Собственно контекст происшествия изложен в видео. Его можно посмотреть, из оригинала вырезаны шокирующие зрителя и бессмысленные кадры.
Для тех кто принципиально ролики не смотрит, кратко изложим факты. Поскольку в видео старательно обошли адреса, имена и явки, их пришлось искать по прочим открытым источникам.
Итак, из депозитного хранилища банка “РосДорБанк”, что в Питере на Мичуринской, в период с 7 по 15 марта с.г. было украдено $450 тыс., €30 тыс. и ювелирные украшения на общую сумму $10 млн. Пострадавших всего трое: экс-гендиректор «Ленфильма» Инесса Юрченко, художница Арина Комарова, а также гендиректор «Энергомашбанка» Геннадий Ветров.
Никакого силового воздействия не было, сама кража вскрылась тогда, когда один из пострадавших положил в ячейку деньги, а через сутки обнаружил её пустой.
Дальше самое интересное. Цитируя пресс-службу МВД: “он воровал деньги при помощи современных технологий. Злоумышленник получал доступ в хранилище с банковскими ячейками и выносил их содержимое”.
А что, так можно было? Спросите Вы. Давайте разбираться, история получилась познавательная и занимательная. Для начала приведём большую цитату из материалов издания “Фонтанка”, журналисты которого глубже всех сумели разобраться в ней:
“Сотрудники службы безопасности «РосДорБанка» заявили, что пока сами не представляют, как из их хранилища удалось украсть валюту и украшения на 1,6 млрд рублей. По словам пресс-службы банка, их система является одной из самых надёжных в мире.
— Сложность раскрытия всех обстоятельств хищения заключается в особенностях нашей автоматизированной системы хранения, одной из самых надёжных в мире, которая наряду с многоступенчатой системой идентификации клиента предполагает отсутствие его контакта с сотрудниками банка, — прокомментировала ситуацию пресс-служба.
Многоступенчатая система идентификации клиента включает в себя несколько этапов для получения доступа к ячейке: использование магнитной карты, уникального пин-кода, и ключа, который выдается клиенту при заключении договора аренды. Эти меры, вместе с обособленным помещением с сейфом, обеспечивают высокий уровень защиты.
Представители банка отметили, что их служба безопасности быстро предоставила правоохранительным органам необходимую информацию, что помогло оперативно расследовать случившееся и задержать подозреваемого. В настоящее время ведется работа по возврату похищенного и проведению собственной проверки событий.
Все прочие банковские операции продолжаются в обычном режиме, а хранилище, находящееся в главном офисе, надёжно защищенно в соответствии с требованиями Центробанка РФ. В то же время, приняты дополнительные меры по контролю за обслуживанием депозитария до завершения следственных действий.
Как описывает банк, хранилище на Мичуринской автоматизированное и круглосуточное. Смысл в том, что клиентов в нем не встречает специальный человек со специальными ключами и полномочиями сверять фото из паспорта с физиономией арендатора ячейки. Депозитарий был открыт в 2011 году и включал в себя хранилище ценностей наивысшей категории укреплённости. Банк хвастался, что в нем стоит оборудование компании Gunnebo — шведский концерн делал личный сейф императору Николаю II, а в конце прошлого века взял на себя ответственность беречь корону Елизаветы II. «Каждая ячейка имеет механический замок, открыть который может только клиент собственным ключом. Система контроля предоставляет доступ к депозитной ячейке при помощи банковской магнитной карточки и введения ПИН-кода. В качестве дополнительных средств идентификации используется устройство определения клиента по биометрическим показателям — по отпечаткам ладони и пальцев правой руки», — сказано на сайте банка 13 лет назад.”
Что мы имеем. Кража произошла в полностью автоматизированном хранилище, доступ клиентов в которое осуществляется в режиме 24/7 полностью без участия сотрудников банка. Что не так в банковской рекламе. “Одно из самых надёжных хранилищ в мире” таковым не может быть в автоматизированном исполнении по определению.
Напоминаем, что максимальный класс защиты банковских хранилищ и их дверей - тринадцатый. Дверь такого класса, если верить упомянутому банком поставщику, весит чуть более 7 тонн. Вы можете себе представить, что её можно эксплуатировать в режиме самообслуживания? Мы тоже не можем и подобные инсталляции нам неизвестны.
