На форуме в дарквебе описали методы обхода 3D Secure для банковских карт

На форуме в дарквебе описали методы обхода 3D Secure для банковских карт

На форуме в дарквебе описали методы обхода 3D Secure для банковских карт

Протокол 3D Secure (3DS), обеспечивающий дополнительный уровень безопасности для кредитовых и дебетовых карт пользователей, постоянно находится в поле зрения киберпреступников, поскольку последние ищут способы его обхода. Именно поэтому на одном из форумов дарквеба злоумышленники поделились наработанными методами, позволяющими несанкционированно приобретать товары в онлайн-магазинах за счёт держателей карт.

Для тех, кто не знает: 3DS добавляет дополнительный слой защиты, при покупках в интернет-магазинах. Благодаря протоколу покупатель должен подтвердить, что он действительно является владельцем банковской карты, с которой списываются деньги.

Вторая версия протокола (3DS 2) разработана специально для смартфонов, она позволяет подтверждать покупки с помощью установленных на мобильном устройстве банковских приложений. В этом случае пользователь может задействовать биометрическую аутентификацию: сканирование отпечатка пальца или лица.

Тем не менее первая версия 3DS до сих пор используется во многих магазинах, что открывает возможность для обмана держателя карты с помощью социальной инженерии. В этом случае основная задача злоумышленников — заставить пользователя выдать короткий код или пароль, используемый для подтверждения транзакции.

Как отметили киберпреступники на форуме, успешное использование комбинации социальной инженерии и фишинговых атак позволяет обойти 3D Secure и купить за счёт ничего не подозревающего гражданина любой товар.

В блоге компании Gemini Advisory специалисты опубликовали пост, в котором предупреждают пользователей о существующих эффективных методах обхода протокола 3D Secure. При этом эксперты подчёркивают, что киберпреступники активно обсуждают эти способы, что может привести к всплеску подобных атак.

Для реализации описанных методов злоумышленнику сначала потребуется добыть хотя бы минимальное количество информацию о держателе карты: его имя, телефонный номер, адрес электронной почты, адрес проживания и номер водительского удостоверения.

Получив необходимые данные, преступник может использовать их в разговоре с пользователем от имени сотрудника банка. Как правило, доверчивые граждане клюют на такие уловки, ведь мошенник выдаёт верные сведения. Один из посетителей дарквеб-форума описал как раз такую схему:

 

Используя пользовательские данные, софт для изменения голоса и приложение для спуфинга телефонного номера кибермошенник может совершить покупку в онлайн-магазине, а потом позвонить владельцу карту и выяснить всю информацию, необходимую для подтверждения транзакции.

Также киберпреступники описали и другие способы: заманить пользователя на фишинговый сайт, установить на его мобильное устройство вредоносную программу и тому подобное. В целом людям надо быть более внимательными, когда речь заходит о банковских картах. Не забывайте, что злоумышленники не дремлют.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минцифры поддержало инициативу депутатов об обучении ИБ госслужащих

Минцифры поддержало инициативу группы депутатов от фракции «Новые люди», которые предложили внедрить системное обучение государственных и муниципальных служащих основам кибербезопасности. По замыслу авторов инициативы, регулярные курсы помогут защитить государственные структуры от кибератак, включая попытки социальной инженерии, фишинга и использования вредоносных программ.

Депутаты направили министру цифрового развития, связи и массовых коммуникаций Максуту Шадаеву письмо с предложением сделать такие курсы обязательными и завершать их аттестацией.

В распоряжении РИА Новости оказался ответ на письмо, подписанный одним из заместителей министра. В документе отмечается, что ведомство разделяет позицию о необходимости системного обучения госслужащих. Подчёркивается, что такие меры особенно важны для защиты информационных ресурсов органов власти и критической инфраструктуры от атак социальной инженерии.

Представитель Минцифры добавил, что вопросы повышения киберграмотности уже отражены в национальной программе «Цифровая экономика РФ». Кроме того, был создан экспертный совет «Цифровая грамотность и кибергигиена», который объединяет усилия специалистов для системного повышения уровня цифровых компетенций.

Сейчас Минцифры готовит новый проект «Цифровая грамотность для госслужащих». В разработке участвуют представители компаний Ростелеком, «Лаборатория Касперского», Яндекс, Авито и Сбер. Их эксперты готовят методические материалы по темам социальной инженерии, фишинга, вредоносных программ, защиты персональных данных и угроз на основе искусственного интеллекта.

Параллельно разрабатывается итоговое тестирование. «Дополнительно сообщаем, что Экспертным советом реализуется проект "ЦифрАтест", направленный на определение уровня цифровой грамотности госслужащих. Платформа будет включать тестирование по темам телефонного мошенничества, защиты от спама, безопасного использования мессенджеров и соцсетей, фишинга и доступа к госуслугам. По итогам прохождения теста участники получат сертификат, отражающий их уровень цифровых компетенций», — говорится в ответе ведомства.

Даже зрелые организации регулярно сталкиваются с инцидентами, вызванными атаками на персонал. Поэтому необходим постоянно действующий процесс обучения и повышения осведомлённости сотрудников. Тем более, что корпоративная среда и госучреждения часто становятся благоприятной почвой для распространения фишинга.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru