Mobile Fraud Prevention Mobile Fraud Prevention

Мошенник не взламывает банк. Он звонит клиенту, просит поделиться экраном и подсказывает, куда нажать. Операцию совершает сам клиент, со своего телефона, со своего адреса — и классические правила не видят в ней ничего необычного. Fraudsters do not break into the bank. They call the customer, ask to share the screen and tell them where to tap. The customer makes the payment themselves, from their own phone and their own address — and conventional rules see nothing unusual about it.

Ниже — работающая связка: мобильный банк с встроенным SDK и кабинет антифрод-аналитика. Не ролик и не макеты: всё, что показано на снимках, происходит на живых данных. Below is a working setup: a mobile bank with the SDK embedded and an analyst console. Not a video and not mockups: everything shown happens on live data.

Проверить это можно самому, на своём телефоне: позвонить себе, включить демонстрацию экрана, подать заявку на кредит — и увидеть, что в этот момент показывает кабинет. You can verify it yourself, on your own phone: call yourself, start screen sharing, submit a loan application — and see what the console shows at that moment.

Три сюжетаThree scenarios

Звонок с демонстрацией экрана A call with screen sharing

SDK видит, что идёт разговор и экран транслируется. Приложение скрывает баланс, реквизиты карты и историю операций, а переводы и заявки на кредит становятся недоступны. The SDK detects an ongoing call together with screen sharing. The app hides the balance, card details and transaction history, while transfers and loan applications become unavailable.

Клиент видит, почему это произошло. Скрытый баланс без объяснения выглядел бы поломкой — и человек продолжил бы выполнять указания звонящего. The customer is told why. A hidden balance without an explanation would look like a malfunction — and the person would keep following the caller's instructions.

Главная в обычном состоянии Home screen, normal state

Данные скрыты, показано объяснение Data hidden, explanation shown

Заявка на кредит с чужого устройства A loan application from someone else's device

Заявка приходит в очередь аналитика. Сумма и срок одинаковы у честного клиента и у того, кому диктуют по телефону, — отличает их обстановка, в которой заявку подали. The application lands in the analyst's queue. The amount and term look the same for an honest customer and for someone acting on instructions — what differs is the context it was submitted in.

Параметры, отклоняющиеся от нормы, подняты наверх: приложение установлено час назад, устройство видим впервые, с него уже подавали заявки другие клиенты. Это не вердикт и не баллы — каждый признак объясним по отдельности, решает человек. Parameters that deviate from the norm are raised to the top: the app was installed an hour ago, the device is seen for the first time, other customers have already applied from it. This is not a verdict or a score — each signal has an innocent explanation on its own; the analyst decides.

Детализация заявки с отклонениями Application details with deviations

Компрометация устройства A compromised device

Аналитик блокирует устройство, а не клиента: заблокировав человека, мы оставили бы возможность завести на том же телефоне вторую учётную запись. The analyst blocks the device, not the customer: blocking a person would leave the option of opening a second account on the same phone.

Блокировка нажимается из списка сессий или из детализации заявки — там же, где аналитик увидел причину. Приложение разрывает сессию в течение нескольких секунд, вход закрывается для любой учётной записи с этого устройства. Снятие блокировки возвращает доступ так же быстро. The block is applied from the session list or from the application details — right where the analyst saw the reason. The app ends the session within seconds and sign-in is closed for any account on that device. Removing the block restores access just as quickly.

Что видит SDKWhat the SDK sees

Список не абстрактный: это тот же экран, который встроен в демонстрационное приложение и доступен из профиля. The list is not abstract: this is the very screen embedded in the demo app and reachable from the profile.