Двери даже 5-го класса в таких “банках самообслуживания”, несмотря на обычные 500-600 килограмм веса не применяются. По множеству причин, начиная от вульгарного отсутствия доводчиков под такую массу подвижной системы. Не забывайте и о том, что начиная с четвёртого класса обязательны два замка. Так что, в лучшем случае, инсталляция была третьего класса. И да, никаких требований ЦБ РФ по защите (укреплённости) хранилищ в текущем веке не существовало.
Теперь чуть-чуть про “шведский концерн”. Во времена Николая II никакого концерна не существовало вообще. А если обратиться к доступному справочнику по сейфам от 1996 года, то полный список производителей сейфов из Швеции выглядит так: Daloc AB, Hadak Security AB, Nordsec Security AB, Robur Safe AB, E.A. Rosengrens AB, Rosengrens Vardeskydd AB и всё, точка. В чём там кто-то хранит корону покойницы, при наличии в те годы королевского “аппойтмента” у Chubb, оставим на совести у сказочников.
Прежде чем мы вернёмся к схеме организации кражи, оказавшейся нетривиальной и даже несколько высокотехнологичной, напомним про “«Каждая ячейка имеет механический замок, открыть который может только клиент собственным ключом. Система контроля предоставляет доступ к депозитной ячейке при помощи банковской магнитной карточки и введения ПИН-кода. В качестве дополнительных средств идентификации используется устройство определения клиента по биометрическим показателям — по отпечаткам ладони и пальцев правой руки»
Маленький инсайд из сейфово-замковой индустрии. То, что никакая биометрика не сертифицирована для использования в качестве средства авторизации, давно и широко известно.
Факт первый. Где-то в самом начале текущего столетия финский KASO, а уж кто больше них производил в то время банковских дверей и хранилищ, мы не знаем, установил у себя в выставочном зале систему авторизации доступа со сканером ладони. И проработала эта штуковина в режиме демонстрации только пару лет.
После первых же инсталляций у клиентов выяснилось, что в реальных условиях это не работает. Количество ложных авторизаций и ошибочных отказов превысило все разумные пределы терпения. После чего всю красоту заменили на проксимити карты.
Факт второй. Рассказан одним из лучших производителей сейфовых замков. Крупный международный банк объявил тендер, одним из условий которого была биометрика на электронном замке. Только палец. “Наши” проиграли, поскольку, будучи разумными, ничего подобного не делали. Прошёл год и на их улице опрокинулась тележка с пряниками. Пришёл контракт от того самого банка на замену всех замков. Вообще всех, даже тех, что были без сканеров отпечатков. Биометрика настолько достала банковских сотрудников, что они решили с выигравшим тендер производителем вообще никаких дел больше не иметь.
Ну и совсем инсайд. Поскольку большинство инсталляций с биометрическими игрушками, когда дело доходит до глаз и ладоней, выстраиваются как некий дисплейчик на дизайнерской ножке, полностью ампутировать эту красоту, при отказе от неё, практически невозможно. Наиболее простым способом избавиться от проблемы является программное отключение авторизации. Которое может исполнено как чтение показаний при игнорировании их использования для авторизации.
То есть, если вдруг клиент такого банка самообслуживания приедет, к примеру на лошади, то он вполне может и её копыто приложить к сканеру, всё равно откроется. Если, конечно, пин код правильный ввести.
Из современных инсталляций Gunnebo сканер отпечатка "правой ладони" исключён, следов от него не осталось.
Возвращаемся к краже. Как это было. Исполнитель, которого задержали в аэропорту, был просто ногами за пару процентов от добычи. Замысел и основной исполнитель был в Румынии. На первом этапе герою передали специальный девайс для считывания и записи карточек, используемых для доступа в помещение. Почти такое же, как используется на банкоматах. Помните, инсталляция 2011 года самое позднее, тогда никаких бесконтактных считывателей не было.
Несколько дней, а то и недель накапливались данные, которые затем исполнитель переслал в Румынию. Откуда затем он получил что-то вроде мастер-карты и микро камеру с рекордером. И ещё один элемент, о котором чуть позже.
Получив фактически бесконтрольный доступ в хранилище, он установил в системе вентиляции камеру таким образом, чтобы видеть набираемые “пин-коды”. Панель-то под сканер ладони здоровая, кнопки на ней крупные, большой проблемы собрать базу не составило.
Наиболее вероятно, что считыватель карточек переместился на внутреннюю дверь. Что дало возможность собрать пары авторизаций: карточки + пин код. Банковская служба безопасности в принципе отличилась умом, сообразительностью и невнимательностью, прощёлкав воздействие на кард-ридер. На следующем этапе новый массив данных опять был переправлен в Румынию. Где был обработан и через некоторое время исполнителю было выдано задание, какие ячейки открывать.
Следующий интересный момент носит чисто технический характер, скорее всего неизвестный и банковской службе безопасности. Дело в конструкции ячеек. Поскольку Gunnebo ничего своего в этой сфере никогда не производило, то донором стала система разработки Rosengrens, которую “Гунёво” поглотило где-то на границе тысячелетия. Эти ячейки были более чем оригинальны и специфичны.
Как Вы наверняка видели, на любых депозитных ячейках ключей всегда два. Как правило левое отверстие (на обычной правосторонней дверце) предназначено для “клиентского” ключа, а правое - для “банковского”.
Rosengrens решил изгалиться и сделать более сложный по механике замок, совместив использование двух ключей в одной “дырке”. Что сделало внешний вид инсталляции более привлекательным.
Здесь следует закинуть камень в огород уже икающего Gunnebo и “закупщиков” банковского оборудования. Попавшая в “РосДорБанк” автономная система, как и множество ей подобных, рекламировалась не как возможность предоставить клиентам дополнительное удобство, давая возможность избавить их от зависимости от рабочих часов отделения, а как возможность банку повысить тарифы на обслуживание.
Именно поэтому банки и “ведутся” на подобные системы, так как они не столько экономят на персонале, сколько собирают дополнительных денег со своих клиентов. Точно на этом же была построена привлекательность ячеек Rosengrens. Граждане всегда должны понимать, что проявление любым банком “заботы о клиенте” это верный признак подорожания услуг.
Возвращаясь к железкам. Получившийся замок, что естественно, вышел сложным, дорогим и ломучим. Поэтому появилась следующая реинкарнация. Та половинка замка, что отвечала за “банк” или, если хотите, “администратора”, была удалена из ячейки и перенесена на колонку. То есть наверху каждой колонки появился ключ, который разблокировал для клиента не только его ячейку, но все, находящиеся в этой колонке.
Что, само по себе, давало возможность, как только банковский сотрудник удаляется, попытаться сунуть нос к соседям. Случаи успешного “посещения” были, но всегда тщательно замалчивались. Хотя интересующиеся вполне могли приобрести у специфических производителей “набор для разблокировки” как раз таких замков. Имён и подробностей не дождётесь, у нас оборот такого инструмента запрещён.
Перенос “банковского” ключа на следующем этапе развития депозитных систем дал шведам возможность существенно сэкономить. Как только начали внедряться электронно управляемые депозитарии, оказалось, что “Розенгренсовская” система существенно экономичнее. Тогда, когда всем прочим пришлось тащить провода от управляющего контроллера к каждой ячейке, а их в колонке легко может быть двадцать и более, шведам было достаточно пары проводов на колонку.
Причём это принесло ещё дополнительные бонусы. Если технически продвинутый клиент, увидев отпирание “администратором” всей колонки одновременно, ещё мог усомниться в безопасности своей ячейки, когда придут “соседи”, то при электрическом управлении заподозрить то, что разблокирована не одна а двадцать ячеек, уже невозможно.
Справедливости ради надо заметить, что все механические замки для депозитных ячеек отличаются от всех остальных ключевых тем, что они всегда перекодируемые. Причём обе “половинки”. Так что, когда в традиционном полностью “механическом” хранилище банковский сотрудник своим ключом разблокирует Вашу ячейку, Вы думаете, что его ключ так же “уникален”, как и Ваш, а по факту он может быть вообще один на всё хранилище. Со всем многообразием промежуточных вариантов.
Вот Вам сюрприз. Поскольку сам замок, установленный на каждой отдельной ячейке, фактически конструктивно не изменился, то есть остался технически избыточным, заботливые шведы заменили функцию “администратора” на “мастера”. То есть в каждый замок, помимо “клиентского” ключа можно вписать и “мастер”, который позволит проинспектировать содержимое ячейки и без клиента.
