий Волков отмечает, что «законодательная база чересчур лояльна к киберпреступникам» и предлагает ужесточить наказания. Действительно, за аналогичные преступления в CША хакеры получают гораздо более суровые наказания. Но нельзя не отметить и либеральное отношение российских судей, которые назначают мягкие наказания за сетевые нарушения.

Во-вторых, работники правоохранительных структур плохо готовы к расследованию сетевых преступлений. Если в МВД уже не первый год существует Управление «К», которое занимается кибермошенниками, то судьи и следователи пока отстают в плане компьютерной образованности. «Еще одна проблема – это сложности законодательства и сбора доказательной базы (не стоит забывать, что львиная доля улик – это электронная информация). Да и со стороны государственных органов чувствуется низкий уровень подготовленности судей и следователей в вопросах высоких технологий и расследования киберпреступлений», – объясняет Олег Глебов, эксперт по информационной безопасности компании «Андэк».

С другой стороны, появляются организации независимых экспертов по ИБ, которые помогают в расследовании киберпреступлений и сборе доказательств. В первую очередь в этой связи следует отметить компанию Group-IB, которая не первый год работает в этой области и тесно сотрудничает с Управлением «К». В мае 2013 г. сервис по расследованию компьютерных инцидентов запустила «Лаборатория Касперского».

В-третьих, проблема заключается в высокой организации и технической подкованности преступников. «При должном уровне навыков нетрудно “замести следы” таким образом, чтобы вычислить IP-адрес преступника представлялось нетривиальной задачей. К тому же роли в такой группировке обычно распределены таким образом, что, даже схватив за руку преступника, обналичившего украденные средства, выйти на организатора было невозможно», – рассказывает Иван Мелехин, директор департамента консалтинга и аудита компании «Информзащита».

Наконец, находить злоумышленников не удается, так как жертвы мошенников слишком поздно замечают пропажу средств со счета или не хотят обращаться в правоохранительные органы. «Действия пострадавшего всегда носят характер “постфактум”, уже после обнаружения пропажи денежных средств. Другая проблема заключается в том, что все риски лежат на самих владельцах карт, которые сами должны отстаивать свои интересы в суде, что может быть экономически нецелесообразно при несанкционированных списаниях малого размера. В свою очередь злоумышленники пользуются этим, когда списывают понемногу, но у большого количества людей», – отмечает Олег Глебов.

Похожая ситуация складывается при кражах со счетов юридических лиц: «Например, о совершенном мошенничестве главный бухгалтер может узнать лишь спустя несколько дней, потому что сбои в работе компьютера принял за обычные технические проблемы. А если администратор компании для того, чтобы эти проблемы решить, заменил жесткий диск, или переустановил приложение клиент-банк, то вычислить преступника часто невозможно», – утверждает Иван Мелехин.

Carberp – крупнейшие задержания 2012 г.

Как уже упоминалось, в 2012 г. МВД удалось достигнуть некоторых успехов в борьбе с организованной преступностью в Рунете. Были ликвидированы две группы мошенников, воровавшие деньги с банковских счетов с помощью троянской программы Carberp, которая была создана российскими вирусописателями в 2008 г. специально для работы с системами ДБО российской разработки. Некоторые вариации Carberp были модифицированы специально для работы с системами онлайн-банкинга отдельных крупных банков. В общей сложности насчитывается более 1200 разновидностей этой вредоносной программы.

В марте 2012 г. было задержано 8 человек, подозреваемых в хищениях в более чем ста банках по всему миру. Жертвами банды стали тысячи физических лиц во всех регионах России, размер ущерба составил не менее 130 млн руб. Злоумышленников удалось обнаружить в результате анализа троянских программ, серверов управления ботнетами и похищенных данных, что позволило установить операторов ботнета. Группа действовала с 2009 г.

Для хищения денег с банковских счетов злоумышленники использовали троянские программы Carberp и RDP-door, заражавшие ПК организаций, использовавших для расчетов различные системы «Банк-Клиент». Для инфицирования бухгалтерских компьютеров использовался взлом и заражение сайтов СМИ, магазинов и профессиональных бухгалтерских ресурсов. Деньги с банковских счетов выводились посредством несанкционированных платежей на специально подготовленные счета по команде троянским программам с удаленных серверов в Канаде и Голландии, после чего переводились на банковские карты и обналичивались в банкоматах Москвы. В качестве прикрытия злоумышленники использовали легальную компанию, занятую восстановлением данных.

Вторая группа получила название Hodprot, так как изначально именно эта программа использовалась для проникновения на компьютеры жертв, но позднее от нее отказались в пользу Carberp, которым было заражено около 1,6 млн ПК. Ее организатором был 22-летний хакер, скрывавшийся под никами Germes и Arashi. В этот раз примерный ущерб клиентов российских банков оценили в 123 млн руб., из которых около 13 млн руб. пришлось на клиентов «Сбербанка». Ежемесячный доход каждого участника команды при этом составлял около 2 млн руб.

После установки на машины пользователей Carberp искала клиентские части систем ДБО и отправляла мошенникам помимо IP-адреса и хоста в банке номер счета, историю операций, остаток средств, логин, пароль и электронный ключ. Затем в банки от имени владельцев скомпрометированных ПК рассылались фальшивые платежные поручения, в которых указывались реквизиты принадлежащих мошенникам компаний. После того, как деньги оказывались на банковских картах, их обналичивали через банкоматы.

Несмотря на ликвидацию двух групп, использовавших Carberp, авторы этого трояна оставались на свободе. Вирусописатели создавали новые модификации программы, продавая их другим злоумышленникам, которые занимаются непосредственно воровством с банковских счетов. Разработчики трояна были задержаны на Украине только в марте 2013 г. в результате совместной операции ФСБ и СБУ. Были арестованы 16 человек, которые работали удаленно в Киеве, Запорожье, Львове, Херсоне и Одессе. Большинство из них не были знакомы друг с другом, каждый отвечал за свою часть разработки модуля, передавая данные готовой работы на центральный сервер в Одессе. Лидером группировки оказался 28-летний гражданин России, который в июле 2013 г. был осужден Печорским судом Киева на 5 лет лишения свободы.

Несмотря на арест разработчиков, в июне 2013 г. Carberp и пакет сопутствующих программ был выложен в свободный доступ в сеть, что позволило остающимся на свободе группам заниматься дальнейшей разработкой программы. На данный момент эта утилита остается самым популярным средством для взлома систем ДБО в России.