Хакеры нацелились на мобильные приложения банков. В России появилась группировка, которая изучает их уязвимости, а затем крадет деньги и личные данные клиентов. Об этом предупредил Центробанк. В обзоре компьютерных атак регулятор приводит два примера. В первом случае злоумышленники нашли в сети сервер с персональной информацией пользователей: это, например, ФИО, номер мобильного, место работы, номер счета и банковской карты. Во втором случае хакеры смогли подменить реквизиты в мобильном приложении и получили денежный перевод.
Фото: Александр Казаков, Коммерсантъ / купить фото
Фото: Александр Казаков, Коммерсантъ / купить фото
Могут ли пользователи защититься от таких атак? И возместит ли банк потери? “Ъ FM” обсудил эти вопросы с консультантом по интернет-безопасности компании Cisco Алексеем Лукацким: «Заметить это по сути своей нельзя, а защититься от этого, конечно же, можно, но это создает некоторые сложности для самих пользователей, то есть создается определенный "белый список" получателей денежных средств, на который пользователь обычно отправляет деньги,— это родители, обучение, какие-то подписки в тех или иных интернет-сервисах.
Соответственно, все, что выходит за рамки типовой транзакции, должно требовать отдельного подтверждения пользователя.
Эта функция сегодня может быть настроена во многих банковских приложениях. Установление лимитов и ограничение списка получателей денежных средств — это одно из требований Банка России предлагать такого рода сервис своим клиентам для финансовых организаций.
Если средства со счета все-таки украли, клиент может попробовать потребовать какую-то компенсацию со стороны банка, но вероятность этого невелика, потому что в условиях обслуживания клиентов в банках очень часто прописываются определенные требования, которые клиент должен соблюсти при использовании мобильного или интернет-банкинга. К такого рода условиям относится и использование антивирусов, и ряд других требований. Многие пользователи, к сожалению, эти требования игнорируют, и, как следствие, это является основанием для банка в отказе от возмещения несанкционированно переведенных денежных средств. Клиент, конечно, может попытаться, а дальше все зависит от того, насколько он ценен для банка и насколько банк дорожит своей репутацией».
Кроме того, в феврале Центробанк фиксировал похожие атаки на юридические лица. Хакеры вводили в мобильном приложении вместо своего номера счета номер жертвы и получали денежный перевод.
Нужно обращать внимание не только на то, как злоумышленники крадут средства, но и на какие счета они их получают, считает начальник отдела информационной безопасности SearchInform Алексей Дрозд: «Полезным было бы проработать механизмы, которые шли бы по всей денежной цепочке, то есть сейчас мы фокусируемся на том, как предотвратить первую часть хищения, то есть когда инициируется само мошенничество и деньги куда-то переводятся. Но деньги ведь куда-то дальше идут, то есть попадают на какой-то счет в каком-то банке, там аккумулируются и дальше выводятся.
Почему бы не пойти дальше по этой цепочке и не научиться выявлять такие подозрительные платежи либо совокупности платежей, когда инициируется вдруг на какой-то счет куча разных переводов с кучи разных лиц?
Почему бы не блокировать деньги там до выяснения причин, не давать их снимать? Вот этот вопрос требует проработки, потому что здесь важно не навредить легальному бизнесу, который может по формальным признакам быть похожим на мошенничество».
При этом, по данным Центробанка, хакерские группировки стали намного реже атаковать информационную инфраструктуру банков. Массовые рассылки вредоносных программ сотрудникам кредитных организаций почти прекратились.