Очевидно, что эта функция глубоко скрыта и ни в какой доступной документации её упоминание найти не удастся. Но факт остаётся фактом и “РосДорБанк”, видимо не понимая всех последствий, её, что называется “слил”. Пресслужба банка заявила, что: “… естественно, после того как вскрылась первая кража, ячейки подвергли «инвентаризации». Быстро выяснилось, что еще в одном сейфе не хватает 200 тысяч долларов, у кого-то пропали драгоценные камни…..”
Но и это ещё не всё. Помните, что ещё передали румынские “кураторы” этой операции молдавскому исполнителю? Правильно, механический ключ. И это один из ключевых (уж извините за тавтологию) моментов. Нам хорошо известна традиция отечественных банкиров ничего не покупать, но когда приходится, постараться потратить как можно меньше. В результате чего практически всё оборудование оказывается “second-hand”. В особенности то, на которое нашлись большие скидки.
Вот здесь как раз и порылась румынская собака. Поскольку уже к 2010 году стало окончательно понятно, что биометрика не пройдёт сейфовую сертификацию, уже установленные системы по Европе начали потихоньку зачищать. Помимо этого было несколько демо инсталляций, которые использовались в понятных целях. Филиалов и подразделений у сейфового шакала Gunnebo к тому моменту было уже множество. И тот же самый “РосДорБанк” вполне мог приобрести нечто подобное с большой скидкой.
Вероятность того, что уже где-то работавшую систему, сконфигурированную каким-то специфическим способом, авторы “забыли” проинструктировать нового её обладателя об особенностях, практически стопроцентная. Похоже, что в данном случае, умолчали про возможность перепрограммирования “мастер” ключа. Который и попал в руки гражданину Молдавии.
Кстати румынские корни вполне можно поискать в филиале Gunnebo:
Теперь про уже упомянутого шакала индустрии безопасности. В процессе затеянных Gunnebo в конце прошлого века слияний и поглощений, шведы вели исключительно занимательную кадровую политику. Возьмём трёх европейских, да, в общем-то и мировых сейфовых “мейджоров”, съеденных шведами. В порядке “употребления”: уже неоднократно упомянутый шведский Rosengrens, за которым последовал британский CHUBB и ставший вишенкой на торте французский Fichet-Bauche.
Каждый из троицы, к моменту своей кончины как самостоятельной компании, насчитывал более 100 лет существования. При этом на протяжении всей своей истории жесточайшим образом конкурировал с остальными двумя. Имея опыт одновременной работы с бритами и лягушатниками, ответственно заявляем: они друг друга люто ненавидели.
Поскольку в нашей истории был период, вообще уникальный для мирового сейфового рынка, когда CHUBB и Fichet стояли в одном выставочном зале, доводилось регулярно “наслаждаться” зубовным скрежетом одних, когда они видели изделия других на расстоянии вытянутой руки.
Ну так вот, проглотив французов последними и получив большой и технологически продвинутый завод на территории Европы, во французском Базанкуре, знаете что сделали шведы? В первую очередь заменили французский национальный менеджмент на шведский и британский. Вы даже не можете представить, что при этом говорили французы. Merde - это единственное печатное слово.
Итогом этого гениального кадрового решения стал уход всех более или менее способных. Со всеми недокументированными познаниями. Первым с завода вообще ускакал главный разработчик Fichet, пожалуй единственный любивший свою работу, хотя и корсиканец по происхождению. Подобных историй мы знаем множество, народ вовсю делился, поняв что мы вовремя самоустранились.
Но это частный случай, а как система у шведского “концерна” сложилась, как сейчас модно говорить, "экосистема" нелояльности персонала. Мало кому удавалось создать обстановочку, когда заметная часть персонала ненавидит своего работодателя. Со всеми цветочками в виде утечек того, что утекать не должно.
Завершая обзор первой в истории технологически обеспеченной кражи, следует заметить, что существует только два механизма скрытого проникновения. Один из них в руках спецслужб, а вторым владеет нелояльный персонал производителя. И Gunnebo, со всеми в него входящими, последняя компания, которой бы мы доверили хоть что-нибудь ценное или важное.
