Поскольку в схеме были задействованы банкоматы, ее назвали «АТМ-реверс» или «обратный реверс».

По данным Group-IB, хакеру в банке выдавали неименную карту, на которую он вносил через банкомат от 5 тысяч до 30 тысяч рублей. Затем преступник снимал эту сумму и получал чек о соответствующей операции. Он отправлял чек своим сообщникам.

Они, в свою очередь, пользовались POS-терминалами (Point of sale, терминалы для оплаты в точках продаж), зараженными вирусом. В основном устройства находились за границей. Преступники проводили отмену операции по снятию наличных, которую терминал отображал как «возврат товара».

Баланс карты восстанавливался сразу после этого. Преступник получал и наличные, снятые с банкомата, и средства на банковской карте. Эта операция повторялась до тех пор, пока в банкомате были наличные.

По словам представителя Group-IB, от действий хакеров понесли ущерб пять российских банков, но какие именно, не указывается. Было похищено 250 млн рублей. Потенциально их действия могли привести к утрате 1,1 млрд рублей.

Хищения удалось прекратить только после создания защитных систем. Их разработали и внедрили банки совместно с платежными системами Visa и MasterCard.