18% банков раскрывают конфиденциальные данные клиента по телефону

18% банков раскрывают конфиденциальные данные клиента по телефону

18% банков раскрывают конфиденциальные данные клиента по телефону

Компания Digital Security, специализирующаяся на анализе защищенности ИТ-систем, представляет результаты нового исследования защищенности мобильных приложений для iOS и Android 16 ведущих банков России, авторами которого являются аналитики Егор Салтыков и Виктор Вуколов. Основной целью этой масштабной работы, помимо поиска недостатков клиентской части ПО, было изучение взаимодействия банков с операторами сотовой связи.

При отборе материалов для анализа специалисты Digital Security руководствовались рейтингами самых устанавливаемых банковских приложений App Store и Google Play из раздела «Финансы» и списка «Топ 100 Российских банков» (по версии издания banki.ru на ноябрь 2017 года).

В конечный список вошли 16 банковских приложений, а список мобильных операторов был ограничен «большой четверкой». Акцент при проведении работ был сделан на углублении проверок и анализе взаимодействия банков.

В ходе исследования эксперты Digital Security обнаружили, что 18% банков позволяет раскрывать конфиденциальные данные клиента по телефону, в том числе, узнавать баланс счета, информацию о движении средств, что потенциально может привести к краже денег и другим негативным последствиям.

В 62% рассмотренных банков доверяют номеру, с которого совершается звонок в call-центр, за счет чего возможно получить приватные данные, зная только номер телефона жертвы. Из всех рассмотренных мобильных банковских клиентов 18% не имеет второго фактора защиты для входа на обеих платформах (iOS и Android), а 68% банков позволяет вывести средства после замены sim-карт со счетов клиентов. Используя эти и другие слабые места, злоумышленники могут похищать деньги со счетов клиентов.

Помимо этого, большая часть приложений хранит и потенциально позволяет раскрыть приватную информацию пользователей. Так, более половины изученных мобильных банковских клиентов на iOS сохраняет критичные данные в памяти, в 6 из 16 приложений на Android пароль остается в памяти после завершения сессии.

Далее, рассмотренные инструменты позволяют раскрыть координаты пользователя (7 из 16 на iOS; 4 из 16 на Android), что также может быть использовано злоумышленниками при реализации атаки. Интересно отметить, что в 3 из 16 приложений для iOS и Android соответственно отсутствует двухфакторная аутентификация несмотря на то, что это требование безопасности уже не один год является одним из основных для банковских мобильных клиентов.

На основании перечисленных выводов, а также многих других данных исследования, можно сделать вывод о том, что в ведущих российских банках по-прежнему есть слабые места в обеспечении защиты данных клиентов. Ознакомиться с полным текстом исследования можно по ссылке: https://dsec.ru/research/analiz-bezopasnosti-mobilnyh-bankovskih-prilozh....

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Nova Specail Edition получила сертификат ФСТЭК России и 4 уровень доверия

Российский оркестратор контейнеров Nova Container Platform от компании Orion soft получил сертификат соответствия ФСТЭК России № 4943. Сертифицированная версия под названием Nova Container Platform Special Edition теперь обладает всей функциональностью базовой редакции, но при этом соответствует требованиям четвёртого уровня доверия.

Редакция предназначена для использования в системах, где требуется повышенный уровень информационной безопасности:

  • в автоматизированных системах управления технологическими процессами (АСУ ТП) до 1 класса защищённости;
  • в государственных информационных системах (ГИС) до 1 класса защищённости;
  • при работе с персональными данными до 1 уровня защищённости;
  • на значимых объектах критической информационной инфраструктуры (КИИ) до 1 категории значимости.

Речь идёт, в частности, о таких сферах, как нефтегаз, оборонная промышленность, металлургия, атомная энергетика, финансы и медицина.

Среди функций сертифицированной версии — сканирование контейнерных образов на наличие уязвимостей, контроль целостности, управление доступом, идентификация и аутентификация пользователей, сбор и регистрация событий безопасности, а также централизованное управление контейнерами.

Nova Container Platform поддерживает работу в изолированных средах, развёртывание на российских операционных системах и входит в реестр отечественного ПО. Платформа также интегрирована с другими продуктами Orion soft, включая систему виртуализации zVirt.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru