Group-IB Fraud Hunting Platform
ранее Secure Bank/Secure Portal

Основная статья: Fraud Detection System (фрод, система обнаружения мошенничества)

Fraud Hunting Platform (FHP) - комплексная система Group-IB для борьбы с мошенничеством. Обеспечивает проактивную защиту цифровой личности и предотвращение мошенничества в режиме реального времени.

Fraud Hunting Platform стала преемницей продуктовой линейки Secure Bank/Secure Portal, которую Group-IB развивала с 2013 года, выиграв грант Фонда Сколково на инновационную разработку средства защиты против онлайн-фрода.

Данные 2020 года

2020: Презентация Fraud Hunting Platform

30 октября 2020 года в рамках виртуальной презентации компания Group-IB представила комплексную систему для борьбы с мошенничеством Fraud Hunting Platform. С ее помощью за первые 6 месяцев этого года удалось предотвратить ущерб на сумму 320 млн руб в пяти крупных российских банках. Fraud Hunting Platform ежедневно защищает 130 млн пользователей.

В рамках презентации также представлен продукт, получивший название Preventive Proxy. Он был создан в ответ на растущую проблему вредоносных ботов, атакующих рынок электронной коммерции и онлайн-банкинга. По данным Group-IB, на вредоносных ботов приходится порядка 30% Интернет-трафика. При этом самые распространенные из них – боты, используемые для подбора паролей с помощью ранее украденных учетных данных. Их доля составляет около 60%.

Виртуальное мероприятие Group-IB было посвящено актуальной концепции защиты цифровой личности пользователя от различных угроз — взлома учетной записи, кражи идентификационных данных, перевода денежных средств от его имени и других действий потенциального злоумышленника. Главную роль в защите теперь выполняет комплексная система Group-IB Fraud Hunting Platform. Она стала преемницей продуктовой линейки Secure Bank\Secure Portal, которую Group-IB развивала с 2013 года, выиграв грант Фонда Сколково на инновационную разработку средства защиты против онлайн-фрода.Российский рынок облачных ИБ-сервисов только формируется 2.4 т

В режиме реального времени Group-IB Fraud Hunting Platform анализирует каждую сессию и поведение пользователя как на веб-ресурсе, так и в мобильном приложении. Основанная на поведенческом анализе и алгоритмах машинного обучения, система создает уникальный цифровой отпечаток устройств, «связывает» с ними пользователя и его аккаунты, что позволяет с большей точностью отличить его действия от действий мошенников, даже если те, к примеру, завладели его мобильным телефоном или платежными данными. Эта технология получила название Global ID — глобальной идентификации пользователя.

При этом единая информационная среда для всех продуктов Group-IB позволяет системе Fraud Hunting Platform использовать уникальные данные Threat Intelligence & Attribution, что дает возможность выявлять скрытые угрозы и подозрительные связи, использовать эту информацию при расследовании, а также «охотиться» за злоумышленниками, выходя на причастных к инциденту лиц.

Ключевой модуль FHP — Preventive Proxy — создан специально для компаний, работающих в сфере онлайн-торговли, а также «классического» бизнеса, продающего продукты и услуги через Интернет. Включение Preventive Proxy в состав Fraud Hunting Platform дает возможность распознавать «хороших» ботов и вредоносных, с помощью которых злоумышленники проводят различные атаки на сайты, веб- и мобильные приложения компаний.

По данным Group-IB, на легальных ботов приходится около 20% всего интернет-трафика, на вредоносных – порядка 30%. Задача Preventive Proxy — комплексная защита сайтов, мобильных приложений и их пользователей от взлома учетных записей, сбора персональной информации из личных кабинетов, незаконного копирования авторского контента с сайтов, «нападений» на мобильный API и его несанкционированного использования.

Preventive Proxy можно внедрить в инфраструктуру веб- или мобильного приложения, а также использовать его через облако Group-IB. «Умная» защита от ботов также применяет поведенческий анализ для выявления вредоносной бот-активности. Preventive Proxy, например, исследует поведение пользователя, чтобы оценить, кто выполняет те или иные действия в сети – человек или бот. Кроме того, решение собирает параметры браузера, приложения и устройства, защищая реальную пользовательскую сессию от повторного использования «плохими» ботами. При этом Preventive Proxy не блокирует запросы из доверенных источников или легальных ботов.

