Онлайн-оплаты без риска не бывает?

Помимо традиционного взлома системы или атак на пользователей (фишинг, таргетированные атаки), остаются такие атаки, как DDoS. В свое время, когда «Аэрофлот» пользовался услугами Assist, из-за атаки на эту платежную систему «Аэрофлот» потерпел значительные убытки. Впрочем, в настоящее время существуют достаточно продвинутые решения по защите от DDoS. Также существуют стандартные механизмы обеспечения безопасности при онлайн-платежах непосредственно с пластиковых карт, например, 3-D Secure, предусматривающий дополнительное подтверждение транзакции при помощи SMS. Аналогичные механизмы реализованы и в предложенном варианте оплаты.

«В данном случае «Сбербанк» имеет расширенные возможности по настройке сервиса. В отличие от 3-D Secure здесь нет жесткой привязки к уже принятому стандарту, возможно, в данном случае удастся формировать даже более понятные сообщения для пользователей, побуждающие их к более внимательному отношению к подобным проверкам, что потенциально может привести к более высокому уровню защищенности подобной системы, - прокомментировал Антон Разумов, руководитель группы консультантов по безопасности Check Point Software Technologies Ltd. —Как правило, подобные SMS включают в себя, как минимум, сумму, подлежащую оплате. К сожалению, пользователи не слишком внимательно читают подобные сообщения и зачастую вводят код подтверждения без надлежащей проверки. Как ни странно, несмотря на удобство онлайнового заказа билетов, многие не пользуются им по причине либо отсутствия пластиковой карты, либо боязни использовать ее. Зачастую оплату можно производить с помощью множества разных систем (Qiwi, Яндекс.Деньги, Assist…). Мне это удобно, но рядовых пользователей использование сторонних систем пугает».

Общий уровень безопасности любой сложной системы, по словам Михаила Башлыкова, руководителя направления информационной безопасности КРОК, всегда определяется защищенностью самого слабого звена. А при использовании интернет-сервисов таким звеном часто оказывается сам пользователь. «Риски безопасности существуют как для самих клиентов, так и для поставщиков услуг. Атаки, направленные на клиентов, нацелены исключительно на то, чтобы получить доступ к их средствам. В то время как для поставщиков наиболее актуальны риски, связанные с распределенными атаками в обслуживании, когда интернет-сервисы оплаты просто перестают функционировать. А это влечет финансовые и репутационные потери», - считает эксперт. 

Напомним, что не так давно было заведено уголовное дело об умышленном блокировании работы системы оплаты и приобретения электронных билетов. Это была попытка одной из платежных систем разорвать контракт между крупным перевозчиком и другой платежной системой и таким образом устранить конкурента.

Сервис предоставляется бесплатно для всех клиентов, подключивших услугу «Сбербанк ОнЛ@йн». Для оплаты забронированных билетов достаточно ввести свой логин и пароль для входа в «Сбербанк ОнЛ@йн» и выбрать карту, с которой будет произведен платеж. Оплата осуществляется в привычном для пользователей интерфейсе в течение нескольких секунд.

Если сравнивать данный способ оплаты с платежами при помощи банковских карт, то в целом до последнего времени транзакции, выполненные при помощи интернет-банкинга, можно было рассматривать как более надёжные. Однако в последнее время был предпринят ряд мер, обеспечивающих защищённость онлайн платежей банковскими картами  (появилась верификация по SMS и теперь даже при наличие всей необходимой информации злоумышленнику нужно будет каким-то образом подобрать код, присылаемый по SMSна телефон владельца карты) и предпочтение по способу оплаты стало сводится, в основном, к удобству пользования. Что касается возможных сбоев в работе онлайн-сервисов, то, безусловно, бывают, но аналогичные сбои происходят и в платёжных системах VISA, MasterCard.

«Одним из основных аспектов надёжной работы данной системы является обеспечение безопасности транзакций, - говорит Александр Лукоянов, ведущий инженер группы информационной безопасности CTI. — Для обеспечения безопасности используется шифрованное SSL-соединение. Каждая транзакция при этом подтверждается одноразовым паролем, выданным банком. Данный пароль можно получить либо в виде пластиковой карты с нанесёнными на ней паролями либо в виде устройства для генерации одноразовых паролей. Кроме этого, для выполнения транзакций в интернете зачастую создаются специальные счета, на которые можно перевести ровно столько средств, сколько необходимо для выполнения транзакции. То есть даже если злоумышленники захотят воспользоваться данной картой они не получат доступа к основным счетам.  Помимо технических мер обеспечения безопасности используются и организационные меры. Например, банки предупреждают пользователей о последствиях передачи третьим лицам паролей к учётным записям личных кабинетов. Так же можно увидеть различные сообщения и рекомендации по выполнению транзакций».

Что касается удобства использования сервиса, то поскольку среди клиентов «Сбербанка» много клиентов, далеких от IT, для них, по мнению экспертов,  более привычным и удобным будет  использование уже системы «Сбербанк ОнЛ@йн»

«Я считаю, что данный сервис будет удобен в использовании. По крайней мере, мне не нужно вводить платёжные реквизиты. А сама операция по степени надёжности не уступает другим методам оплаты», — прокомментировал  Антон Разумов.