Демонстрация экрана и виртуальный дисплейScreen sharing and virtual displays
Активный звонок и его направлениеActive call and its direction
Использование микрофонаMicrophone in use
VPN и публичный адрес устройстваVPN and the device's public address
Подмена геопозицииSpoofed location
Jailbreak, эмулятор, отладчикJailbreak, emulator, debugger
Приложения удалённого доступаRemote access applications
Модель, версия системы, часовой пояс, языкModel, OS version, time zone, language
Дата установки приложенияApp install date
И другие параметры — список постоянно расширяется And more — the list keeps growing

Мониторинг сессии в приложении Session monitoring in the app

Схемы из каталога — в работе Catalogue schemes, in action

Три пункта из списка распространённых видов мошенничества в интернет-банке демонстрация показывает буквально. Three items from the list of common internet banking fraud schemes are shown here literally.

Централизованное управление с одного устройстваCentralised control from one device

Счётчики клиентов и заявок с устройства за окно времени. Counters of customers and applications per device within a time window.

Компрометация устройстваDevice compromise

Блокировка устройства с разрывом активной сессии. Device blocking that terminates the active session.

Нехарактерные для клиента операцииBehaviour uncharacteristic for the customer

Смещение между сессиями, смена языка системы, свежая установка. Movement between sessions, system language change, a fresh install.

Допущения демонстрацииDemo assumptions

Стенд собран, чтобы показать работу SDK и кабинета. Несколько вещей в нём упрощены сознательно — перечисляем их сами, чтобы вопрос не остался за кадром. The stand exists to show the SDK and the console at work. A few things in it are deliberately simplified — we list them ourselves so the question does not stay unasked.

Приложение не проверяет сертификат сервера The app does not pin the server certificate: Обычно банковское приложение отказывается работать, если между ним и банком кто-то встал. Здесь эта проверка выключена намеренно: с ней нельзя посмотреть трафик в анализаторе, а показать зашифрованные данные SDK — часть демонстрации. В рабочей поставке проверка включена. A banking app normally refuses to work if anyone sits between it and the bank. Here that check is off on purpose: with it enabled you cannot inspect the traffic, and showing the SDK's encrypted data is part of the demo. In production builds the check is on.
Шифруются данные SDK, а не весь трафик приложения SDK data is encrypted, not all app traffic: Сквозное шифрование сделано для того, что собирает SDK — это наша часть, и она демонстрируется. Остальные запросы приложения идут к учебному серверу, который играет роль системы банка и нами не поставляется. End-to-end encryption covers what the SDK collects — that is our part, and it is what the demo shows. The app's other requests go to a stand-in server that plays the role of the bank's own system and is not part of our delivery.
Числовые границы выставлены под короткий показ Numeric limits are set for a short demo: Кабинет отмечает, например, шесть заявок с одного устройства за сутки или двух клиентов на одном телефоне за неделю. Для банка с миллионом клиентов такие числа были бы другими: они настраиваются под поток конкретного банка, а здесь выбраны так, чтобы признак было видно за десять минут показа. The console flags, say, six applications from one device in a day or two customers on one phone in a week. For a bank with a million customers these numbers would differ: they are tuned to each bank's own volume, and here they are chosen so the signal is visible within a ten-minute demo.
Автоматических блокировок нет No automatic blocking: Мы сознательно не стали делать правила, которые сами останавливают операцию или закрывают клиенту доступ. Кабинет показывает, что отличается от обычного, а решение принимает аналитик. Такие правила пишутся под процессы конкретного банка, и подставлять вместо них свои было бы неверно. We deliberately did not add rules that stop a payment or cut off a customer on their own. The console shows what differs from the usual, and the analyst decides. Such rules are written for each bank's own processes, and substituting ours would be wrong.

Запросить доступRequest access

Доступ к демонстрационному приложению и кабинету предоставляется по запросу. Access to the demo app and the console is provided on request.

[email protected] +7 (499) 490-24-02

ООО «УайХэппен», резидент Сколково. Компания создана специалистами в области аудита, информационной и экономической безопасности. WhyHappen LLC, a Skolkovo resident. The company was founded by practitioners in audit, information and economic security.