Оставаясь на нашем сайте, вы соглашаетесь с использованием файлов cookie. Подробности в нашей политике конфиденциальности.
Хорошо
Блог приложения «Кошелёк»

Как приложение «Кошелёк» обеспечивает безопасность персональных данных и платёжной информации, а ещё противостоит фроду

Совместно с коммерческой командой Кошелька узнали, какие вопросы о сохранности данных и безопасности платежей беспокоят наших партнёров. Обсудили с офицером информационной безопасности и риск-менеджером приложения, как мы защищаем пользовательские данные и как противодействуем фродовым атакам. Что из этого получилось — читайте в статье.

Как Кошелёк обеспечивает безопасность хранения персональных данных

Приложение «Кошелёк» — буфер для обмена информацией о пользователе между торговыми и технологическими партнёрами. Наше приложение интегрировано с CRM-системами ритейлеров и платформами управления лояльностью: мы передаём ФИО, дату рождения, номер телефона и имейл пользователей с их согласия. В свою очередь в приложении может отображаться информация о статусе в программе лояльности, накопленных баллах и даже история покупок, полученные от партнёров.
В Кошельке реализован комплекс мер по защите персональных данных и платежей: организационный (документация) и технический — обо всём подробнее.
Стандарты безопасности
Кошелёк — мобильное платёжное приложение, которое хранит и обрабатывает карты лояльности и банковские карты.

Хранение и передача информации строго регламентируется Федеральным законом №152-ФЗ «О персональных данных» — мы следим за его изменениями и дополнениями и несём ответственность за сохранность данных. Кроме того, мы соблюдаем требования локальных нормативных актов о персональных данных, утверждённые Центральным банком, Роскомнадзором, ФСТЭК и ФСБ. Например, в стандартный набор документации входит Положение ЦБ 719-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств защите платежей», «Базовая модель угроз безопасности персональных данных» и технический паспорт объекта с описанием того, где данные хранятся, кто имеет к ним доступ, какие средства вычислительной техники используются и т. д.

Согласно пунктам 6.1, 8.1 и 9.2 Пользовательского соглашения пользователь соглашается с тем, что Кошелёк может передавать третьим лицам персональные данные для выполнения тех или иных договорных обязательств и им предоставляются такие же права в отношении персональных данных, как и Кошельку — в том числе отправка рекламных и сервисных сообщений.
Кошелёк передаёт данные пользователя только третьим сторонам, с которыми сотрудничает, и только те данные, которые относятся к конкретному партнёру. Представим, что Кошелёк начинает сотрудничество с сетью супермаркетов «Удобный». Для этого нам необходимо сделать сверку пользователей, чтобы корректно выпускать из каталога и оцифровывать добавленные карты «Удобного». Партнёру будут передаваться только данные тех пользователей, которые являются владельцами его карт. Стоит отметить, что данные другого партнёра, допустим, ритейлера «Близкий» в «Удобный» не передаются.

Исключение, когда третьими лицами выступают суды, представители МВД и другие органы, которые юридически вправе запросить у нас информацию.

Сергей Куркин
Офицер информационной безопасности
Мы не проводим платежи, но выступая агентом торговых сетей в СБП, доставляем запрос на совершение операции от кассы до процессинга НСПК, а при оплате Долями храним и обрабатываем реквизиты банковских карт. Поэтому приложение должно соответствовать международному стандарту защиты банковских карт PCI DSS в 12 разделах и российскому стандарту безопасности финансовых операций Центробанка в 9 разделах — выполнять требования ГОСТа 57580 в 2 частях: ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018.
Соответствие стандартам PCI DSS подтверждается ежегодными аудитами, в ходе которых исследуются носители информации: конфигурация компонентов инфраструктуры, защита вычислительной сети и хранимых данных, а также аутентификация — управление доступами. Во время проверок аудиторы проводят внутренние и внешние пентесты: пытаются взломать нас изнутри и снаружи, выявить уязвимости — их результаты заносятся в итоговый отчёт.

