Хакеры выводят деньги со счетов юрлиц, используя уязвимость систем ДБО

Хакеры выводят деньги со счетов юрлиц, используя уязвимость систем ДБО

Хакеры выводят деньги со счетов юрлиц, используя уязвимость систем ДБО

Банк России предупреждает кредитно-финансовые организации об атаках на системы ДБО с целью кражи денежных средств со счетов юридических лиц. Изучив устройство API, злоумышленник авторизуется в мобильном приложении и совершает перевод денежных средств, указывая в качестве отправителя номер счета жертвы.

Похожий способ хищения денег ЦБ зафиксировал минувшим летом. На тот момент грабителей интересовали счета физлиц, которые они опустошали, используя систему быстрых платежей (СБП) и уязвимость в стандартном мобильном приложении.

Переключившись на атаки против юрлиц, злоумышленники отказались от использования СПБ для вывода денег со счета. Вместо этого они формируют распоряжение на перевод денежных средств от имени жертвы. Номер ее счета они узнают из открытых источников.

В остальном схема мошенничества не изменилась: автор атаки заходит в банковское приложение под своими идентификаторами, включает режим отладки, изучает порядок и структуру вызовов API ДБО, а затем совершает перевод, подменяя счет отправителя.

Предупреждая банки о новых атаках, ЦБ отметил высокий уровень подготовки их инициаторов. Похоже, что злоумышленники хорошо осведомлены об устройстве системы ДБО, особенностях обработки платежей, а также принципах работы антифрод-решений.

Атаки на счета юрлиц, по мнению экспертов, могут обернуться для жертв гораздо более серьезными потерями, чем в случае с физлицами. Суммы на таких счетах обычно заметно крупнее, а лимиты на перевод средств со счетов юрлиц намного выше, чем в СБП.

По данным ЦБ, в ходе новой мошеннической кампании пока никто не пострадал. По мнению гендиректора SafeTech Дениса Калемберга, злоумышленникам в данном случае помогают «грубейшие нарушения принципов проектирования логики приложения», сводящие на нет все усилия по защите транзакций.

«Если эта система, в которой обнаружена уязвимость, является "коробочной", то есть тиражируемой на разные банки, переживать за свои средства нужно клиентам многих банков»,— отметил также эксперт в своем комментарии для «Ъ».

К сожалению, российские банки пока уделяют мало внимания обеспечению безопасности API, сетует консультант Cisco по вопросам ИБ Алексей Лукацкий. Это на руку злоумышленникам, для которых бурное развитие цифровых технологий в финансовой сфере хозяйственной деятельности России не прошло незамеченным.

В целях противодействия подобным схемам мошенничества ЦБ рекомендует банкам тщательно проверить используемые системы ДБО на уязвимость и ввести дополнительные проверки принадлежности счетов, а также учетных записей клиентов. В частности, специалисты по ИБ советуют при каждой транзакции производить сверку расчетного счета клиента с его аккаунтом.

О новой хакерской атаке на банки и возможных атаках на государственные сервисы рассказал заместитель генерального директора - технический директор компании «Газинформсервис» Николай Нашивочников:

«Этот способ не новый, прежде его "обкатывали" на физлицах. Только на этот раз хакеры подготовились более качественно - в Центробанке уже отметили высокий уровень подготовки атак. Банки, конечно, по-прежнему самая очевидная цель для мошенников, потому что есть быстрая финансовая выгода. Однако, не исключены и повторения ситуации с различными государственными сервисами.

Требования к безопасности приложений сложно формализовать и сегодня, увы, мало что делается в этом направлении. Фреймворков типа bsimm, samm, cmmi становится все больше, но все они находятся в процессе формализации требований к ранним этапам разработки.

Судя по опубликованной информации, эксплуатируемая уязвимость в ПО для ДБО была заложена при проектировании. Это подтверждает один из принципов SDLC: недостаточно включить сканеры, пентесты и анализаторы кода в процесс разработки. Проблемы безопасности должны быть проработаны на самых ранних стадиях. Привлечение к разработке приложений архитектора по безопасности – пока, к сожалению, редкость».

Экс-глава подрядчика Пентагона продал России 0-day эксплойт

Бывший руководитель американской компании, разрабатывающей инструменты для взлома и слежки, признал вину в краже и продаже кибершпионских технологий. Речь идёт о 39-летнем австралийце Питере Уильямсе, который возглавлял подразделение Trenchant (входит в оборонный концерн L3Harris).

По данным Минюста США, с 2022 по 2025 год Уильямс продал восемь инструментов для эксплуатации уязвимостей и заработал на этом более $1,3 млн в криптовалюте.

В октябре он признал вину, а 24 февраля в федеральном суде Вашингтона ему должны вынести приговор.

Прокуратура утверждает, что проданные инструменты могли использоваться для массового взлома компьютеров и мобильных устройств по всему миру, в том числе в США.

Речь идёт о так называемых 0-day — уязвимостях, о которых производители софта ещё не знали и, соответственно, не успели выпустить патчи. По версии следствия, технологии были проданы российскому брокеру эксплойтов, среди клиентов которого есть структуры, якобы связанные с российским государством.

В судебных документах говорится, что действия Уильямса «нанесли прямой ущерб» американскому разведсообществу. Прокуроры требуют для него девять лет лишения свободы, три года надзора после освобождения, штраф до $250 тыс. и компенсацию ущерба в размере $35 млн. После отбытия срока Уильямса планируют депортировать в Австралию.

Сам он направил судье письмо с признанием ошибок. Уильямс пишет, что нарушил доверие семьи и коллег и сожалеет о своих решениях. Его адвокат, в свою очередь, настаивает, что проданные инструменты не были засекречены, а доказательств того, что обвиняемый знал о конечных государственных заказчиках, нет. По словам защиты, Уильямс не стремился навредить США или Австралии, хотя теперь понимает последствия.

История получила дополнительный резонанс из-за внутреннего расследования в самой Trenchant. По данным следствия, ФБР контактировало с Уильямсом с конца 2024 года и до его ареста в 2025-м. Несмотря на это, он продолжал продавать инструменты.

Более того, под его руководством был уволен сотрудник, которого компания заподозрила в утечке. Позднее прокуратура указала, что именно Уильямс был причастен к краже, а подчинённый фактически стал «козлом отпущения». Сам уволенный сотрудник ранее заявлял, что считает себя несправедливо обвинённым. Спустя несколько недель после увольнения он получил уведомление от Apple о возможной атаке с использованием государственного шпионского софта.

По данным следствия, покупателем инструментов могла быть компания Operation Zero — брокер эксплойтов, публично предлагающий до $20 млн за инструменты для взлома Android и iPhone и заявляющий, что работает исключительно с российскими госструктурами. В материалах дела брокер прямо не назван, но прокуроры описывают его как «одного из самых опасных в мире».

RSS: Новости на портале Anti-Malware.ru