Чтение онлайн

По требованиям MasterCard эквайрер должен предпринимать дополнительные меры контроля потерь от мошенничества, если уровень мошенничества в базисных точках (basis points) в 2 раза превышает средний по MasterCard и годовые потери превышают 200 000 долл.

MasterCard рекомендует также осуществлять мониторинг следующих событий и параметров:

• атаки по сгенерированным номерам карт;

• отрицательные результаты проверок CVC1 и CVC2;

• операции по картам с истекшим сроком действия;

• транзакции по неверным номерам карт;

• CAT транзакции;

• транзакции в возможных точках компрометации;

• операции кредитования и отмены авторизации торговой точкой;

• списки неиспользуемых карт.

Требования МПС относятся, прежде всего, к off-line мониторингу, иные варианты мониторинга в настоящий момент не являются обязательными. В связи с этим банк должен разработать собственную политику управления рисками в ПС и выбрать ту систему мониторинга, которая соответствует принятой политике, а не просто внедрить наиболее функциональное на данный момент техническое решение. Кроме того, необходимо добиться допустимого баланса между следующими показателями:

• принятие неадекватных решений по ограничению операций для не мошеннических операций;

• пропуск мошеннических операций;

• число сообщений, генерируемых системой мониторинга, об операциях, не являющихся мошенническими;

• величины рисков в ПС с учетом работы системы мониторинга и принимаемых на ее основе решений.

Особенности мониторинга некоторых операций

1. Операции в разных странах в установленный интервал времени. Операции по поддельной карте, используемой в стране, отличной от той, в которой совершает операции сам клиент, могут быть обнаружены с помощью системы мониторинга. Для оценки принципиальной возможности нахождения клиента в двух странах в моменты совершения двух операций необходимо учитывать:

• расстояние между городами совершения операции;

• минимальное время, за которое можно переместиться между двумя точками.

Если времени между операциями оказывается слишком мало для того, чтобы настоящий держатель переместился из одной точки в другую, то имеет место мошенничество по поддельной карте.

2. Неавторизованные мошеннические операции по поддельным картам. Неудачные попытки проведения операций по поддельным картам являются своеобразным «подарком» со стороны мошенников — сам факт мошенничества может быть выявлен системой мониторинга и будут приняты меры, при этом счет клиента не пострадает.

3. Операции в банкоматах по зарплатным картам. По настоящее время объем операций по снятию наличных денежных средств в банкоматах в России составляет большую часть всех операций (свыше 90 %), при этом часто карты получаются в рамках зарплатных проектов. Поэтому нередко бывает так, что карта используется клиентом как своеобразная «сберегательная книжка» — деньги просто накапливаются на счете, а затем снимаются в банкоматах за небольшой интервал времени. С точки зрения нехарактерного поведения для держателя банковской карты эти операции могут быть расценены как мошеннические, хотя на самом деле таковыми не являются.

Система мониторинга транзакций ПС должна быть необходимым элементом комплекса мер, принимаемых для обеспечения информационной безопасности. Для управления рисками в ПС, связанными с мошенничеством, необходимо организовать непрерывный процесс сбора и анализа статистики, на основе которой можно проводить оценку рисков, предпринимать меры для их обработки и формально оценивать влияние принимаемых решений на величины рисков.

Мониторинг, несомненно, является весьма эффективным способом контроля мошенничества и снижения потенциальных убытков банков. Согласно требованиям международных платежных систем (МПС) эмитенты и эквайеры обязаны ежедневно генерировать и периодически анализировать данные по мониторингу.

В частности, Visa CEMEA предписывает эмитентам генерировать 16 запросов только по авторизациям и 23 запроса — эквайерам по авторизациям (9) и транзакциям (14).

Если строго формально и непредвзято исполнять требования МПС, то даже при относительно небольшом количестве карт (ТСП) количество запросов и отчетов будет составлять несколько десятков в день, что неизбежно приведет к чудовищному росту ненужных бумаг и персонала.

Практически все известные на данный момент программные решения для карточного бизнеса в той или иной мере реализуют требования Visa CEMEA в части обязательного мониторинга, предлагая клиентам генерировать 39 и даже более отчетов, которые действительно соответствуют всем параметрам, но ужасно неудобны в работе!

В данном разделе предлагается ознакомиться с оригинальным методом использования балльных оценок (скоринга) для одновременного успешного решения нескольких задач:

1) формального удовлетворения требований МПС;

2) минимизации трудозатрат и документооборота;

3) построения системы мониторинга и отчетности, которая действительно работает и позволяет своевременно выявлять подозрительные операции.

Поскольку в современном мире подавляющее большинство операций по картам совершается в режиме реального времени (выполняются авторизации), исключительно для целей усвоения основной идеи численного метода оценки предлагается сосредоточиться на мониторинге именно авторизаций, что, впрочем, ничуть не уменьшает обязательства банков в отношении мониторинга транзакций. Соответственно, хотя далее будут приводиться примеры из мониторинга авторизаций банка-эмитента, описываемые численные методы абсолютно аналогично могут быть реализованы и для эквайринга, за единственным исключением: если в эмиссии практически везде используются абсолютные значения, то в эквайринге МПС предписывают использовать в некоторых случаях отношения абсолютных величин к средним за период не менее 90 календарных дней. С точки зрения вычислений расчет средних за период не составляет никакого труда, поэтому численные методы оценки легко могут быть реализованы как по эмиссии, так и по эквайрингу — для анализа авторизаций и для транзакций.

Итак, в чем же проблема? Согласно требованиям МПС банкам, работающим с картами, необходимо ежедневно генерировать и анализировать несколько десятков отчетов, что является само по себе непростой задачей, особенно в части анализа. Представьте себе, даже при небольшом портфеле (2–3 тысячи активных карт), какой хорошей памятью нужно обладать сотруднику, анализирующему отчеты, чтобы заметить, что карта с одним и тем же номером попала, предположим, в отчеты под номерами 1, 5 и 12? А если активных карт сотни тысяч? Как быть?

Решение — довольно простое, но работающее, проверенное и доказавшее свою эффективность и удобство.

Напомним, что эмитенты должны «пропускать» каждую карту через 16 запросов — общая сумма операций, общее число операций, анализ response code (ISO) [210] , МСС [211] , рисковых стран, количество отказов, операций в одном ТСП, анализ POS Entry Mode (PEM) [212] , cross-border [213] и проч.