Из каждого третьего онлайн-банка можно украсть деньги

Из каждого третьего онлайн-банка можно украсть деньги

Доля финансовых приложений, в которых встречаются критически опасные уязвимости, в 2016 году снизилась, однако общий уровень риска выявленных уязвимостей стал значительно выше. Наиболее распространены оказались недостатки механизмов идентификации, аутентификации и авторизации.

Такие выводы содержатся в отчете на основе работ по анализу защищенности финансовых приложений, которые проводились экспертами Positive Technologies в 2016 году.

Как отмечается в исследовании, популярность электронных финансовых инструментов в России за последний год заметно выросла благодаря развитию бесконтактных систем оплаты: к уже привычным PayPass и payWave присоединились технологии NFC-платежей с помощью смартфонов — Apple Pay и Google Wallet. Однако безопасность общедоступных веб- и мобильных приложений в финансовой сфере до сих пор оставляет желать лучшего, поскольку для таких приложений характерны все уязвимости и угрозы, известные в области безопасности приложений. При этом в случае банковских приложений реализация угроз приводит к серьезным последствиям — включая хищение денежных средств, несанкционированный доступ к персональным данным и банковской тайне, а также репутационные потери для бизнеса.

В частности, исследование показало, что в 2016 году доля критически опасных уязвимостей финансовых приложений выросла на 8%, а доля уязвимостей среднего уровня риска — на 18%. При этом в продуктивных системах выявлено почти в два раза больше уязвимостей, чем в системах, находящихся в разработке. А финансовые приложения, разработанные вендорами, в среднем содержат в два раза больше уязвимостей, чем те, которые разработаны банками самостоятельно.

Большинство онлайн-банков (71%) имеют недостатки в реализации двухфакторной аутентификации. 33% приложений онлайн-банков содержат уязвимости, позволяющие украсть деньги, а в 27% приложений злоумышленник может получить доступ к сведениям, составляющим банковскую тайну.

Что касается мобильных банков, то в каждом третьем приложении можно перехватить или подобрать учетные данные для доступа. Банковские iOS-приложения по-прежнему безопаснее, чем их аналоги для Android. При этом серверные части мобильных банков защищены значительно хуже клиентских: уязвимости высокой степени риска найдены в каждой исследованной системе.

В этом году в отчет Positive Technologies также вошла статистика по защищенности автоматизированных банковских систем (АБС), которые обычно считаются недоступными для внешнего злоумышленника. Однако на практике две трети уязвимостей, выявленных в АБС, оказались критически опасными — включая такие, которые позволяют получить административный доступ к серверу. Подобный доступ дает возможность злоумышленнику, оставаясь незамеченным, проводить любые мошеннические операции, связанные с деньгами: например, заводить новые счета и указывать на них любое количество денег, или же подменять платежные поручения, отправляемые в Центробанк.

«Тренды целевых атак прошлого года показывают, что злоумышленники все активнее используют подобные возможности для атак на финансовый сектор, ― отмечает Евгений Гнедин, руководитель отдела аналитики информационной безопасности Positive Technologies. ― При этом большинства недостатков защиты можно избежать еще на этапе проектирования приложений, если учесть все нюансы, связанные с реализацией механизмов аутентификации и авторизации. Значительное количество уязвимостей может быть выявлено на стадии разработки, если придерживаться практик безопасной разработки (SSDLC) и регулярно проводить анализ защищенности приложений. Как показывает практика, наиболее эффективным методом выявления уязвимостей веб-приложения является анализ его исходного кода, в том числе автоматизированными средствами».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

MITRE совместно с Nvidia создают суперкомпьютер с искусственным интеллектом

Аналитический центр MITRE совместно с популярным производителем чипов Nvidia создают суперкомпьютер, который оценивается в 20 миллионов долларов, для ускорения процесса внедрения ИИ в федеральное правительство США. «Песочница» с искусственным интеллектом позволит тестировать передовые технологии.

MITRE является некоммерческой исследовательской организацией, которая работает в США и финансируется из федерального бюджета.

Она является ключевым поставщиком Пентагона и американских разведывательных служб, снабжая солдат и шпионов необычными техническими продуктами. В зону интересов MITRE входят: ИИ, кибербезопасность, квантовая информатика, космическая безопасность и другое.

По словам Чарльза Клэнси, старшего вице-президента MITRE, искусственный интеллект поможет сделать правительство более эффективным, так как оно давно забюрократизировано, а на выполнение различных задач уходит много времени.

Данный проект связывают с подписанным в октябре Байденом указом, который предписывает ускорить процесс исследования и внедрения ИИ среди федеральных служб.

MITRE был создан в 1958 году на базе лаборатории Массачусетского технологического института и является частью сети научно-исследовательских центров, финансируемых Пентагоном. В нём работает около 9000 человек, а его прибыль на 2022 год составила 2,2 миллиарда долларов. На разработки ИИ уходит половина выделяемых средств.

Бывший руководитель MITRE сообщил журналу Forbes, что центр работает над такими проектами, как прототип инструмента для взлома смарт-часов и программное обеспечение для ФБР, позволяющее снимать отпечатки пальцев с фотографий рук подозреваемых в социальных сетях.

Предполагается, что суперкомпьютер MITRE запустят в конце этого года, а базироваться он будет в Эшберне, штат Вирджиния. Клэнси рассказал, что новый продукт будет работать на 256 графических процессорах Nvidia стоимостью 20 миллионов долларов, и все федеральные агентства, участвующие в финансировании MITRE, смогут использовать эту «песочницу» ИИ.

Nvidia находится на пике бума искусственного интеллекта, а работа над данным проектом стала особо успешна. Чипмейкер из Калифорнии является мировым лидером в разработке графических процессоров, используемых для обучения продвинутых моделей ИИ, а их чипы скупаются по всему миру с бешеной скоростью. В сравнении с прошлым годом цена на акции компании выросла на 200 процентов.

Вице-президент по федеральным вопросам Nvidia Энтони Роббинс заявил, что суперкомпьютер может помочь правительству США в решении задач, связанных с защитой инфраструктуры от кибератак, борьбой с мошенничеством, а также с внедрением чат-ботов и цифровых помощников.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru