Скимминг — что это такое и как распознать скиммер

Определение

Скимминг — копирование данных банковской карты скрытым устройством. Банк России описывает его как способ получить данные карты и ПИН-код: мошенники устанавливают на банкоматах специальные устройства и считывают всё, что нужно для перевода денег с карты. Само устройство называют скиммером. Типичный набор — накладка на картоприёмник, которая читает магнитную полосу, и способ увидеть ПИН-код: накладная клавиатура или миникамера.

Фишинг обманывает человека, скимминг работает через банкомат: говорить с жертвой не нужно, достаточно, чтобы она воспользовалась картой. Подробности устройства скиммеров здесь не нужны: защищаться от них можно, не разбираясь в электронике.

Как распознать скиммер

Перед тем как вставить карту, посмотрите на банкомат целиком, а не только на экран. Признаки ниже — по памяткам МВД России и банков:

картоприёмник и детали рядом отличаются от остального корпуса цветом или потёртостью, держатся нетвёрдо и слегка двигаются: заводские части закреплены намертво;
клавиатура выглядит новее корпуса и выступает над ним; накладная клавиатура отходит при усилии, под ней видна оригинальная;
над экраном и клавиатурой есть козырёк, выпуклая накладка или другая деталь, под которой можно спрятать камеру; её могут замаскировать под рекламную вставку;
банкомат стоит в тёмном или безлюдном месте: там мошенники иногда ставят поддельный банкомат целиком.

Осмотр гарантии не даёт: по описанию МВД, часть устройств (шиммеры) вставляют в щель картоприёмника, и снаружи их почти не видно. Поэтому дополняйте его привычками: банкоматы в отделениях банков и в людных местах, где их проверяют, предпочтительнее уличных, а клавиатуру при вводе ПИН-кода стоит прикрывать ладонью.

Что защищает карту: чип, токен и QR

Скиммер считывает данные магнитной полосы, а чип устроен иначе, поэтому банки советуют пользоваться картами с чипом. Но ПИН-код подсматривают отдельно: его записывает камера или накладная клавиатура, так что полагаться только на чип нельзя.

Токенизация карты — защита другого рода: при оплате телефоном передаётся не номер карты, а токен, и подсматривать нечего. Она не помогает распознать накладку, а убирает номер карты из платежа.

Третий вариант — снять наличные вообще без карты. В банкомате с приёмом QR картоприёмник и ПИН-код не нужны, накладке нечего считывать. Но у сценария свои риски, о них — в статье «Снять наличные по QR-коду».

Что делать при подозрении

Не вставляйте карту и не отрывайте подозрительные детали. Сообщите в банк, которому принадлежит банкомат: контакты бывают указаны на корпусе.
Если карту уже вставили и появились сомнения, позвоните в банк по номеру на обороте карты и заблокируйте её.
Если деньги списаны, сообщите в банк незамедлительно, не позднее дня, следующего за днём получения уведомления об операции (ч. 11 ст. 9 161-ФЗ). Возьмите выписку и подайте письменное заявление о несогласии с операцией, сохранив копию с отметкой банка. Если деньги похищены, обратитесь с заявлением в полицию.
Подключите уведомления обо всех операциях: срок на обращение отсчитывается от уведомления.

Если уведомили вовремя, банк обязан возместить сумму операции, совершённой до вашего уведомления, в течение 30 дней со дня заявления о возмещении, а по трансграничным переводам — 60 (ч. 15 ст. 9 161-ФЗ). Исключение: банк освобождается от возмещения, если докажет, что клиент нарушил порядок использования карты. Это не гарантия: решение зависит от обстоятельств.

Частые вопросы

Чем скимминг отличается от фишинга?

Фишинг обманывает человека: он сам вводит данные на поддельной странице или называет код. Скимминг копирует данные с карты в момент использования, человеку при этом ничего не говорят. Итог один — данные карты в чужих руках, а защищаются от них по-разному: от фишинга вниманием, от скимминга осмотром банкомата.

Защищает ли чип от скимминга?

Отчасти. Скиммер считывает магнитную полосу, а чип устроен иначе, поэтому банки советуют пользоваться чиповыми картами. От подсмотренного ПИН-кода чип не защищает: его записывает камера или накладная клавиатура. Поэтому осмотр банкомата и закрытая ладонью клавиатура нужны в любом случае.

Вернёт ли банк деньги, если данные карты скопировали?

Закон описывает механизм: при своевременном уведомлении банк обязан возместить сумму операции, совершённой до уведомления, в течение 30 дней со дня заявления о возмещении (ч. 15 ст. 9 161-ФЗ). Но он освобождается от возмещения, если докажет нарушение клиентом порядка использования карты. Гарантий нет, поэтому сохраняйте выписку, чеки и копию заявления.

Безопаснее ли снимать наличные по QR, чем картой?

От скиммера — да: картоприёмник не используется, ПИН-код обычно не набирают. Но защита переезжает в телефон: открытая банковская сессия — это ваша карта, а чужой код, который просит отсканировать незнакомец, означает операцию по вашему счёту. Сценарий разобран в статье про снятие наличных по QR.

Какой банкомат безопаснее: в отделении или на улице?

МВД и банки советуют выбирать банкоматы в отделениях банков и в людных местах, например в торговых центрах и на вокзалах: там их проверяют, а рядом есть охрана и камеры. Отдельно стоящие терминалы в тёмных и безлюдных местах рискованнее. Но это ориентир, а не гарантия: осматривайте любой банкомат перед использованием.

Скимминг: что это такое, как распознать накладку и защитить карту