ГОСТ Центробанка в основном направлен на финансовую составляющую: транзакции и платежи. Так как Кошелёк не проводит платежи, в отличие от финансовых и кредитных организаций мы можем не соответствовать абсолютно всем требованиям. При этом в результате последней проверки мы успешно прошли аудит о том, что обеспечиваем необходимый уровень защиты согласно ГОСТ 57580.
Мы узнали, какими персональными данными готовы делиться пользователи Кошелька
Подпишитесь на ежемесячную рассылку и получите инфографику в подарок
Нажимая на кнопку «Подписаться», я даю свое согласие на сбор и хранение моего
e-mail администрации сайта blog.cardsmobile.ru (ООО «Бесконтакт»), а также на передачу данных лицам, привлекаемым для цели рассылки электронных сообщений.
Защищённое хранилище
Мы обмениваемся выгрузками по программам лояльности с партнёрами через SFTP-сервер — файловое защищённое хранилище. Обмен данными происходит как в ручном, так и в автоматизированном варианте с соблюдением мер по защите данных и строго регламентируется:
    • Разделяем доступы. Каждый сотрудник заходит именно под своей учётной записью и имеет доступ только к определённым ресурсам, которые положены по должностным обязанностям. Например, у коллег из разработки нет доступа к персональным данным пользователей — им это не нужно для выполнения задач. Мы следим за тем, чтобы данные не были перенесены в публичный доступ. Каждый несёт юридическую ответственность за свою учётную запись и конфигурационные файлы.
    • Точечно подключаем представителей партнёров к нашим ресурсам через статичные IP-адреса. Сотрудники присоединяются через VPN или другую реализованную у партнёра технологию к серверу или к своему рабочему пространству, а уже оттуда человек попадает в систему, вводя логин и пароль. Работа с базой происходит только через официальные каналы.
    • Взаимодействуем с партнёром — просим предупреждать нас о внутренних передвижениях ответственных сотрудников. В случае увольнения или смены должности мы блокируем или меняем доступы.
    • Защищаем приложение от вредоносного кода и вирусов — в постоянном цикле сканируем и устраняем уязвимости информационной безопасности.
    • Предлагаем двухфакторную аутентификацию, защищая от несанкционированного доступа в приложение: пользователь может авторизоваться по пинкоду в смс или биометрии: Face ID или отпечатку пальца.
    • Используем резервное копирование, которое в случае отказа оборудования — например, если из строя выйдет сервер или жёсткий диск, — поможет оперативно восстановить данные.
    Привлекайте новую аудиторию и реактивируйте уже существующую с помощью приложения «Кошелёк». Вы можете разместить карту лояльности, наладить коммуникацию с клиентом, запустить рекламную кампанию и подключить удобный для покупателя сервис оплаты. Заполните анкету ниже — расскажем подробнее о наших возможностях для бизнеса.
    Подключите вашу компанию
    к приложению «Кошелёк»
    Привлекайте новых клиентов среди 40+ миллионной аудитории приложения и получите дополнительный канал для коммуникации с аудиторией — через пуши, акции и спецпредложения.
    Защита от фродовых операций
    Фрод — мошенническое действие, направленное на хищение денежных средств и незаконное списание бонусных баллов. Мы защищаем Кошелёк от фродовых атак: для этого не только ежегодно проходим аудиты, но и проводим сканирование уязвимостей. Проверяем внутри — сами ресурсы, серверы и другие компоненты, а также снаружи — с целью выявления логических и технических дыр в безопасности, в том числе угроз взлома.

    Вместо привычного штрихкода в Кошельке партнёры могут использовать динамический QR, когда при каждом открытии карты генерируется разный код. Cрок протухания одноразового кода зависит от договоренностей с партнёром — он может как истечь раньше, чем человек закроет или заново откроет карту, так и действовать на протяжении нескольких минут. Поэтому, если кто-то сфотографирует экран карты лояльности, при повторном использовании идентификация не пройдёт, так как комбинация кода изменилась.
    В Кошельке реализовано логирование всех действий пользователей в приложении, которое позволяет проводить глубокий анализ мошеннических паттернов и реагировать на возможные аномалии. При выявлении фродовых случаев мы оперативно анализируем произошедшее, разрабатываем мероприятия по минимизации и закрытию риска совершения мошеннических действий и делаем соответствующие доработки.

    Роман Доропей
    Риск-менеджер
    Мы отслеживаем всплески загрузок чеков и большое количество выводов кэшбэка по одному партнёру, чтобы предотвратить возможные фродовые операции. С помощью Machine Learning происходит анализ чеков и блокировка подозрительных аккаунтов — мошенники не успевают выводить деньги. Также в Кошельке установлен лимит суммы кэшбэка, начиная с которого можно выводить деньги на счёт (500 ₽), что снижает риск мошенничества, так как подобные махинации экономически не выгодны. При этом в приложении реализована механика таргетирования, которая позволяет выводить кэшбэк только старым пользователям — так исключаются новые аккаунты, которые могут быть специально созданы мошенниками.

    Если при восстановлении доступа к Кошельку пользователю не удаётся ввести код и пароль из смс, мы сбрасываем реквизиты карт и счетов. В качестве защиты от несанкционированного доступа все платёжные данные ему придётся вводить заново. Соответственно, если злоумышленник как-то получил доступ к устройству пользователя, то без пароля он не сможет оплатить покупки в магазинах с помощью Кошелька.

    Как Кошелёк реагирует на инциденты информационной безопасности

    Если у команды приложения появится подозрение на компрометацию или утечку информации, будет организована группа реагирования на инциденты и проведено расследование. В рабочую группу войдут серверные и мобильные разработчики, сотрудники информационной безопасности, системные администраторы и аналитики. Специалисты проведут проверку на своём участке: выстроят гипотезы, проанализируют ошибки и выявят подозрительные активности.

    Представим, что логи сервера указывают на инцидент с утечкой данных. Чтобы выяснить, на чьей стороне он случился, группа реагирования смотрит, кто из наших и сотрудников партнёра подключался к базе данных. Если факт выгрузки файлов подтверждается на стороне партнёра, мы уведомляем о случившемся — дальнейший разбор, дисциплинарные или взыскательные меры происходят внутри его компании.

    Как Кошелёк защищает активы пользователей и партнёров

    • Соответствует требованиям безопасности PCI DSS — хранит в безопасности данные о банковских картах пользователей.
    • Ежегодно проходит аудит на соответствие требованиям ГОСТ Р 57580 и положения ЦБ к обеспечению защиты информации при осуществлении переводов денежных средств.
    • Персональные данные пользователей хранятся в защищённом изолированном контуре — доступ к ним строго регламентирован и ограничен.
    • Безопасность хранения данных обеспечивается с помощью организационных и технических мер. Кошелёк несёт ответственность за утечку персональных данных и конфиденциальной информации, если это произошло по вине его сотрудников.
    • Удаляет платёжных данные при восстановлении доступа пользователя в аккаунт.
    • Ограничивает возможность вывода кэшбэка с исключением новых пользователей.
    • Проводит анализ чеков с помощью ML с блокировкой подозрительных аккаунтов.