Владимир Карнишин: Видео-игры создали райские условия для мошенников

 На вопросы Anti-Malware.ru любезно согласился ответить Владимир Карнишин, руководитель отдела эквайринга и управления рисками компании Xsolla. Это интервью продолжает цикл публикаций «Индустрия в лицах». 

Расскажите немного об Xsolla. Чем занимается компания?

Если совсем кратко – Xsolla дает игровому миру платежные системы: любые (от приема наличных в терминалах до платежей с мобильных телефонов, банковских счетов, кредитных карт и электронных кошельков) и повсюду (во всех регионах и странах, где люди играют). Основная задача компании, которая занимается играми, — это непосредственно создание (покупка) игры и ее распространение. Как заработать и что нужно сделать для получения оптимального результата — вопросы, несомненно, важные, но не профильные для создателей игр. Xsolla, наоборот, является экспертом в области платежей в играх. Мы знаем об это все и постоянно совершенствуемся.

Какие задачи ставят перед вашим отделом в Xsolla?

В Xsolla у меня и моей команды есть два основных направления деятельности — управление рисками (антифрод во всех его проявлениях) и эквайринг (создание и сопровождение карточного решения для наших клиентов). Здесь разработка антифрод-системы, создание ограничений, порогов, правил, работа с МПС (международными платёжными системами) и банками, взаимодействие с поставщиками антифрод-систем, решение вопросов с плательщиками, а также интеграция платежных шлюзов, реализация обширного функционала для плательщиков — быстрые оплаты, платежи по расписанию и автоматическое пополнение игрового баланса по достижению минимального остатка на счете.

Мы отвечаем за то, чтобы через Xsolla можно было комфортно оплатить картой товар в любимой игре, а также за то, чтобы этим сервисом не пользовались мошенники для вывода чужих денег через продукты наших партнеров.

Почему интернет-мошенничество получил такое распространение в игровой индустрии?

Исторически мошенники начинали с банальных краж карт на улице и в кафе, а потом пытались обналичить средства. Это совсем небезопасно и сложно. Кроме того, что где-то надо было подсмотреть пин-код, нужно еще и самому или через подельников стоять у банкомата. Риски слишком высоки, но потенциал кардинга сложно переоценить. Злоумышленники стали придумывать более изощренные и менее рискованные методы.

Следующим этапом стали скиммеры (взломщики, использующие инструмент для считывания магнитной дорожки платёжной карты), белый пластик (полученная незаконным путем информация о чужой карте заключается на пластик) и многое другое. Карточные балансы стали выводить через бытовую технику, электронику и др. Есть негласное правило в этой сфере: нельзя выводить карты в своем регионе (в т.ч. потому, что слишком высок риск быть наказанным). Карты везли в ближайшие страны, покупали там технику и сбывали там же на соседнем рынке, привозя с собой толстый кошелек наличных средств.

С одной стороны, это сложнее, хотя и менее рискованно, чем обналичивание в банкомате; но с другой — забирать технику кому-то все равно надо, а когда даже не знаешь баланса карты, — есть риск попасть в руки службы безопасности или полиции.

Далее были заказы электроники на несуществующие адреса и даже мошеннические схемы в интернет-магазинах, когда товар вообще не надо было забирать — его покупали прямо в сети. Новые методы привнесли распространение продаж авиа-билетов в интернет-магазинах; было создано множество фишинговых (фишинг – незаконное получение доступа к конфиденциальным данным пользователей) ресурсов, схемы стали особо изощренными. Деньги переводились со счетов жертв на счета мошенников, при этом реальные билеты оплачивались поддельными картами и ничего не подозревающих людей снимали фактически с трапа самолета и везли в полицию.

Вектор развития кардинга сильно изменился с ростом игровой индустрии. Интерактивные развлечения создали «райские» условия для мошенников, ведь все платежи в играх анонимные, всегда были, есть и будут игроки, которые желают получить игровые блага дешевле, не тратя на них свои кровные средства. Как не откликнуться на сообщение на форуме, которому доверяешь: «Продам кристаллы за 50%»? Еще друзья из клана говорят, что они пробовали и это реально работает. Сложно удержаться от соблазна.

С какими типами угроз чаще всего сталкиваются ваши клиенты?

Основная угроза – передача виртуальных благ игрокам по финансово необеспеченным транзакциям. Игровая валюта передана, но деньги за нее получены не будут. На самом деле в этом процессе есть несколько участников: владелец платежного аккаунта (например, кредитной карты), игра, игрок, Xsolla, платежная система (например, банковский процессинг) и злоумышленник.

Рассмотрим ситуацию, когда игрок соглашается на аферу с получением игровой валюты за полцены. Злоумышленник начисляет игровую валюту клиенту  и получает какую-то сумму на сторонний электронный кошелек. Владельцу аккаунта приходит SMS о списании суммы игровой валюты, он идет в банк и начинает разбираться, почему у него списали деньги. Банк проводит расследование и возвращает сумму обратно на карту (по факту на счет, т. к. карта блокируется), деньги не поступают ни в Xsolla, ни в игру. Игровая валюта у геймера изымается. В итоге пострадали все, кроме мошенника, который заработал на афере и, скорее всего, не был пойман.

Какой вид мошенничества наиболее распространен среди игроков?

Обычно все крутится вокруг трех стандартных ситуаций. Например, игроку хочется такой же самолет, как у друзей из клана, и он идет на крайнюю меру и платит с карты родителей, ничего об этом им не говоря. Это «дружеская» мошенническая схема (friendly fraud). Бывает, что игрок получил доступ к чужим картам или карте и платит себе учётную запись, проигрывая средства в игровом процессе. Существует и pro-кардинг – организованная преступность с целью получения прибыли. Кто-то занимается кражей данных платежных аккаунтов, кто-то поиском средств их вывода, кто-то выводом и др. Часто звенья этих преступных цепочек даже не знают друг друга и общаются анонимно в чатах. Самым опасным остается третий вариант.

Какова ситуация на нынешнем рынке антифрода? Какие решения существуют и на основе каких принципов работают?

Изначально все системы антифрода были самописными и проектировались IT-подразделениями банков, платежных систем под собственные нужды. Сейчас это отдельное направление бизнеса с современными темпами развития электронной коммерции. Очень прибыльное направление. Принципы работы подобных решений могут быть различными — от ручной обработки платежей (не актуально для нашего трафика, когда товар должен быть получен сразу после совершения оплаты) до настройки фильтрации по параметрам и формирования скоринговых систем по заданию весов для параметров платежа.

Какие наиболее известные поставщики решений антифрода?

Основной рынок антифрод-решений – США. Большинство сильных компаний, которые серьезно развились в этом направлении, оттуда. Никто из них не специализируется на игровом трафике. Часто это общие универсальные системы, которые не всегда можно подстроить под игровую специфику. Мы же развиваем решение именно на игровом трафике для цифровых товаров.

Существуют ли эффективные инструменты автоматизированного отсеивания подозрительных платежей? Или каждую транзакцию необходимо обрабатывать вручную?

Существуют. Полностью интернет-мошенничество отсечь не получится, да и нет такой цели, так как остаются первый и второй виды мошенничества (о которых я говорил выше), когда платеж формируется разово для игровых аккаунтов с хорошей историей. Ручная обработка платежей нужна только в случае, когда присутствует сложная логика автоматизации разбора такого случая. Пока мы придерживаемся модели автоматизированной системы (с участием операторов-аналитиков). Возможно, в дальнейшем перейдем на полностью автоматический вариант обработки платежей.

Кроме кардинга, какие еще платежные инструменты пользуются наибольшей популярностью у мошенников?

В первую очередь, электронные кошельки с возможность привязки и пополнения картой и платежи с мобильных телефонов. Реже карты предварительной оплаты и совсем редко мы сталкивались с мошенничеством терминалов. Предположу, что этот вид фрода вообще уйдет в небытие со временем, так как рынок платежей наличными во многих регионах сходит на нет.

Какие методы вы используете для борьбы с подозрительными платежами? Как вы их определяете и предотвращаете?

Детали борьбы с мошенничеством по понятным причинам я раскрыть не могу. В общем эта работа ведется в двух направлениях: анализ параметров платежа и истории платежей. Здесь и геолокационные методы — сравнение географии игры, локализации, IP-адресов, банка, выпустившего карту, биллинг-адреса, кода номера телефона, а также более сложные варианты с анализом языка браузера и часового пояса, выбранного на компьютере. И работа с анализом параметров устройств, с которых выполнялась оплата. Мы анализируем в т.ч. игровые параметры — информация о персонаже, такая как дата регистрации, уровень игрока и многое другое.

Отличается ли подход к определению мошеннической деятельности в разных играх и разных регионах?

Да, как я говорил выше, игровая специфика и состав аудитории решает многое. В первую очередь, страдают популярные игры. По опыту могу сказать, что мошенничества больше в играх, где среднестатистический пользователь школьник или студент, нежели в проектах, где собираются состоявшиеся взрослые люди.

Кто обычно чаще обращается к вам с жалобами на мошенничество? Были ли у Xsolla кейсы по предотвращению массовых закупок виртуального товара, которые могли бы сломать общую экономику игры?

Рынок пластиковых карт очень серьезно развит в США. Карты у них используются везде и всюду, отсюда и массовые случаи компрометации, поэтому карты американцев чаще всего попадаются в поле зрения. По работе приходилось сталкиваться с ужасными ситуациями, когда внук потратил в игре деньги, которые дед откладывал на памятник, или сын потратил всю зарплату родителей. Не хотелось бы обсуждать такие случаи подробно. Они были, есть и будут. Xsolla помогает решать подобные ситуации и возвращать средства пострадавшим. Отследить такие ситуации обычно можно за счет анализа увеличения сумм, потраченных в играх.

Вы используете собственные системы предотвращения антифрода или полагаетесь на сторонние решения?

Мы работали с несколькими основными поставщиками антифрод-решений. Сейчас  используем своеобразный микс технологий. У нас есть своя внутренняя система и набор сторонних сервисов. В первую очередь, это аналог справочников для определения банка карты, географии и репутации IP-адреса.

Есть ли открытые базы данных, куда вносится информация о подозрительных картах?

В общем доступе такой информации нет. Скомпрометированные карты блокируются, а черные списки ведутся на уровне конкретных решений. Исключением, пожалуй, являются компании, которые работают в составе МПС.

Игры сталкиваются с огромным количеством угроз ежедневно. Какие меры предосторожности порекомендуете обычным пользователям?

Я рекомендую не нарушать условия пользовательских соглашений, не вестись на сомнительные предложения на форумах. При оплате нужно следовать уже привычным шагам. Платить на проверенных ресурсах, использовать дополнительные методы аутентификации и др. Стоит подключить SMS и email-оповещения, следовать парольной политике и др. Все это не сложно, но эффективно.

Спасибо за интересное интервью.