В Group-IB подсчитали, что до 60% активности «плохих» ботов приходится на Credential stuffing (атаки с использованием украденных учетных данных). Доля скрапинга (от англ. "scraping", технология получения веб-данных путем извлечения их со страниц веб-ресурсов) — составляет 30%. Еще 10% приходится на остальные виды мошенничества.

Проанализировав типы вредоносных ботов, специалисты Group-IB пришли к выводу, что в 80% случаях, например при Credential stuffing, киберпреступники используют shell-ботов, которые делают прямые обращения к серверу из консоли. В скрапинг-атаках (20%) задействованы web-боты, это более интеллектуальные боты, для создания которых, как правило, используются headless-браузеры. Это сканеры уязвимостей, скрейперы, спамеры, боты для автозаказов, скупок товаров. Третья категория вредоносных ботов (менее 1%), эмулируют поведение человека, например, для авторизации и проверки аккаунтов банка.

2019

Group-IB Secure Bank / Secure Portal — система проактивного предотвращения онлайн-мошенничества на всех устройствах клиента в режиме реального времени.

Интеграция с InterBank RS

22 октября 2019 года компания R-Style Softlab сообщила, что совместно с международной компанией Group-IB подписали соглашение о технологическом партнерстве. Интеграция технологий вендоров позволила создать совместное решение, которое дает возможность банкам развернуть защищенный канал дистанционного обслуживания со встроенной функцией поведенческого анализа действий пользователя. Подробнее здесь.

Интеграция с SafeTech PayControl для защиты от финансового мошенничества

9 октября 2019 года компании Group-IB и SafeTech предложили подход к защите финансовых операций в системах дистанционного банковского обслуживания, основанный на оценке риска пользовательской сессии в режиме реального времени. Объединение продуктов компаний SafeTech PayControl и Group-IB Secure Bank обеспечивает адаптивную аутентификацию пользователя, подтверждение транзакций электронной подписью, а также скоринг устройств клиента в целях обнаружения признаков финансового мошенничества и немедленного реагирования на подозрительное событие. Подробнее здесь.

Интеграция с FRAMOS в рамках сервиса по защите от мошенничества в интернет-банках

27 августа 2019 года компания Group-IB сообщила, что совместно с Центром Финансовых Технологий (ЦФТ) разработали сервис по защите от финансового мошенничества в системах Интернет-банкинга. Компонентами совместного решения являются облачный сервис фрод-мониторинга FRAMOS от Faktura.ru (входит в группу компаний ЦФТ) и система проактивного обнаружения финансового мошенничества на всех устройствах клиента Group-IB Secure Bank. Подробнее здесь.

Назначение, возможности Secure Bank / Secure Portal

По информации на июль 2019 года решение Group-IB Secure Bank / Secure Portal предназначено для защиты:

• Финансовых и страховых сервисов, включая банки и платежные системы;
• Ecommerce-сайтов;
• Порталов, предоставляющих государственные услуги;
• Туристических сайтов;
• Развлекательных онлайн-сервисов;
• Корпоративных порталов.

Без установки дополнительного программного обеспечения на устройства клиентов Group-IB Secure Bank / Secure Portal выявляет подготовку и хищение денежных средств с использованием:

• внедрения зловредных инъекций на страницы интернет-банкинга для получения аутентификационных и дополнительных данных для проведения платежа;
• фишинговых атак и приемов социальной инженерии;
• несанкционированных удаленных подключений к устройству клиента и проведения транзакции от его имени;
• вредоносного кода для автоматического создания платежа или подмены реквизитов получателя на устройстве клиента;
• кросс-канальных атак.

Система также позволяет:

• блокировать действия вредоносных ботов, атакующих онлайн-порталы;
• выявить мошенничество с программами лояльности онлайн-ресурсов;
• выявить сети отмывания доходов;
• оптимизировать издержки заказчика за счет снижения количества SMS-подтверждений транзакций и звонков клиентам;
• снизить нагрузку на подразделения фрод-мониторинга;
• улучшить пользовательский опыта благодаря сокращению шагов по проверке безопасности.

Продукт реализован как SaaS-решение Group-IB Secure Bank / Secure Portal загружается вместе с веб-страницами или мобильным приложением и не требует изменений в инфраструктуре и в программном обеспечении заказчика.

Group-IB Secure Bank / Secure Portal использует технологии цифрового "отпечатка" устройства (device fingerprinting), поведенческого анализа, безагентного обнаружение вредоносного программного обеспечения, глобального профилирования пользователей и кросс-канальной аналитики, а также уникальную информацию о киберпреступниках и скомпрометированных данных из Group-IB Threat Intelligence.

Соответствие требованиям регуляторов для банков

Group-IB Secure Bank / Secure Portal позволяет банку соответствовать требованиям 167-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в части противодействия хищению денежных средств", отслеживая признаки мошенничества в отношении денежных переводов клиентов банков, а именно:

• Определять устройства, ранее использовавшиеся и замеченные в мошеннических атаках, что полностью удовлетворяет пункту №2 из списка признаков осуществления перевода денежных средств без согласия клиента, утвержденного Банком России.
• Выявлять подозрительные изменения в технических характеристиках устройства и в действиях пользователя во время сессии, отличающиеся от стандартной работы, в соответствии с признаком №3 из списка Банка России.

Решение выявляет такие аномалии, как:

• заход с нетипичного для пользователя устройства;
• использование устройства с других учетных записей, которые ранее не были связаны друг с другом;
• изменение географии использования учетной записи;
• выявление социальной инженерии и кросс-канального мошенничества (например, кража с использованием мобильного трояна для дальнейшего использования в интернет-банке);
• определение регистрации учетной записи в ДБО и проведение типичных операций для мошенника.

2018: Анонс Secure Bank Mobile SDK

11 сентября 2018 года компания Group-IB представила Secure Bank Mobile SDK. По информации компании, продукт позволит предотвратить попытки мошенничества, детектировать атаки на пользователей систем электронного банкинга, а также эффективно дополнить существующие антифрод-системы в банках.

Как сообщалось, появление в линейке Group-IB продукта Secure Bank Mobile SDK расширяет спектр анализируемых каналов, дополняя его мобильным, что позволяет банку реализовать комплексный подход к защите в системах дистанционного банковского обслуживания (ДБО).

Secure Bank Mobile SDK развивает философию Group-IB о необходимости предотвращения атак еще на этапе планирования. За счет «умной» поведенческой аналитики, выявления аномалий, ежедневных обновлений правил и сигнатур на основе данных системы Threat Intelligence, аналитики Лаборатории компьютерной криминалистики Group-IB и глубоких исследований вредоносного кода, продукты Group-IB позволяют быть на шаг впереди злоумышленников.

Использование «материнского» продукта Secure Bank c расширенными возможностями Secure Bank Mobile SDK в сумме дает надежный инструмент для кросс-канального анализа и корреляции данных о поведении пользователя при работе на различных устройствах (смартфон, планшет, ноутбук, ПК) через любые каналы взаимодействия с банком (мобильное приложение, онлайн-банкинг и др). Использование алгоритмов машинного обучения и продвинутого конструктора правил предотвратит мошенничество на этапе подготовки, детектируя подозрительные действия мошенника, выдающего себя за реального клиента.

Secure Bank Mobile SDK позволяет банку вывести контроль защищенности клиентов на другой уровень, выявляя кросс-канальное мошенничество и значительно усиливая безопасность транзакций через мобильный банкинг как физических, так и юридических лиц. Мы создали «умный» продукт, вобравший в себя технологии Group-IB, такие как дополнительная система идентификации устройства клиента (device fingerprinting), ряд запатентованных методов выявления удаленных подключений и собственные наработки в области машинного обучения. Павел Крылов, руководитель по развитию продуктов направления Secure Bank и Secure Portal

Secure Bank Mobile SDK легко интегрируется в мобильное банковское приложение и работает на стороне банка, выполняя функции идентификации мобильного устройства клиента, детектирования вредоносных приложений, выявления несанкционированной смены SIM-карты клиента, обнаружение запуска банковского приложения на эмуляторе мобильного устройства или на неофициальных версиях мобильных платформ. Выявление нетипичной для конкретного клиента активности повышает вероятность распознавания мошеннических действий, тем самым сокращая число ложных срабатываний антифрод-систем и снимая необходимость дополнительных звонков клиентам для проверки транзакций.

2017: Включение Secure Bank/Secure Portal в Единый реестр российского ПО

Решение Secure Bank/Secure Portal резидента ИТ-кластера Фонда «Сколково», компании Group-IB включено в Единый реестр российских программ для электронных вычислительных машин или баз данных, созданный в соответствии с поправками к закону 188-ФЗ. Новая редакция закона устанавливает ограничения на закупку российскими госструктурами зарубежного ПО, если в России имеется отечественный аналог.

2016

Интеграция с SAS Fraud Framework

5 октября 2016 года компании SAS и Group-IB сообщили об интеграции своих продуктов для повышения точности выявления мошенничества в системах ДБО в реальном времени, созданием системы на платформе SAS Fraud Framework и Bot-Trek Secure Bank.

Схемы мошенничества становятся все более изощренными, выявлять их становится все труднее, поэтому сегодня закономерно, что различные вендоры охотно идут на сотрудничество в целях увеличения эффективности своих инструментов и гарантирования должного уровня безопасности систем ДБО заказчикам. На данный момент всем очевидно, что использования только экспертных знаний для выявления мошенничества уже недостаточно. Требуется симбиоз продвинутых подходов, нестандартных решений и накопленной экспертизы, чтобы еще на этапе планирования компрометации определять и нивелировать угрозы. Павел Крылов, руководитель направления Bot-Trek Secure Bank, Group-IB

Гибридный подход SAS к выявлению мошенничества позволяет гибко сочетать бизнес-правила, методы предиктивной аналитики, модели выявления аномалий, анализ неструктурированной информации, а также проводить интеллектуальный анализ взаимосвязей между объектами системы (транзакции, клиенты, инциденты и пр.). Но важно не просто выявлять фрод, а еще и сокращать количество ложных срабатываний антифрод систем и, как следствие, снижать нагрузку на специалистов по безопасности. Решение этих задач зависит, во-первых, от умения правильно оценить, насколько конкретные действия в системе ДБО и последующие за этим транзакции характерны для клиента. Такие выводы мы делаем, исходя из информации, имеющейся непосредственно в системах банка. А во-вторых, нужны знания, которые мы получаем в результате анализа сетевой среды и окружения клиента в момент совершения такой операции: является ли машина зараженной, был ли зафиксирован факт удаленного подключения, есть ли признаки применения фишинга и прочее. Дмитрий Коновалов, руководитель направления противодействия мошенничеству SAS Россия/СНГ

Одновременно с интеграцией решений компании объявили о создании сервиса для банков, использующих SAS Fraud Framework и Bot-Trek Secure Bank, для оперативного информирования о случаях кибермошенничества. Все сведения о выявленных инцидентах и появившихся схемах будут немедленно интерпретированы в виде алгоритмов антифрод-системы, что поможет повысить эффективность работы и безопасность удаленных каналов обслуживания с учетом изменений и появления угроз.

Совместимость платформ InterBank RS и Bot-Trek Secure Bank

R-Style Softlab, российский разработчик и интегратор банковского ПО, входящий в международный холдинг Asseco, и Group-IB, компания по предотвращению и расследованию киберпреступлений и мошенничеств с использованием высоких технологий, подписали в сентябре 2016 года соглашение о технологическом партнерстве. В его рамках компании обеспечат совместимость платформы для развития сервисов ДБО InterBank RS и системы раннего обнаружения угроз Bot-Trek Secure Bank.

Описание Bot-Trek Secure Bank

По информации на июль 2016 года Bot-Trek Secure Bank — сервис защиты онлайн-платежей, дополнение к антифрод-системам. Продукт ориентирован на использование в финансовых организациях. Bot-Trek Secure Bank помогает контролировать риски, возникающие на стороне клиентов банка - самого слабого звена в обеспечении безопасности онлайн-платежей.

Без установки дополнительного программного обеспечения на устройства клиентов, в режиме реального времени Bot-Trek SB выявляет подготовку и хищение денежных средств с использованием:

• внедрения зловредных инъекций на страницы интернет-банкинга для получения аутентификационных и дополнительных данных для проведения платежа
• фишинговых атак и приемов социальной инженерии
• несанкционированных удаленных подключений к устройству клиента и проведения транзакции от его имени
• вредоносного кода для автоматического создания платежа или подмены реквизитов получателя на устройстве клиента
• модернизации вредоносного кода и проникновения через уязвимости «нулевого» дня.

Скриншот окна ПО, (2014)

ПО не требует установки на устройство клиента и инвестиций в ИТ-инфраструктуру банка. На ранних этапах выявляет мошеннические платежи и подготовку к их совершению. Определяет атаки и схемы мошенничества. Ежедневно обновляются правила и сигнатуры API для интеграции с антифрод-системами. Group-IB обеспечивает аналитическую поддержку и консультации специалистов.

Ожидаемый результат внедрения

• Снижение прямых убытков за счет раннего обнаружения мошенничества
• Снижение количества ложных срабатываний классических систем противодействия мошенничеству за счет интеграции с решением Bot-Trek SB
• Повышение лояльности клиентов

Описание Bot-Trek Secure Portal

По информации на июль 2016 года Bot-Trek Secure Portal — сервис безопасности персональных данных и защиты от мошенничества. Ориентирован на корпоративные и государственные порталы, e-commerce и интернет-магазины.

Bot-Trek Secure Portal помогает предотвратить утечки персональных данных и кражу информации о банковских картах. Выявляет покупки по ворованным картам, перехват покупателей и другие виды мошенничества. Обеспечивает дополнительную информацию о пользователях в режиме реального времени. Group-IB обеспечивает аналитическую поддержку и консультации специалистов.

Схема взаимодействия Bot-Trek Secure Portal, (2015)

Возможности сервиса

Bot-Trek Secure Portal помогает контролировать риски со стороны пользователей интернет-портала. Без установки дополнительного программного обеспечения на устройства пользователей Bot-Trek Secure Portal в режиме реального времени выявляет:

• несанкционированный доступ и использование ценной или конфиденциальной информации
• сбор данных о платежных картах и использование ворованных карт
• фишинговые атаки и приемы социальной инженерии
• несанкционированные удаленные подключения к устройству пользователя, использование его идентификаторов и совершение действий от его имени третьими лицами
• мошеннические действия, совершаемые на стороне пользователя.

Результаты внедрения Bot-Trek Secure Portal

• Интернет-магазины и e-commerce сайты
  • Повышение качества таргетирования предложений для посетителей
  • Сокращение потерь от покупок, упущенных в результате внедрения предложения конкурентов на страницы интернет-магазина
  • Снижение объема возмещений (chargeback) денежных средств после оплаты ворованными картами
  • Предотвращение несанкционированного использования бренда для продажи контрафакта и распространения вирусов

• Сервисы, предоставляющие платный контент
  • Сокращение ущерба от совместного использования платной подписки
  • Предотвращение использования краденных идентификаторов для авторизации на сайте
  • Снижение объема возмещения (chargeback) денежных средств после оплаты подписки краденными платежными картами

• Порталы государственных услуг
• Предотвращение утечек персональных данных и мошенничеств с их использованием
• Пресечение несанкционированного доступа к конфиденциальной информации
• Предотвращение хищений денежных средств

2012: Защита рабочего места клиента ДБО

Group-IB запустила в январе 2012 года услугу «Защита рабочего места клиента ДБО», направленную на обеспечение безопасности персональных компьютеров с установленными системами интернет-банкинга. Эта услуга является уникальной благодаря объединению технических решений и круглосуточного мониторинга, осуществляемого ситуационным центром Group-IB.

Услуга «Защищенное рабочее место клиента ДБО» представляет собой комплекс технических и организационных мер, нацеленных на повышение уровня информационной безопасности клиентов банков, использующих услуги дистанционного банковского обслуживания. Уникальный комплекс решений включает в себя круглосуточный аудит уровня безопасности рабочего места клиента сотрудниками ситуационного центра Group-IB. Контроль степени защищенности позволяет отслеживать и анализировать каждое событие информационной безопасности. В случае наступления инцидента центр реагирования незамедлительно оповещает клиента об этом и оказывает ему организационно-техническую поддержку, включая правовое сопровождение.

«В условиях постоянного роста количества целенаправленных атак на системы интернет-банкинга перед производителями средств защиты стоит непростая задача обезопасить конечного пользователя, — говорит Сачков Илья, генеральный директор Group-IB. — Мы также решили применить накопленный опыт, полученный при расследовании случаев мошенничества в системах интернет-банкинга, и разработать собственное решение. Представленная услуга обеспечивает не только традиционную защиту от киберугроз, но и дает возможность атакуемой стороне своевременной реакцией оказать достойное противодействие злоумышленникам. При этом наши специалисты будут рядом и обеспечат ей всестороннюю поддержку».

Сбор данных о событиях ИБ осуществляется программой-агентом, которая передает накопленную информацию в ситуационный центр Group-IB для дальнейшего анализа. Помимо использования агента мониторинга защита рабочего места достигается внедрением технических инструментов, таких как антивирусное программное обеспечение, система дополнительной аутентификации, модуль доверенной загрузки, система предотвращения вторжений, межсетевой экран, система защиты от несанкционированного доступа и т.д.

Позднее данный продукт был переименован в Secure Bank.