Хакеры выводят деньги со счетов юрлиц, используя уязвимость систем ДБО

Хакеры выводят деньги со счетов юрлиц, используя уязвимость систем ДБО

Хакеры выводят деньги со счетов юрлиц, используя уязвимость систем ДБО

Банк России предупреждает кредитно-финансовые организации об атаках на системы ДБО с целью кражи денежных средств со счетов юридических лиц. Изучив устройство API, злоумышленник авторизуется в мобильном приложении и совершает перевод денежных средств, указывая в качестве отправителя номер счета жертвы.

Похожий способ хищения денег ЦБ зафиксировал минувшим летом. На тот момент грабителей интересовали счета физлиц, которые они опустошали, используя систему быстрых платежей (СБП) и уязвимость в стандартном мобильном приложении.

Переключившись на атаки против юрлиц, злоумышленники отказались от использования СПБ для вывода денег со счета. Вместо этого они формируют распоряжение на перевод денежных средств от имени жертвы. Номер ее счета они узнают из открытых источников.

В остальном схема мошенничества не изменилась: автор атаки заходит в банковское приложение под своими идентификаторами, включает режим отладки, изучает порядок и структуру вызовов API ДБО, а затем совершает перевод, подменяя счет отправителя.

Предупреждая банки о новых атаках, ЦБ отметил высокий уровень подготовки их инициаторов. Похоже, что злоумышленники хорошо осведомлены об устройстве системы ДБО, особенностях обработки платежей, а также принципах работы антифрод-решений.

Атаки на счета юрлиц, по мнению экспертов, могут обернуться для жертв гораздо более серьезными потерями, чем в случае с физлицами. Суммы на таких счетах обычно заметно крупнее, а лимиты на перевод средств со счетов юрлиц намного выше, чем в СБП.

По данным ЦБ, в ходе новой мошеннической кампании пока никто не пострадал. По мнению гендиректора SafeTech Дениса Калемберга, злоумышленникам в данном случае помогают «грубейшие нарушения принципов проектирования логики приложения», сводящие на нет все усилия по защите транзакций.

«Если эта система, в которой обнаружена уязвимость, является "коробочной", то есть тиражируемой на разные банки, переживать за свои средства нужно клиентам многих банков»,— отметил также эксперт в своем комментарии для «Ъ».

К сожалению, российские банки пока уделяют мало внимания обеспечению безопасности API, сетует консультант Cisco по вопросам ИБ Алексей Лукацкий. Это на руку злоумышленникам, для которых бурное развитие цифровых технологий в финансовой сфере хозяйственной деятельности России не прошло незамеченным.

В целях противодействия подобным схемам мошенничества ЦБ рекомендует банкам тщательно проверить используемые системы ДБО на уязвимость и ввести дополнительные проверки принадлежности счетов, а также учетных записей клиентов. В частности, специалисты по ИБ советуют при каждой транзакции производить сверку расчетного счета клиента с его аккаунтом.

О новой хакерской атаке на банки и возможных атаках на государственные сервисы рассказал заместитель генерального директора - технический директор компании «Газинформсервис» Николай Нашивочников:

«Этот способ не новый, прежде его "обкатывали" на физлицах. Только на этот раз хакеры подготовились более качественно - в Центробанке уже отметили высокий уровень подготовки атак. Банки, конечно, по-прежнему самая очевидная цель для мошенников, потому что есть быстрая финансовая выгода. Однако, не исключены и повторения ситуации с различными государственными сервисами.

Требования к безопасности приложений сложно формализовать и сегодня, увы, мало что делается в этом направлении. Фреймворков типа bsimm, samm, cmmi становится все больше, но все они находятся в процессе формализации требований к ранним этапам разработки.

Судя по опубликованной информации, эксплуатируемая уязвимость в ПО для ДБО была заложена при проектировании. Это подтверждает один из принципов SDLC: недостаточно включить сканеры, пентесты и анализаторы кода в процесс разработки. Проблемы безопасности должны быть проработаны на самых ранних стадиях. Привлечение к разработке приложений архитектора по безопасности – пока, к сожалению, редкость».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России родителей хотят обязать сообщать оператору о детских сим-картах

В России планируют ввести новые правила, согласно которым родители обязаны будут уведомлять оператора связи, если их сим-картой пользуется ребёнок. Операторы будут передавать информацию о детских номерах в государственную систему мониторинга ГИС «КСИМ», которую ведёт Роскомнадзор.

Эта база уже используется для контроля «серых» сим-карт и подключена ко всем основным операторам — МТС, «Мегафон», Т2 и «Билайн». Такая норма содержится во втором пакете антимошеннических поправок, с текстом которых ознакомился Forbes.

Кроме того, соцсети, мессенджеры и другие интернет-ресурсы, входящие в реестр «распространителей информации» (ОРИ), при аутентификации по номеру телефона должны будут проверять, принадлежит ли он ребёнку или взрослому. От этого будет зависеть, какой контент пользователь сможет просматривать.

По замыслу законодателей, это поможет ограничить доступ несовершеннолетних к «заведомо вредной информации» — например, к материалам 18+. Конкретные правила и порядок реализации правительство определит позже.

В Минцифры пояснили: оформить сим-карту на себя можно с 14 лет. Если номер покупает родитель, он сможет указать, что отдаёт сим-карту ребёнку — тогда оператор присвоит ей статус «передано ребёнку».

Операторы связи отмечают, что пока не ясно, как технически будет работать новая система. В «Мегафоне» предполагают, что родителям добавят возможность отмечать «детские» сим-карты в личном кабинете, чтобы автоматически применять возрастные ограничения. В Т2 говорят о возможном появлении добровольного «флага», который оператор сможет передавать в систему «КСИМ» и далее — интернет-площадкам.

Юристы и представители отрасли считают, что поправки пока «сырые» и оставляют много неясностей. Например, не описан порядок, следуя которому несовершеннолетние будут подтверждать свой возраст. Эксперты не исключают, что на некоторых сайтах может появиться обязательная идентификация пользователей.

По словам источников Forbes, нововведение может стать шагом к более жёсткому регулированию детского доступа к интернет-контенту.

«Сейчас это отдано на саморегулирование, но в будущем государство может само определять, что можно смотреть детям, а что — нет», — отмечает один из собеседников издания.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru