Przestępcy szykują się do nowych ataków na banki

- Rozmawiałem z ludźmi z różnych służb. Ostrzegają, że następuje zmiana zainteresowań zorganizowanych grup przestępczych z karuzel vatowskich na banki - mówił na spotkaniu w wąskim gronie wysoki przedstawiciel jednego z największych polskich banków.

Banki nigdy dotąd nie mogły spać spokojnie. Związek Banków Polskich podaje, że w III kwartale tego roku próbowano wyłudzić 1.756 kredytów o łącznej wartości 130,5 mln zł. A to oznacza 19 prób wyłudzeń kredytów każdego dnia. W ciągu ostatnich dwunastu miesięcy złodzieje próbowali wyłudzić ponad 7 tys. kredytów na kwotę ponad 420 mln zł, a więc za każdym razem średnio prawie 30 tys. zł.

Mowa tu oczywiście o udaremnionych próbach wyłudzeń. Ile jest tych, które się udają? Tego rzecz jasna dokładnie nie wiadomo. Biuro Informacji Kredytowej szacuje, że jest ich znacząco więcej.

- Szacujemy, że z polskich banków wyłudzane jest rocznie 500-600 mln zł kredytów, czyli zobowiązań zaciąganych bez intencji spłaty. To około 0,5 proc. kredytów udzielanych rocznie przez banki - mówił prezes BIK Mariusz Cholewa podczas Kongresu Bankowości Detalicznej w Warszawie.

Tegoroczne badania firmy doradczej EY i Konferencji Przedsiębiorstw Finansowych pokazują, że z próbami wyłudzenia kredytu w ciągu minionych dwunastu miesięcy spotkało się 76 proc. banków. Drugim najbardziej popularnym sposobem wyłudzania pieniędzy są metody z użyciem kart płatniczych oraz nieautoryzowane transakcje. 18 proc. banków sygnalizowało problem z nadużyciami wewnętrznymi.  

Finanse na celowniku przestępców

Wyłudzenia nie są rzecz jasna polską specjalnością. W Wielkiej Brytanii organizacja CIFAS powołana do tego, żeby informacjami o fraudach dzieliły się między sobą różne sektory, odnotowuje jedną próbę wyłudzenia co dwie minuty. W Polsce banki są najbardziej atrakcyjne dla przestępców, bo tam jest najwięcej pieniędzy. Ale nie tylko. Przestępcy wprawdzie się specjalizują, najczęściej jednak atakują rozmaite instytucje z branży finansowej: prócz banków także firmy leasingowe, ubezpieczeniowe czy pożyczkowe i poza nią.

- Liczba nadużyć rośnie nie tylko w sektorze finansowym. Nadużycia nie są sektorowe, więc przeciwdziałanie im też nie może być sektorowe - mówił Marcin Nadolny z SAS Institute, firmy zajmującej się technologiami informatycznymi, między innymi twórcy systemów antyfraudowych.

Co więcej, wyłudzenia nie dotyczą tylko prywatnego sektora i nie tylko finansowego. Z firm telekomunikacyjnych wyłudzane są drogie smartfony, a pieniądze publiczne z ZUS i z NFZ. W 2014 roku NFZ oszacował starty spowodowane wyłudzeniami na 650 mln zł. Na czym polegają wyłudzenia w NFZ? Na pobieraniu opłat za świadczenia, których nie było, podwyższaniu wartości świadczeń, wypisywaniu leków na inwalidów wojennych, marnotrawstwie przy powielaniu tych samych badań czy korupcji - przesuwaniu w publicznej kolejce tego, kto zapłacił za wizytę w prywatnym gabinecie specjalisty.

- Teraz bardzo ostrożnie szacując, może być to ok. 800 mln zł. Służba zdrowia jest na początku walki z wyłudzeniami - mówił Mariusz Skrzypek z centrum systemów informatycznych ochrony zdrowia.

Wyłudzenia różnego rodzaju panoszą się w ubezpieczeniach zarówno majątkowych, jak i na życie. Przestępcy mają spore pole do popisu, roczne wypłaty odszkodowań to 36,7 mld zł z tego 12,2 mld zł w komunikacji. Przestępstwom stara się przeciwdziałać Ubezpieczeniowy Fundusz Gwarancyjny, tworząc system wymiany informacji zasilany już przez 27 zakładów. Zgromadził on 403 mln rekordów - to informacje o polisach, zdarzeniach, wypłatach odszkodowań. Pozwolił on na przykład zidentyfikować ok. 90-110 tys. kierowców niemających OC.

- System wykrywania zwrócił się w parę miesięcy - mówiła Małgorzata Ślepowrońska, członkini zarządu UFG.

Nie wszystkie zakłady przystąpiły do tego systemu i Małgorzata Ślepowrońska mówi, że to do nich przeniosło się zjawisko wielokrotnych ubezpieczeń. To najprostsza metoda wyłudzeń. Za jedną, czasem zresztą rzekomo zgubioną w czasie podróży walizkę można zainkasować kilka wypłat odszkodowania. Inny sposób to zawarcie kilku umów na życie i upozorowanie zgonu. Fałszowanie aktów zgonu stanowi ponad 30 proc. wszystkich wyłudzeń w ubezpieczeniach na życie. Są one najliczniejsze i najbardziej kosztowne. Inny sposób to zawieranie umów z osobami w stanie terminalnym.

Mariusz Cholewa - kierowany przez niego BIK utworzył platformę antyfraudową i testował ją z UFG - mówi, że zależności między szkodowością kredytową a ubezpieczeniową wynosi ok. 80 proc. Tylko dzięki współpracy między sektorem bankowym a ubezpieczeniowym można byłoby zmniejszyć wyłudzenia kredytów w bankach o 20-25 proc., czyli o ok. 100 mln zł rocznie. To pieniądze, po które warto się schylić.

- Sama wymiana informacji o nadużyciach nie wystarcza. Potrzebne jest też analizowanie informacji, wykrywanie anomalii, modelowanie predykcyjne, analityka sieci powiązań, czarne listy, automatyczne reguły biznesowe - mówił Marcin Nadolny.

Bazę informacji o nadużyciach BIK zasila już 18 banków i 11 firm pożyczkowych - i wszystkie one czerpią z tego korzyści. Jak to działa? Jeśli na przykład wniosek z fałszywą tożsamością został złożony, jest on natychmiast zgłaszany pozostałym - to ich ostrzega. Dostarczane są informacje o skompromitowanych rachunkach bankowych, czyli służących na przykład do przelewania wyłudzonych pieniędzy, o używanych przez przestępców fałszywych tożsamościach, adresach urządzeń, z których korzystają przestępcy.

Nowe projekty

Na tym nie koniec, bo banki i inne instytucje finansowe wiążą duże nadzieje z projektem STIR, czyli przeciwdziałania wykorzystywaniu sektora finansowego do wyłudzeń skarbowych, przyjętym we wrześniu przez rząd. Projekt zakłada, że szef Krajowej Administracji Skarbowej (KAS) na podstawie danych z sektora finansowego będzie analizował ryzyko wykorzystywania działalności banków i SKOK-ów do popełniania przestępstw skarbowych, w tym wyłudzeń VAT.

Będzie działało to tak, że banki będą przekazywać dane do systemu STIR prowadzonego przez Krajową Izbę Rozliczeniową, ta będzie analizować ryzyko wyłudzeń i informacje wskazujące na możliwość próby wyłudzenia przekazywać do KAS oraz - zwrotnie - do banków. W ten sposób banki dostaną ze STIR zwrotną ocenę ryzyka kredytowego.

Niektóre banki mają już swoje systemy antyfraudowe, działające na podobnych zasadach, to znaczy analizujące transakcje, dane o podmiotach, które ich dokonują, i określające na tej podstawie ryzyko wyłudzenia. PKO Bank Polski korzysta na przykład z systemu zaprojektowanego przez SAS. Nie wszystkie zdecydowały się na używanie systemów analitycznych - na razie ma je dwie trzecie banków.

- Być może sektorowi da się wypracować całościowy system antyfraudowy - powiedział Adam Marciniak, wiceprezes PKO BP.

Sektor finansowy wciąż zastanawia się, co jest bardziej groźne - tradycyjne wyłudzenia czy też cyberprzestępczość, a wiec wyłudzenia następujące przez bankowość internetową. Wspomniane badanie EY i KPF pokazuje, że ankietowane instytucje finansowe uważają, iż ryzyko wyłudzeń w minionym roku wzrosło, a najbardziej - ryzyko cyberataków. Ich skala z roku na rok jest większa, ale na razie banki tracą naprawdę duże pieniądze głównie wskutek tradycyjnych wyłudzeń.

- Doświadczamy wszelkiego rodzaju fraudów. Najwięcej w bankowości mobilnej i elektronicznej - mówi Adam Marciniak.

Dodaje jednak, że metody elektroniczne, a więc phishing, zarażanie malwarami, przejęcie tożsamości to ok. 97 proc. wszystkich prób, ok. 1 proc. to wyłudzenia kartami, a reszta - "tradycyjne" sposoby lub przestępstwa wewnętrzne. Jeśli natomiast chodzi o wielkość kwot, proporcje są odwrotne - zwykłe wyłudzenia i wewnętrzne odpowiadają za ok. 97 proc. strat, a elektroniczne za resztę. Te pierwsze przynoszą nie tylko największe straty, ale też najtrudniej je wyłapać. 

Kongres Bankowości Detalicznej zarekomendował, żeby lepiej wykorzystać istniejące instytucje do międzysektorowej wymiany informacji o ryzyku wyłudzeń, umożliwić wykorzystanie KIR do przeciwdziałania nadużyciom i powołać komitet ustalający mechanizmy współpracy pomiędzy sektorami w przeciwdziałaniu nadużyciom i proponujący zmiany w prawie mogące to ułatwić.

Jacek Ramotowski