Вместе с директором по информационной безопасности компании «БелИнфоНалог» Дмитрием Корневым разбираемся, как устроены такие деньги, что происходит с ними при сбоях и кибератаках и почему главная угроза для владельцев цифровых рублей может исходить не от хакеров, а от телефонных мошенников.
Третий рубль появился не на экране смартфона
Цифровой рубль — это третья форма российской национальной валюты наряду с привычными наличными и безналичными рублями. Его выпускает и контролирует Банк России.
При этом цифровой рубль нельзя назвать отдельной валютой или каким-то аналогом криптовалюты. Один цифровой рубль равен одному наличному и одному безналичному рублю. Разница заключается прежде всего в том, где эти деньги хранятся и как устроена инфраструктура для операций с ними.
Цифровые рубли находятся в специальном цифровом кошельке на платформе Банка России. Пользователь при этом взаимодействует с кошельком через приложение подключённого банка. То есть привычное банковское приложение остаётся для человека своего рода входом в систему, однако сами цифровые деньги хранятся на платформе регулятора.
С сентября системно значимые банки должны обеспечивать своим клиентам возможность открывать цифровые кошельки, переводить деньги и оплачивать покупки. Причём пользоваться новой формой рублей россияне могут по желанию.
Получать в цифровых рублях можно и зарплату. Но автоматически переводить на них заработную плату всем гражданам никто не должен — такой способ получения денег возможен только с согласия самого человека.
Самое важное здесь — не воспринимать цифровой рубль как отдельные деньги, которые вдруг появились вместо привычных рублей. Это всё тот же российский рубль, просто в другой форме. Его ценность не меняется: цифровой рубль, безналичный рубль и наличный рубль соотносятся один к одному. Поэтому человеку не нужно думать о каком-то отдельном курсе или конвертации.
Как ими платить
По механике многие операции будут выглядеть привычно. Цифровыми рублями можно оплачивать товары и услуги, переводить деньги другим людям и хранить средства. Например, покупатель сможет отсканировать QR-код продавца и провести оплату.
Поэтому со стороны пользователя цифровой рубль во многих ситуациях будет напоминать уже знакомые операции с банковской картой, Системой быстрых платежей или универсальным QR-кодом.
Есть и дополнительная возможность — смарт-контракты. Это заранее заданные условия, при наступлении которых операция выполняется автоматически. Проще говоря, человек может заранее определить, при каком условии должен произойти платёж.
Но именно появление новой технологии и недостаток знаний о ней уже стали использовать мошенники.
У цифрового рубля появился свой набор мошеннических легенд
До официального запуска новой формы денег мошенники начали использовать саму тему цифрового рубля как повод для звонков и сообщений. Об этом ТАСС рассказывал эксперт проекта «Народный фронт. Аналитика» Галактион Кучава. По его словам, преступники уже придумали несколько схем, рассчитанных на людей, которые пока плохо понимают, как работает новая система.
И здесь важный момент: злоумышленникам необязательно взламывать платформу Банка России или банковское приложение. Иногда им достаточно убедить самого человека сделать то, что нужно преступнику.
— Для мошенника новая технология интересна не только с технической точки зрения. Любая непонятная человеку система создаёт пространство для легенд: можно сказать, что нужно срочно активировать цифровой кошелёк, перевести туда деньги или, наоборот, спасти средства от какого-то изменения. Чем меньше человек знает о механизме, тем убедительнее для него может звучать такая история. Поэтому сейчас информационная безопасность напрямую связана с тем, насколько хорошо люди понимают, что такое цифровой рубль, — говорит Дмитрий Корнев.
Одна из схем строится вокруг якобы выгодных инвестиций. Аферисты создают сайты, которые внешне могут напоминать официальные ресурсы, используют фирменные цвета и символику цифрового рубля. На сайте человека встречает «личный менеджер», который предлагает внести деньги на депозит и обещает стабильный доход. После перевода средств связь с таким менеджером обычно обрывается.
При этом цифровой рубль вообще не является инвестиционным инструментом. Его назначение — платежи и переводы.
Фальшивый сайт может попросить пароль от банка
Другая схема рассчитана уже на кражу банковских данных. Мошенники создают фишинговые сайты — страницы, которые внешне копируют настоящие интернет-ресурсы. Они могут использовать символику Центробанка и рассказывать посетителю, что для работы с цифровым рублём необходимо пройти регистрацию или «активировать доступ».
