Как приложение «Кошелёк» обеспечивает безопасность персональных данных и платёжной информации, а ещё противостоит фроду

Приложение «Кошелёк» — буфер для обмена информацией о пользователе между торговыми и технологическими партнёрами. Наше приложение интегрировано с CRM-системами ритейлеров и платформами управления лояльностью: мы передаём ФИО, дату рождения, номер телефона и имейл пользователей с их согласия. В свою очередь в приложении может отображаться информация о статусе в программе лояльности, накопленных баллах и даже история покупок, полученные от партнёров.

В Кошельке реализован комплекс мер по защите персональных данных и платежей: организационный (документация) и технический — обо всём подробнее.

Кошелёк — мобильное платёжное приложение, которое хранит и обрабатывает карты лояльности и банковские карты.

Хранение и передача информации строго регламентируется Федеральным законом №152-ФЗ «О персональных данных» — мы следим за его изменениями и дополнениями и несём ответственность за сохранность данных. Кроме того, мы соблюдаем требования локальных нормативных актов о персональных данных, утверждённые Центральным банком, Роскомнадзором, ФСТЭК и ФСБ. Например, в стандартный набор документации входит Положение ЦБ 719-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств защите платежей», «Базовая модель угроз безопасности персональных данных» и технический паспорт объекта с описанием того, где данные хранятся, кто имеет к ним доступ, какие средства вычислительной техники используются и т. д.

Согласно пунктам 6.1, 8.1 и 9.2 Пользовательского соглашения пользователь соглашается с тем, что Кошелёк может передавать третьим лицам персональные данные для выполнения тех или иных договорных обязательств и им предоставляются такие же права в отношении персональных данных, как и Кошельку — в том числе отправка рекламных и сервисных сообщений.

Мы не проводим платежи, но выступая агентом торговых сетей в СБП, доставляем запрос на совершение операции от кассы до процессинга НСПК, а при оплате Долями храним и обрабатываем реквизиты банковских карт. Поэтому приложение должно соответствовать международному стандарту защиты банковских карт PCI DSS в 12 разделах и российскому стандарту безопасности финансовых операций Центробанка в 9 разделах — выполнять требования ГОСТа 57580 в 2 частях: ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018.

Соответствие стандартам PCI DSS подтверждается ежегодными аудитами, в ходе которых исследуются носители информации: конфигурация компонентов инфраструктуры, защита вычислительной сети и хранимых данных, а также аутентификация — управление доступами. Во время проверок аудиторы проводят внутренние и внешние пентесты: пытаются взломать нас изнутри и снаружи, выявить уязвимости — их результаты заносятся в итоговый отчёт.

ГОСТ Центробанка в основном направлен на финансовую составляющую: транзакции и платежи. Так как Кошелёк не проводит платежи, в отличие от финансовых и кредитных организаций мы можем не соответствовать абсолютно всем требованиям. При этом в результате последней проверки мы успешно прошли аудит о том, что обеспечиваем необходимый уровень защиты согласно ГОСТ 57580.

Мы обмениваемся выгрузками по программам лояльности с партнёрами через SFTP-сервер — файловое защищённое хранилище. Обмен данными происходит как в ручном, так и в автоматизированном варианте с соблюдением мер по защите данных и строго регламентируется:

Привлекайте новую аудиторию и реактивируйте уже существующую с помощью приложения «Кошелёк». Вы можете разместить карту лояльности, наладить коммуникацию с клиентом, запустить рекламную кампанию и подключить удобный для покупателя сервис оплаты. Заполните анкету ниже — расскажем подробнее о наших возможностях для бизнеса.

Фрод — мошенническое действие, направленное на хищение денежных средств и незаконное списание бонусных баллов. Мы защищаем Кошелёк от фродовых атак: для этого не только ежегодно проходим аудиты, но и проводим сканирование уязвимостей. Проверяем внутри — сами ресурсы, серверы и другие компоненты, а также снаружи — с целью выявления логических и технических дыр в безопасности, в том числе угроз взлома.

Вместо привычного штрихкода в Кошельке партнёры могут использовать динамический QR, когда при каждом открытии карты генерируется разный код. Cрок протухания одноразового кода зависит от договоренностей с партнёром — он может как истечь раньше, чем человек закроет или заново откроет карту, так и действовать на протяжении нескольких минут. Поэтому, если кто-то сфотографирует экран карты лояльности, при повторном использовании идентификация не пройдёт, так как комбинация кода изменилась.

Мы отслеживаем всплески загрузок чеков и большое количество выводов кэшбэка по одному партнёру, чтобы предотвратить возможные фродовые операции. С помощью Machine Learning происходит анализ чеков и блокировка подозрительных аккаунтов — мошенники не успевают выводить деньги. Также в Кошельке установлен лимит суммы кэшбэка, начиная с которого можно выводить деньги на счёт (500 ₽), что снижает риск мошенничества, так как подобные махинации экономически не выгодны. При этом в приложении реализована механика таргетирования, которая позволяет выводить кэшбэк только старым пользователям — так исключаются новые аккаунты, которые могут быть специально созданы мошенниками.

Если при восстановлении доступа к Кошельку пользователю не удаётся ввести код и пароль из смс, мы сбрасываем реквизиты карт и счетов. В качестве защиты от несанкционированного доступа все платёжные данные ему придётся вводить заново. Соответственно, если злоумышленник как-то получил доступ к устройству пользователя, то без пароля он не сможет оплатить покупки в магазинах с помощью Кошелька.

Если у команды приложения появится подозрение на компрометацию или утечку информации, будет организована группа реагирования на инциденты и проведено расследование. В рабочую группу войдут серверные и мобильные разработчики, сотрудники информационной безопасности, системные администраторы и аналитики. Специалисты проведут проверку на своём участке: выстроят гипотезы, проанализируют ошибки и выявят подозрительные активности.

Представим, что логи сервера указывают на инцидент с утечкой данных. Чтобы выяснить, на чьей стороне он случился, группа реагирования смотрит, кто из наших и сотрудников партнёра подключался к базе данных. Если факт выгрузки файлов подтверждается на стороне партнёра, мы уведомляем о случившемся — дальнейший разбор, дисциплинарные или взыскательные меры происходят внутри его компании.