Мошенники похитили 9 млн рублей из-за ошибки в банкоматах банка «Москва-Сити», сообщили в понедельник «Ведомости».

Инцидент произошел в период с 15 по 19 мая прошлого года. Злоумышленники использовали следующую уязвимость: они выбирали опцию перевода денег с карты на карту через сервис Mastercard — MoneySend, но в последний момент не подтверждали или отменяли операцию. При этом, несмотря на отмену операции, операции деньги все равно зачислялись на одни карты и восстанавливались на других (средства «переводились» с карт Сбербанка на карты Тинькофф Банка).

Для реализации схемы злоумышленники использовали банкоматы на Киевском, Ярославском, Казанском, Ленинградском и Павелецком вокзалах. Всего таким образом было «переведено» свыше 134 тыс. долларов.

Известно о махинациях стало только сейчас из решения Арбитражного суда по иску банка «Москва-Сити». В марте этого года суд требовал с АО «Компания объединенных кредитных карточек» и Росбанка 9 млн рублей: первый ответчик работает под брендом UCS и обрабатывает операции в банкоматах «Москва-Сити», Росбанк оказывает истцу спонсорские услуги в платежных системах.

Суд отклонил иск «Москва-Сити», поскольку истец не представил доказательств, что к убыткам привели действия ответчиков. 8 мая банк подал апелляцию.

По словам эксперта по информационной безопасности банков Николая Пятиизбянцева, изучившего решение суда, ошибка в настройках банкоматов «Москва-Сити» заключалась в том, что банк — владелец банкомата считал, что операцию все еще можно отменить, а банк получателя — что перевод уже отозвать нельзя; далее мошенник отменял операцию, и сумма перевода восстанавливалась на карте отправителя, одновременно эта же сумма приходила и на карту получателя: это было возможно, поскольку по правилам Mastercard для операций MoneySend банк получателя может не согласиться с отменой операции.