Затем человека просят ввести данные от личного кабинета банка. На самом деле эти сведения могут попасть непосредственно к преступникам. О том, как распознать фишинговые сайты, мы рассказывали в нашем прошлом материале.
По похожему принципу работают и приложения-клоны. Пользователю могут предложить установить программу, которая якобы является кошельком цифрового рубля. После установки такое приложение способно использоваться для получения конфиденциальной информации.
Ещё один вариант — поддельные QR-коды. Мошенники могут попытаться заменить настоящий код для оплаты своим. В результате человек уверен, что оплачивает товар или услугу, но деньги уходят не туда, куда он рассчитывал.
— Здесь работает очень простой принцип: человек должен понимать, откуда он устанавливает приложение, куда вводит свои данные и кому переводит деньги. Появление цифрового рубля не отменяет базовые правила цифровой безопасности. Если неизвестный человек присылает ссылку, просит установить программу или назвать код из СМС под предлогом подключения нового сервиса, это должно сразу насторожить, — отмечает директор по информационной безопасности «БелИнфоНалога».
Самая пугающая легенда — «принудительный перевод»
Отдельно мошенники могут использовать страх перед якобы обязательным переходом на цифровые рубли. Человеку звонят от имени Центробанка или коммерческого банка и сообщают о несуществующем «закрытом постановлении». По легенде, государство якобы собирается принудительно перевести безналичные накопления гражданина в цифровые рубли, причём по невыгодному курсу.
Дальше преступники предлагают «спасти» деньги. Для этого жертве советуют закрыть банковские счета и перевести накопления на специальный «транзитный» или «резервный» счёт. Разумеется, никакого специального счёта для спасения денег не существует. Средства отправляются непосредственно мошенникам.
Особенно опасной такая схема может оказаться для людей с долгосрочными вкладами. Поддавшись на уговоры, человек может досрочно закрыть депозит, потерять часть процентов, а затем перевести деньги преступникам.
В описанных экспертами случаях злоумышленники также могут убеждать жертв отправлять средства через Систему быстрых платежей на карты так называемых дропперов — людей, чьи банковские счета используются для получения и дальнейшего вывода украденных денег.
— Любая фраза вроде «срочно переведите деньги, чтобы их сохранить», «активируйте цифровые рубли», «переведите средства на резервный счёт» должна восприниматься как сигнал остановиться. Банку не нужно сообщать постороннему человеку код из СМС для того, чтобы защитить деньги. И тем более не существует процедуры, при которой сотрудник по телефону помогает гражданину «спасти» накопления переводом на чужой счёт, — подчёркивает специалист.
Центробанк не станет просить код из СМС
Эксперты отдельно напоминают: сотрудники Банка России не звонят гражданам с предложениями провести подобные операции и не пишут им в социальных сетях. Если человеку поступил подозрительный звонок, лучше сразу завершить разговор. После этого можно самостоятельно набрать официальный номер своего банка и уточнить информацию.
Не стоит перезванивать по номеру, который продиктовал собеседник. Не нужно переходить по присланным ссылкам, устанавливать приложения по просьбе незнакомцев и передавать кому-либо коды из СМС, ПИН-коды и пароли от банковских приложений.
Особенно внимательно к новым схемам стоит отнестись родственникам пожилых людей. Мошенники традиционно используют новости из актуальной повестки, чтобы сделать свои истории убедительнее. Если раньше поводом могли становиться изменения в выплатах, банковских услугах или работе Госуслуг, теперь таким поводом становится цифровой рубль.
Причём появление возможности пользоваться цифровым рублём в конкретном банке может стать дополнительным поводом для новой волны звонков.
— После начала реального использования цифрового рубля мошеннические звонки могут стать убедительнее именно потому, что технология перестала быть чем-то абстрактным. Человек действительно увидит соответствующий раздел в банковском приложении и может решить, что звонящий знает детали. Но наличие цифрового рубля в приложении никак не означает, что банк будет звонить клиенту и просить его сообщить пароль или перевести деньги на специальный счёт. Проверять такие предложения нужно самостоятельно через официальный канал банка, — рассказывает Дмитрий Корнев.
А что будет, если отключится электричество?
Отдельный вопрос касается не мошенников, а самой инфраструктуры. Одна из распространённых тревог вокруг цифрового рубля звучит примерно так: что произойдёт с деньгами, если отключится электричество, произойдёт технический сбой или банковская инфраструктура временно перестанет работать?
Сама по себе потеря электричества не означает исчезновение денег. В обычной банковской системе средства клиентов также не пропадают из-за аварии в электросети. Финансовая инфраструктура строится с учётом необходимости сохранять данные и обеспечивать отказоустойчивость.
То же касается платформы цифрового рубля. Банк России уже сталкивался с кибератаками и использует многоуровневую защиту своей IT-инфраструктуры. При создании системы цифрового рубля, по заявлениям регулятора, учитывалась её специфика.
— Цифровые деньги нельзя представлять как файл, который лежит где-то в телефоне человека и может исчезнуть вместе с разряженным смартфоном. Архитектура системы устроена иначе. Кошелёк находится на платформе Банка России, а банковское приложение используется человеком для доступа к нему. Поэтому выключенный телефон или временное отсутствие электричества сами по себе не означают потерю средств, — объясняет специалист.
У новой системы есть непривычная архитектура
При этом цифровой рубль действительно отличается от привычных безналичных денег. В случае с банковским счётом человек хранит деньги в конкретном коммерческом банке. С цифровым рублём кошелёк расположен на платформе Банка России, а коммерческий банк предоставляет пользователю интерфейс для работы с ним.
Получается своеобразная двухкомпонентная система: одна часть инфраструктуры находится у регулятора, другая связана с банковским приложением, через которое человек получает доступ к кошельку. Именно эту особенность, считают эксперты, хакеры наверняка будут изучать и пытаться использовать.
При этом полноценного многолетнего опыта эксплуатации такой архитектуры в России пока нет. Система относительно новая, поэтому её устойчивость к различным типам атак будет проверяться в том числе реальной практикой.
Однако основные принципы защиты финансовой IT-инфраструктуры давно известны и используются банками и регулятором.
— У цифрового рубля есть новая архитектура, а значит, есть и новые точки, которые потенциально могут заинтересовать злоумышленников. Но это не означает, что система изначально небезопасна. Финансовая инфраструктура много лет развивается в условиях постоянных кибератак, поэтому накоплен большой опыт защиты. Вопрос в том, насколько эффективно этот опыт будет адаптироваться к новой платформе и насколько быстро система сможет реагировать на новые сценарии атак, — говорит эксперт.
Главная слабость может оказаться не в системе
Есть принципиальная разница между кибератакой на инфраструктуру и социальной инженерией. В первом случае преступнику необходимо найти техническую уязвимость. Во втором — достаточно убедить человека самостоятельно открыть доступ к деньгам. Именно социальная инженерия остаётся одной из наиболее серьёзных угроз.
Если человек сам сообщает код из СМС, пароль, устанавливает приложение или переводит деньги на указанный мошенником счёт, техническая защита банка может не помочь.
В случае цифрового рубля это особенно актуально из-за недостатка знаний о новой форме денег. Человек может не понимать, где находится его цифровой кошелёк, кто должен его подключать, как происходят переводы и какие операции действительно необходимы. Для преступника это удобная почва для обмана.
Украденные цифровые рубли можно будет отследить?
У цифрового рубля есть и особенность, которая потенциально может помочь при расследовании преступлений. Поскольку операции проходят через единую платформу Банка России, цепочку движения средств в некоторых случаях может быть проще отследить, чем при обычных безналичных переводах, особенно если деньги перемещались между разными банками. Но рассчитывать на то, что украденные средства автоматически вернутся владельцу, нельзя.
Эксперты предполагают, что преступники вряд ли станут долго хранить украденные цифровые рубли в кошельке. Скорее всего, они будут стремиться как можно быстрее перевести их в обычную безналичную форму, а затем вывести или обналичить.
На каждом дополнительном этапе возрастает вероятность, что деньги окажутся у других участников схемы. Поэтому возможность быстрее проследить путь операции может помочь расследованию, но сама по себе не гарантирует возврата средств пострадавшему.
А что такое «окрашивание» денег?
У цифрового рубля есть ещё одна техническая возможность, о которой много говорят, — так называемое «окрашивание». Название звучит необычно, но речь не идёт о буквальном изменении цвета денег.
Под «окрашиванием» понимают возможность придать цифровым рублям определённое свойство и ограничить, на что их можно потратить. Например, теоретически можно было бы сделать так, чтобы определённые выплаты разрешалось использовать только для конкретных целей.
