wapSiphone — новый способ похитить деньги абонентов через WAP

wapSiphone — новый способ похитить деньги абонентов через WAP

wapSiphone — новый способ похитить деньги абонентов через WAP

Исследователи рассказали об интересном способе кражи денег с телефонного счёта абонентов сотовой связи. Удивительно, что при такой форме атаки злоумышленники используют технологию, которой уже больше 20 лет.

По словам специалистов компаний Confiant и Protected Media, проблема кроется в возможностях серьёзно устаревшего протокола беспроводной передачи данных WAP (был представлен в 1999 году).

Проблема заключается в том, что WAP ушёл из поля зрения, однако это не значит, что протокол умер. А меж тем WAP напрямую связан с биллингом, один из механизмов которого позволяет изменять телефонные счета.

Это отличная лазейка для киберпреступников, которые могут паразитировать на этом принципе годами. Дело в том, что среднестатистический пользователь вряд ли заметит небольшие изменения суммы оплаты связи.

Специалисты назвали новый принцип атаки «wapSiphone», также они перечислили три основные предпосылки для успешной эксплуатации старого протокола:

  1. Рекламные картинки в Сети могут содержать вредоносный JavaScript-код, который без всякого уведомления выполнится на смартфоне.
  2. WAP предоставляет специальный биллинговый механизм, работающий с номером мобильного абонента MSISDN (Mobile Subscriber Integrated Services Digital Number). Обращаем внимание, что MSISDN не требует аутентификации, имени пользователя или пароля.
  3. Некоторые сотовые операторы спокойно выдают ваш MSISDN через HTTP-запрос.

Таким образом, хакеры могут к каждому вашему счёту за мобильные услуги добавлять небольшую сумму, которая не будет бросаться в глаза. Если таких жертв будет много, добыча злоумышленников будет серьёзной.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Банк России обновил рекомендации для борьбы с дропами

Банк России обновил рекомендации по борьбе с отмыванием денег и выводом средств, похищенных мошенниками. В документе особое внимание уделено операциям с корпоративными банковскими картами.

Новые рекомендации 7-МР, как подчёркивает регулятор, направлены на противодействие теневому бизнесу — в том числе онлайн-казино, наркоторговле, операциям с криптовалютой и деятельности финансовых пирамид.

Если раньше мошенники активно использовали карты физических лиц (дропов), то теперь всё чаще задействуются платёжные средства, оформленные на так называемые технические компании.

Банкам рекомендовано отслеживать платёжную активность с целью выявления таких структур. Кроме того, следует анализировать переводы контрагентов на счета дропов, включённых в соответствующий перечень Банка России. При выявлении подозрительной активности кредитные организации могут ограничить проведение операций, особенно в нерабочее время.

Регулятор отдельно подчёркивает, что новые рекомендации не отменяют методические указания 16-МР, действующие с 2021 года и касающиеся мониторинга операций физических лиц.

В ближайшее время дропам может грозить уголовная ответственность — соответствующий законопроект уже прошёл первое чтение в Госдуме.

Уже были прецеденты, когда дропов признавали соучастниками преступлений. Так, Выборгский районный суд Санкт-Петербурга приговорил двух посредников к трём годам лишения свободы с обязательным возмещением ущерба потерпевшим.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru