Эксперты кибербеза прогнозируют миграцию банков в Telegram

Эксперты кибербеза прогнозируют миграцию банков в Telegram

Эксперты кибербеза прогнозируют миграцию банков в Telegram

За переходом мобильных приложений на платформу Telegram будущее российского онлайн-банкинга, считают специалисты по кибербезопасности. При этом Роскомнадзор планирует запретить использовать Telegram для интеграции с банками.

О том, что ВТБ запускает онлайн-банкинг в Telegram, стало известно в конце минувшей недели. Сервис на базе Telegram-бота станет альтернативой приложениям для iOS и Android.

На первом этапе клиенты смогут проверять баланс карт и счетов в ВТБ, делать переводы через Систему быстрых платежей (СБП) и пополнять счета мобильных телефонов. К концу 2023 года ВТБ обещает пользователям Telegram все повседневные банковские услуги, а также выпуск некоторых цифровых продуктов.

Недавняя интеграция онлайн-банка ВТБ в мессенджер Telegram — только первая ласточка среди крупных российских банков, считает эксперт компании “Газинформсервис” Григорий Ковшов.

По его словам, перспектива такого направления очевидна: “уже сегодня объемы транзакций по tether (usdt) стали соизмеримы с объемами таких платежных систем, как Visa и Mastercard”.

Нет сомнений, что в ближайшей перспективе для крупных финансовых учреждений Telegram будет интересен и как потенциальная площадка для работы с целевой аудиторией, и для создания своих мобильных банков под них.

“Полагаю, что до конца текущего года мы ещё не раз услышим о новых разработках в данном направлении. Важно только не забывать про безопасность и, конечно, тестировать выпускаемый софт, прежде чем он выйдет в публичное, общедоступное пространство”, — добавляет Ковшов.

Нюанс в том, что Telegram сейчас входит в список иностранных мессенджеров.

Согласно принятым в прошлом году поправкам к закону “Об информации”, таким сервисам с 1 марта 2023 года будет запрещено подключать службы денежных переводов, а структурам, выполняющим “государственное задание”, будет запрещено пересылать в них личные данные, информацию о платежах и банковских счетах.

Автор поправок о перечне иностранных мессенджеров, депутат Госдумы Антон Горелкин, заявил “Ъ”, что если Telegram попадет в реестр, то “сервис, разработанный ВТБ, не сможет работать на законных основаниях”.

При этом старший вице-президент ВТБ Никита Чугунов отмечал, что непосредственно через Telegram информация, которая является банковской тайной, не передается.

“Клиент, по сути, получает через Telegram доступ к онлайн-банку, а все операции проводятся на стороне банка, а не в мессенджере, — говорит Чугунов.

Эксперт по кибербезопасности от “Газинформсервис” Григорий Ковшов также считает, что “гражданство” Telegram не сильно повлияет на интерес крупного бизнеса к мессенджеру.

Критическая уязвимость в TLP позволяет обойти защиту Linux

В популярной утилите TLP, которую многие владельцы ноутбуков на Linux используют для управления энергопотреблением, обнаружили критическую уязвимость. Причём проблема нашлась во время обычной проверки пакета командой SUSE Security Team и располагается во вполне штатном коде.

Брешь получила идентификатор CVE-2025-67859 и затрагивает версию TLP 1.9.0, где появился новый profiles daemon.

Этот демон работает с root-правами и управляет профилями питания через D-Bus. Задумка хорошая, но реализация подвела: в механизме аутентификации Polkit нашлась логическая ошибка, которая фактически позволяет обойти проверку прав.

Как объясняют исследователи, демон должен был строго проверять, кто именно отправляет команды. Но из-за ошибки любой локальный пользователь мог взаимодействовать с ним без должной аутентификации — а значит, менять системные настройки питания от имени root.

На этом сюрпризы не закончились. В ходе анализа специалисты SUSE нашли ещё несколько проблем, уже связанных с исчерпанием ресурсов. В частности, механизм profile hold, который позволяет временно «зафиксировать» профиль питания, оказался совершенно без валидации. Локальный пользователь мог создавать неограниченное количество таких блокировок, причём без прав администратора.

В итоге это открывает прямую дорогу к DoS-атаке: демон начинает захлёбываться от бесконечных записей в структуре данных, куда попадают числа, строки с причиной и идентификаторы приложений — всё это полностью контролируется клиентом.

Любопытно, что SUSE вспомнила похожую историю с демоном управления питанием в GNOME: аналогичную проблему находили ещё несколько лет назад. Отдельно исследователи отметили вопросы к механизму «куки», которыми отслеживаются profile hold. Формально речь шла о предсказуемости значений, но в сочетании с отсутствием лимитов это лишь расширяло поверхность атаки.

К счастью, реакция была быстрой. SUSE сообщила об уязвимостях разработчикам ещё в декабре, и в версии TLP 1.9.1 проблема уже закрыта. В частности, число одновременных profile hold теперь жёстко ограничено числом 16, что убирает риск истощения ресурсов.

RSS: Новости на портале Anti-Malware.ru