В качестве примера можно представить детское пособие, которое технически разрешено тратить на определённые товары, но нельзя использовать для покупки алкоголя, сигарет или других товаров для взрослых.
Однако при запуске цифрового рубля такая возможность использоваться не будет. Техническая перспектива сохраняется, но конкретные решения о массовом применении подобных механизмов пока не приняты.
При этом похожие принципы уже существуют в безналичной форме. Например, средства на Пушкинской карте или некоторые сертификаты имеют ограничения по назначению.
Почему с «окрашенными» деньгами не всё так просто
На первый взгляд возможность ограничить использование конкретных средств выглядит удобной. Но у неё есть и обратная сторона. Одна из главных особенностей государственной валюты — универсальность. Обычный рубль можно потратить в любом месте, где его принимают. Если же деньги получают определённые ограничения, они перестают быть полностью универсальными.
Есть и другая проблема — попытки обойти ограничения. История знает такие примеры. В США около 100 лет назад получили распространение продуктовые талоны, которые можно было использовать для покупки продуктов. Однако получатели пособий находили способы обменивать их со скидкой и использовать полученные деньги для приобретения других товаров.
В России похожие попытки происходили с целевыми средствами, в том числе с Пушкинской картой и материнским капиталом. Поэтому массовое «окрашивание» денег может одновременно создать новые возможности для контроля и новую сферу для мошенников и злоупотреблений.
Технологически возможность ограничивать назначение цифровых рублей действительно интересна. Но между «мы можем это сделать» и «это нужно делать массово» существует большая разница. Если деньги получают специальные свойства, появляются вопросы о том, где и как ими можно расплачиваться, кто будет контролировать эти ограничения и что произойдёт при попытке их обойти.
Государству контролировать расходы станет проще
При этом цифровой рубль потенциально может упростить контроль за бюджетными средствами. Сейчас финансовые операции уже доступны для контроля надзорных органов. Но информация о безналичных переводах распределена между разными банками и системами.
Цифровой рубль работает через единую платформу Банка России. Поэтому сведения об операциях оказываются сосредоточены в одной инфраструктуре. Для Федерального казначейства это может означать более удобный мониторинг расходования бюджетных средств. Росфинмониторинг уже получает доступ к транзакциям в реальном времени, а с цифровым рублём соответствующая работа потенциально может стать проще.
При этом считать появление цифрового рубля каким-то революционным скачком в государственном контроле было бы неправильно. Важно не только получить данные о переводах, но и правильно их обработать, сопоставить и понять, что именно происходит с деньгами.
— Единая платформа действительно создаёт определённые преимущества с точки зрения прозрачности движения средств. Но прозрачность сама по себе не означает тотального контроля за каждым человеком. Государственные структуры и раньше имели инструменты для анализа финансовых операций. Цифровой рубль может сократить часть технических издержек, связанных со сбором и сопоставлением информации, но дальше всё равно остаётся задача правильно интерпретировать эти данные, — объясняет директор по информационной безопасности.
Бояться цифрового рубля или мошенников?
Появление цифрового рубля не означает, что привычные наличные или безналичные деньги исчезнут. Для россиян в сентябре появилась ещё одна возможность распоряжаться рублями. При этом новая система действительно требует времени, чтобы пользователи привыкли к ней, а банки и регулятор накопили достаточную практику эксплуатации.
С точки зрения технической безопасности цифровой рубль защищается многоуровневой инфраструктурой Банка России. Но даже самая сложная система не может полностью защитить человека, который добровольно передал преступнику пароль или самостоятельно перевёл ему деньги.
Именно поэтому сейчас основной риск для обычного пользователя связан не столько с возможностью «взломать цифровой рубль», сколько с попытками обмануть его владельца.
В ближайшее время мошенники будут подстраивать старые схемы под новую реальность: предлагать «активировать» цифровые рубли, обещать инвестиционный доход, пугать принудительной конвертацией, просить установить специальное приложение или сообщить код из СМС.
Правило здесь остаётся простым: если незнакомый человек по телефону предлагает «перевести», «защитить», «активировать» или «сохранить» деньги, разговор лучше прекратить и самостоятельно связаться с банком по официальному номеру.
Цифровой рубль может быть новой технологией. А вот старое правило цифровой безопасности никуда не исчезло: никому нельзя сообщать коды из СМС, ПИН-коды и пароли от банковских приложений и переходить по подозрительным ссылкам.
