Konta typu mule, nazwane tak, ponieważ działają jako kanały przesyłania i odbierania środków, które nie należą do właściciela konta bankowego, zazwyczaj pozostają uśpione, ale mogą nagle wzrosnąć w przypadku transakcji o niskiej wartości i dużej objętości.

Bank Rezerw Indii (RBI) zaapelował do banków o uważne monitorowanie takich kont.

Gubernator RBI Shaktikanta Das niedawno wyraził zaniepokojenie oszustwami cyfrowymi i „szybkim wzrostem wykorzystania kont bankowych typu mule do dokonywania takich oszustw”. W roku fiskalnym 2024 wartość oszustw związanych z płatnościami cyfrowymi w bankach wynosiła ₹1,457 crore i obejmowało 29,082 transakcji, więcej niż w latach fiskalnych 2022 i 2023, zgodnie z rocznym raportem RBI.

Eksperci twierdzą, że konta typu mule są wykorzystywane przez oszustów do oszustw cyfrowych polegających na przelewaniu pieniędzy z konta bankowego ofiary na szereg kont, co utrudnia śledzenie takich środków.

Zwykle konta typu mule obejmują do 15 kont w łańcuchu dystrybucyjnym, a cały ten łańcuch jest w każdej chwili gotowy do działania — zadaniem oszustów jest bieżące śledzenie, które konta działają, a które nie.

Zespoły w bankach wykorzystują narzędzia sztucznej inteligencji (AI) i uczenia maszynowego (ML), aby stawić czoła takim oszustwom. Na przykład Axis Bank utworzył nową jednostkę wewnętrzną około sześć miesięcy temu, która skonsolidowała niektóre z istniejących ról monitorowania i wykrywania podejrzanych kont w całym banku.

„Nazywamy tę jednostkę jednostką wywiadu ds. przestępstw finansowych” – powiedział Subrat Mohanty, dyrektor wykonawczy ds. operacji bankowych i transformacji w Axis Bank podczas telekonferencji poświęconej wynikom finansowym 24 lipca.

„Ta jednostka pracowała nad 20 inicjatywami, które w tej chwili są skoncentrowane głównie na zapobieganiu oszustwom i identyfikowaniu podejrzanych kont i kont mułów. Uważamy, że jesteśmy nieco do przodu pod względem myślenia i realizacji”.

Mohanty nie chciał jednak ujawnić szczegółów, jakie to były konta – oszczędnościowe czy bieżące – twierdząc, że bank „na chwilę obecną nie dzieli się tego typu wewnętrznymi informacjami ze światem zewnętrznym”.

„Współpracujemy bardzo ściśle z organami ścigania”.

Konkurencyjny pożyczkodawca Kotak Mahindra Bank również wykorzystuje technologię do wykrywania kont mułów. Według Ashoka Vaswaniego, dyrektora generalnego Kotak Mahindra Bank, pożyczkodawca traktuje ten problem „niezwykle poważnie”.

„Widzieliśmy, a gubernator również zwrócił na to uwagę, że (rachunki mułowe) są bardziej w przestrzeni rachunków bieżących niż rachunków oszczędnościowych” – powiedział Vaswani w odpowiedzi na pytanie podczas telekonferencji dotyczącej wyników finansowych 20 lipca.

„Zbudowaliśmy modele uczenia maszynowego, które wykrywają te transakcje, a zatem konta tak wcześnie, jak to możliwe. Jesteśmy bardzo, bardzo czujni w tej konkretnej kwestii”.

Największy indyjski pożyczkodawca, State Bank of India (SBI), zainicjował proces wdrażania „solidnego rozwiązania do monitorowania oszustw – zwłaszcza w odniesieniu do kanałów elektronicznych, z których korzystają klienci”.

Bank podał w swoim rocznym raporcie za rok 2023–2024, że jest to działanie dodatkowe w stosunku do „przestrzeganych branżowych standardów bezpieczeństwa IT/cyberbezpieczeństwa”.

Eksperci ds. cyberbezpieczeństwa twierdzą, że konta „słupi” w bankach są identyfikowane za pomocą takich technik, jak uwierzytelnianie behawioralne lub uwierzytelnianie oparte na ryzyku.

„Większość tych kont typu muł wykonuje niewielkie transakcje, ale o bardzo dużej objętości” — powiedział Sandip Panda, dyrektor generalny firmy zajmującej się cyberbezpieczeństwem Instasafe.

„Takie konta są trudniejsze do wyśledzenia, ponieważ transakcje na małe kwoty są bardzo niepozorne i trudno jest mieć ogólną zasadę przeciwko nim, a aby zająć się takimi kontami, dodatkowe mechanizmy uwierzytelniania i produktywność operacji bankowych stanowią szkody uboczne i kompromis w zakresie standardów bezpieczeństwa”.

Panda zauważyła również, że wiele indyjskich banków nadal korzysta ze starszych systemów w swojej infrastrukturze informatycznej i istnieje potrzeba inteligentniejszych, szybszych rozwiązań bezpieczeństwa, które będą przeprowadzać testy w celu opracowania skuteczniejszych metod identyfikacji takich kont.

Bankier zajmujący się badaniem transakcji oszukańczych powiedział, że większość kont typu mule to konta, których dane KYC (ang. Know Your Customer) są sprzedawane oszustom.

Do osób żyjących w skrajnym ubóstwie zwracają się oszuści, którzy namawiają ich do sprzedaży dokumentów KYC i obiecują im zachętę w wysokości 5-10% za każdą transakcję na tym koncie. Celem są głównie osoby o najniższych dochodach i wykształceniu, które nie są świadome prawnych i ryzykownych aspektów zgody na takie porozumienie.

„Dzięki temu główni sprawcy uchodzą bezkarnie, a śledztwa w sprawie cyberprzestępstw pozostają niekompletne, ponieważ prawdziwi przestępcy nigdy nie zostają złapani” – powiedział bankier prosząc o zachowanie anonimowości.

Zunifikowany interfejs płatności lub UPI jest również używany przez oszustów do szybkiego przesyłania środków między wieloma kontami. Ekspert ds. cyberbezpieczeństwa ściśle współpracujący z regulatorami powiedział, że przelewy dokonywane za pośrednictwem UPI są natychmiastowe i bezproblemowe, w przeciwieństwie do innych trybów elektronicznych przelewów środków, które wymagają dodania beneficjentów i odczekania określonego czasu, zanim przepływ środków zostanie dozwolony.

„Łatwość dostępu do UPI utrudniła również zapobieganie oszustwom, ponieważ usuwa wiele praktycznych barier w łańcuchu transakcji” – powiedział cytowany wyżej ekspert, który również wypowiadał się pod warunkiem zachowania anonimowości.