Trend Micro предупреждает об уязвимостях в сбросе пароля в 3DS "Verified By Visa"

Trend Micro предупреждает об уязвимостях в сбросе пароля в 3DS "Verified By Visa"

Trend Micro призвала к обновлению системы аутентификации кредитных карт 3 Domain Secure (3DS) после того, как компания обнаружила, что кибер-преступники могут воспользоваться фундаментальной уязвимостью в некоторых версиях протокола.



Рик Фергюсон, директор по исследованиям в области безопасности Trend Micro EMEA, пояснил в своем блоге, что система 3DS, названная Verified By Visa и MasterCard SecureCode в Великобритании, может быть взломана мошенниками, воспользовавшимися лазейкой в процессе сброса пароля в некоторых версиях системы.

Фергюсон сказал, что страница сброса пароля системы верификации Verified by Visa запрашивает три элемента информации, которые содержатся на карте, и четвертый, который киберпреступники могут легко раздобыть, сообщает xakep.ru.

"Три из четырех элементов информации, которые удостоверяют мою личность, содержатся на самой карточке, вытисненные или напечатанные на поверхности, или записанные на магнитной полоске. Но разве преступник уже не имеет ко всему этому доступ?", - спрашивает он.

"Так что же остается? Только один элемент информации карточка не содержит. Проблема в том, что эта информация широко доступна в социальных сетях, регистрационных данных на сайтах и в миллионе других мест. Мы не можем и не должны считать секретной такую информацию, как дата рождения ".

Хуже того, как только однажды произошёл сброс пароля и мошенник получил возможность воспользоваться карточкой, владельцу счета не высылается никаких оповещений об изменениях.

Фергюсон рекомендует внести несколько основных изменений в систему, чтобы сделать её более безопасной.

"После регистрации в системе, держателям карт следует установить секретный вопрос, который в будущем будет служить в качестве данных аутентификации для изменения пароля. Вместо того, чтобы просто работать на сайте, URL сброса пароля должен быть доставлен на зарегистрированный адрес электронной почты", - сказал он.

"Всякий раз, когда запрашивается изменение для реквизитов счета или же эти изменения были успешно выполнены, на зарегистрированный адрес электронной почты должно приходить уведомление. Пожалуйста было бы действительно здорово, если бы я мог использовать специальные символы для своего пароля".

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Подключение МФО к ЕБС слишком дорого и сложно

Микрофинансовые организации (МФО) столкнулись с серьёзными трудностями при прямом подключении к Единой биометрической системе (ЕБС). По их словам, это оказалось одновременно сложным и затратным процессом. Ранее «Ведомости» приводили оценки самих МФО — от 30 до 80 млн рублей.

Однако, по оценке, которую озвучила на Национальной конференции по микрофинансированию экономический советник управления надзора за микрофинансовым рынком департамента небанковского кредитования Банка России Лилия Беляева, подключение к ЕБС может обойтись МФО уже в 100 млн рублей.

По словам Беляевой, высокая стоимость и сложность проекта объясняются несколькими факторами. Прежде всего, ЕБС изначально создавалась под задачи банков и не учитывает особенности работы МФО. Кроме того, сама система крайне сложна, а интеграция с ней требует компетенций, которыми многие МФО не обладают.

Ситуацию усугубляло и то, что Центр биометрических технологий (ЦБТ), оператор ЕБС, до недавнего времени неохотно предоставлял консультации и информационную поддержку, хотя в последнее время положение начало улучшаться.

На конференции прозвучало предложение создать единый консультационный центр для МФО и сеть компаний-интеграторов, которые помогут с внедрением биометрии. Однако, как уточнила Беляева, пока готовое комплексное решение есть лишь у одной компании.

Некоторые участники рынка надеялись, что функции по биометрической идентификации клиентов МФО смогут взять на себя банки, уже внедрившие подобные технологии. Однако Минцифры и МВД не поддержали использование коммерческих сервисов для таких целей.

К тому же банки пока не готовы предоставлять услуги по внешнему обслуживанию ЕБС. По оценкам, пять наиболее продвинутых банков смогут начать работать с МФО в этом формате не раньше 2027 года.

В результате из 11 МФО, которые с 1 марта должны начать идентифицировать клиентов через ЕБС, реально готовы лишь три. Тем не менее, как отметил генеральный директор компании Webbankir Андрей Пономарёв, остальные организации всё же найдут способ подключиться к системе, если намерены продолжать работу на рынке.

Кроме того, как напомнил руководитель направления по развитию бизнеса ЦБТ Максим Охалов, совместно с Минцифры прорабатывается упрощённый порядок использования биометрии для клиентов МФО. Для идентификации будет достаточно сделать одну фотографию через Госуслуги или мессенджер MAX.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru