Картка, видана українським банком, може фінансувати підпали автівок військових, диверсії, теракти та шпигунів. При цьому власники карток часто навіть не підозрюють про їхнє залучення до незаконних дій. Тему дропів — людей, які за винагороду надають свої банківські рахунки та платіжні картки третім особам для проведення незаконних фінансових операцій, розглядали 15 квітня на засіданні Тимчасової слідчої комісії Верховної Ради за участі представників безпекових структур, Нацбанку України та народних депутатів.
Як працюють схеми дропів, хто найчастіше продає доступи до своїх карток, як ворог через картки дропів фінансує теракти та шпигунів в Україні, та чи потрібно запровадити кримінальне покарання за передачу доступів до рахунків третім особам — читайте у нашому матеріалі.
Як обмеження на p2p-перекази вплинули на діяльність дропів
Національний банк України, разом з іншими фінансовими та безпековими інституціями, почав активно реагувати на виклики, пов’язані з використанням дроп-карток.
Торік НБУ запровадив низку обмежень, спрямованих на боротьбу з використанням дропів у незаконних фінансових операціях. З 1 жовтня 2024 року НБУ встановив ліміт у 150 000 грн на місяць для переказів фізичних осіб з картки на картку (p2p-перекази). Однак уже наприкінці березня 2025 року ці обмеження були скасовані, оскільки було досягнуто низки важливих змін у законодавстві та самоорганізації ринку.
У грудні 2024 року окремі українські банки (Приватбанку, Ощадбанк, Райффайзен Банк, Універсал Банк) підписали Меморандум про забезпечення прозорості функціонування ринку платіжних послуг. Потім до них доєднались також такі банки як ОТП Банк, Правекс Банк, ПУМБ і Таскомбанк. Згідно з цим меморандумом, банки можуть встановлювати власні ліміти на карткові перекази. Зокрема, для клієнтів, які не мають підтверджених доходів, ліміт може становити 50 000 грн на місяць.
У Кіберполіції та СБУ зазначили, що обмеження призвели до зменшення злочинів, асоційованих з дропами, однак не вирішили проблему повністю.
Що стосується обмежень Нацбанку, ці обмеження призвели до незначного зменшення реєстрації (це ми бачимо по певних категорій злочинів). Але насправді воно не стало панацеєю для того, щоб цю проблему вирішити
За період повномасштабного вторгнення ці всі шляхи фінансування еволюціонують відповідно до тих контрзаходів, які вживаються як в цілому в банківській сфері, так і безпосередньо Службою безпеки
Народний депутат України Ярослав Железняк у коментарі UA.NEWS зазначив, що обмеження, запроваджені НБУ і банками, частково показали свою ефективність.
Частково показали, однак досить лімітовано. Але все одно, 80 мільярдів кудись поділось і це добре
Портрет дропа
Дропами стають, як правило, люди з вразливих верств населення, які потребують коштів. Найчастіше це студенти і молоді люди. Найпоширеніший вік дропа — 20-29 років (понад 40%) та 14-19 років (майже 30%). В понад 60% випадків дропами є чоловіки.
Схеми користування дроп-картками
На сьогодні є три найпоширеніші схеми користування дроп-картками.
- Класична. Людина продає повний доступ до онлайн-банкінгу або повністю передає картку в користування дроповодам за винагороду.
- Часткова. Людина продає доступ до свого банкінгу на певний час, наприклад, на годину чи дві, а потім знову користується своїм банкінгом у звичайному режимі.
- Зловмисна. Коли доступ до банкінгу у потерпілого забирають за допомогою фішингу.
Фішинг — метод шахрайства, який полягає в отриманні реквізитів платіжних карток та іншої конфіденційної інформації громадян (паролі або доступи до різних акаунтів) за допомогою соціальної інженерії. Наприклад, фейкові сайти державних установ, де людина вводить особисті дані, або фішингові посилання.
Часто дроповоди, які зібрали доступи до 100 карток, продають ці доступи в месенджері Telegram. Менеджерами дроп-карток можуть бути люди, які фізично знаходяться за кордоном. І вони можуть навіть не знати, кому продають доступи до карток і для яких цілей.
Дропи і фішинг
В Кіберполіції розповіли про схему отримання доступів до банкінгу за допомогою фішингу. Учасником схеми є не лише людина, яка хоче виманити доступ до клієнт-банку в жертви, а і розробники шкідливого софта та менеджери злочинної діяльності.
Кодер — особа, яка безпосередньо здійснює написання програмного коду та модифікацію шкідливого програмного забезпечення, створює та адмініструє «шкідливий» домен, який використовується для генерації фішингових повідомлень.
Воркер — особа, що здійснює безпосередній контакт з потерпілими, вводить їх
в оману з метою розголошення конфіденційної чи банківської інформації, надсилає фішингові посилання.
Вбівер — організовує роботу воркерів, фіксує факт несанкціонованого зняття грошових коштів потерпілих та здійснює попередній підбір платіжних засобів для виводу коштів.
Дроповод — посередник, який має в своєму розпорядженні платіжні картки, рахунки чи електронні гаманці для отримання коштів, здобутих незаконним шляхом, організовує процес їх отримання від дропів (грошових мулів) та зосереджує в себе велику кількість таких платіжних інструментів (рахунків).
Дропи відкривають рахунки дистанційно
Люди, які віддають свої картки в користування іншим особам, часто відкривають рахунки дистанційно. Тому не обов’язково, щоб дроповод або інший організатор фізично відвідував банки з клієнтами, як це було раніше.
