Мошенники все чаще воруют бонусы из программ лояльности: как защитить свой бизнес

Защита программ лояльности от мошенников — критическая задача для любого бизнеса, который использует систему бонусных вознаграждений. Ежегодные потери компаний могут достигать миллионов рублей из‑за хищений и фрода, что негативно сказывается не только на финансовых показателях, но и на репутации бренда. Атаки мошенников также создают риски снижения доверия клиентов, операционных сбоев и увеличения расходов на компенсации и расследования. Предприниматели вынуждены внедрять комплексные меры безопасности, чтобы защитить свои программы лояльности и сохранить тёплую клиентскую базу.

С точки зрения права кража бонусов до сих пор в серой зоне: их не считают деньгами, поэтому такие случаи редко ведут к уголовным делам. Это мешает расследованию и облегчает работу мошенникам. При этом владельцы программ лояльности ежегодно теряют до 3 млн рублей из‑за злонамеренных действий со стороны хакеров, ботов и оптовых спекулянтов. Причин много — от неосознанных действий пользователей до погони компаний за цифровизацией без достаточных мер защиты систем.

Злоумышленники применяют разные подходы к краже бонусов. Чаще всего — используют данные из слитых баз, в некоторых случаях к нарушениям причастны сами пользователи или сотрудники компаний. Здесь мы рассмотрим наиболее распространенные методы и способы повысить безопасность программы лояльности.

Мультикартинг и мультиаккаунтинг

Порой одним аккаунтом пользуется несколько человек — тогда бонусы накапливаются быстрее, чем предусмотрено правилами. Другие покупатели создают несколько аккаунтов, чтобы получить приветственные бонусы и одноразовые предложения многократно. Ритейлеры заранее готовы к подобным ситуациях и регулируют это правилами участия клиентов в программах лояльности и ограничениями.

Фишинг, социальная инженерия и фейковые сайты

Мошенники создают подделки сайтов, которые выглядят как настоящие страницы программ лояльности. Запускают рекламу — и собирают логины и пароли от личных кабинетов. Переход на такую страницу не вызывает подозрений, так как злоумышленники точно воспроизводят дизайн настоящего сайта. Пользователь вводит данные, не заметив подмены.

Боты и автоматический подбор паролей

Боты помогают создавать поддельные профили, списывать бонусы и перегружать систему. Они действуют быстро, массово и без участия человека. Это мешает работе сервиса и создаёт дополнительную нагрузку.

Мошенники также используют программы для подбора паролей, чтобы получить доступ к чужому аккаунту. Особенно уязвимы пользователи, которые задают один пароль для нескольких сервисов или придумывают простые комбинации символов.

Как найти уязвимость в системе

Значительную роль также играет человеческий фактор — более 66% утечек происходят из‑за действий сотрудников и их низкой осведомленности о цифровых рисках. Еще одна уязвимость — отсутствие многофакторной аутентификации: если злоумышленник узнает логин и пароль, он без труда получит доступ к данным. Интеграции с ненадежными сервисами и атаки на партнерские сервисы также могут повлиять на безопасность даже при достаточной внутренней защите.

Чем усилить защиту

Защита программы лояльности — комплексная задача, к которой нужно подходить не менее серьезно, чем к безопасности критически важных ИТ‑систем.

Первый шаг — организация изолированного защищенного контура. Программа лояльности должна быть дополнительно защищена и обособлена от других менее подверженных атакам и защищенных систем компании. Это снижает вероятность проникновения при атаке и позволяет выстроить отдельный периметр защиты.

Аккаунт без подтвержденного номера телефона и почты — лёгкая цель для атаки. Поэтому необходимо ввести двойную аутентификацию и исключить возможность регистрации и входа без проверки личности. При рискованных действиях можно подключать биометрию, особенно если система распознает вход с необычного устройства или нового региона. А временные ограничения на операции с одной карты и встроенные проверки на «человечность» помогают остановить ботов и защитить баллы от массового хищения.

Программа должна в реальном времени анализировать сессии и поведение пользователей. Скачки активности, резкие геоаномалии и массовые списания бонусов — поводы запустить автоматическую проверку. В таких случаях система временно заблокирует действия и предложит пользователю пройти дополнительную идентификацию.

Внутри компании важно соблюдать принцип минимального доступа: сотрудники должны видеть только те данные, которые нужны для работы. При этом все действия в системе следует логировать и регулярно проверять, чтобы исключить утечки изнутри.