Віддалено відкривають картки. Ніхто нікуди не ходить, їх за руку не вводять. Вони самі по банкам ходять. Дроповоди отримують доступ в онлайн банкінг і більше їм нічого не треба. Онбординг йде онлайн, людина просто дає свій доступ до банків. Перепідв’язали фінансовий номер і все
Ієрархія дропів
Ієрархія дропівських груп не обмежується дроповодами і людьми, які передають доступ своїх банкінгів третім особам. До злочинної діяльності причетні також менеджери, які можуть діяти в складі великих регіональних груп.
Як побудована ієрархія: вона не завершується тим студентом, який продав картку і тією особою, яка зібрала пул студентів та привела їх до банку. Це лише нижня нижня частина ієрархічної структури. Далі йдуть менеджери на регіональному рівні, які забезпечують функціонування фізичних офісів, які там умовно збирають пристрої. Є групи міжрегіональні, які можуть налічувати по 5 регіонів. І таких груп може бути десятки
Як дропи впливають на національну безпеку
Картки дропів часто використовуються для оплати за скоєння злочинів, які стосуються національної безпеки. Це розвідка, підпали автівок військових та правоохоронців, різні диверсії, терористичні акти, шпигунство, тощо. Для вчинення цих злочинів часто задіюють неповнолітніх, які отримують оплату через дропівські картки.
Служба безпеки України розглядає питання функціонування та поширення сервісів p2p-переказів і дропізації країни не лише як загрозу економічній безпеці. А і як інструмент вчинення інших протиправних діянь, таких як вибухів, підпалів, терористичних актів, які мають тяжкі наслідки. Це жахливі явища пов'язані із залученням неповнолітніх осіб до розвідувально-підривної діяльності, посягання на майно, посягання на осіб, насамперед представників силових структур та військових
Найчастіше виконавцями цих злочинів є особи з вразливих соціальних верств, які свідомо пішли на цей крок з метою збагачення або виконують його з інших мотивів. На першій ланці фінанси на оплату цих злочинів можуть йти через криптовалюту, а потім — через p2p перекази.
Фінансування йде гібридним шляхом. Це можуть бути криптоактиви в першій ланці. А також із використанням конвертцентрів, коли в першому ланцюгу фінансування йде через криптовалюту. І в подальшому її обмінюють через сервіси, які функціонують як онлайн, так і мають представництва наземні. Тобто коли крипта перетворюються у безготівковий потік
В СБУ зазначили, що першочергова робота ведеться на каналах виявлення з метою попередження. І як правило викривають дропів через інші злочини.
Також спецслужба займається виявленням p2p-офісів, які забезпечують цей потік карток. Під час документування злочинів СБУ виявляє певні маркери, як наприклад, IP-адреси, конкретні пристрої та SIM-карти. За цими технічними ідентифікаторами можна відстежувати фінансові потоки та осіб, які скоюють злочини. Інформація про виявлені маркери передається банкам-емітентам, оскільки їхня інфраструктура часто використовується для злочинних дій. Також ці дані надсилаються до Національного банку України.
Виявлення технічних ідентифікаторів допомагає не лише фіксувати вже скоєні злочини, а й запобігати їхньому вчиненню. Це дозволяє спрацювати на випередження і заблокувати потенційно злочинні фінансові операції.
І хоч СБУ може відслідковувати ідентифікатори по IP-адресам і по пристроям, явище дропів занадто складне, щоб його можна було виявити однозначно.
Явище настільки складне, що одним запровадженням лімітів чи проведенням профілактично-роз'яснювальної роботи його подолати важко
Чому дропи використовують ФОП-картки
Дроповоди активно використовують і картки фізосіб-підприємців для дроп-діяльності. Як правило, картки ФОПів потрібні для операцій з великими сумами коштів.
Коли є багатомільйонні схеми вчинення злочинів, там вже використовується дропи в якості ФОПів. Систематично це стосується, наприклад, гемблінга
ФОПів можуть використовувати навіть для виведення коштів з рахунку підприємства, чий банкінг зламали.
ФОП історія буде використовуватися для таких видів злочинів, як наприклад, коли зламують клієнт-банк. Наприклад, там 50 мільйонів гривень на рахунку підприємства і їх треба вивести. А ви не виведете 50 мільйонів гривень через дропів. В теорії виведете, але якщо у вас буде 100 тисяч дроп-карток. Але на практиці так не працює. Простіше взяти 10 ФОПів-дропів і вивести ці 50 мільйонів гривень.
Кримінальна відповідальність для дропів
Передача банківської картки третім особам може мати серйозні правові наслідки в багатьох країнах, особливо якщо така дія пов'язана з шахрайством, відмиванням грошей або іншими фінансовими злочинами.
В Україні немає кримінальної відповідальності за передачу доступів в банкінг третім особам. Наразі за це передбачений лише штраф. Тому осіб, які передали доступи до рахунків, можна притягнути до кримінальної відповідальності насамперед за асоційовані з дропами злочини (шахрайство, торгівля наркотиками, легалізація незаконних доходів, злочини проти нацбезпеки, тощо).
Кіберполіція України наполягає на впровадженні в Україні кримінальної відповідальності для дропів, чиї картки використовуються в різних схемах. Правоохоронці пропонують внести зміни до статті ст. 200 Кримінального кодексу України (Незаконні дії з документами на переказ, платіжними картками та іншими засобами доступу до банківських рахунків, електронними грошима, обладнанням для їх виготовлення) та посилити відповідальність за незаконні дії.
Народний депутат України Ярослав Железняк вважає, що кримінальна відповідальність для людей, які дають в користування свої картки, може не спрацювати.
Я бачив, що воно криміналізовано багатьох країнах. Але на жаль, наша правозастосовча практика… Я не думаю, що це панацея і допоможе. Ну і відверто, що ми хочемо від студента, який продав за 1000 гривень свою картку. Це не від доброго життя, напевно.
