Эксперты Positive Technologies обнаружили серьезные проблемы безопасности во всех существующих приложениях для дистанционного банковского обслуживания (онлайн-банках), из которых более 60% содержат критические уязвимости, сообщает Threatpost.
Как отмечают исследователи, обнаруженные проблемы связаны со стремлением разработчиков помимо безопасности предоставить пользователям максимальное удобство. Например, некоторые банковские организации отказываются от одноразовых паролей или продлевают срок их жизни, чтобы клиентам не пришлось вводить уникальный код для каждой операции. С точки зрения защиты, это повышает риск мошеннических операций и грозит компрометацией доступа к личному онлайн-кабинету.
По оценкам экспертов, решения собственной разработки оказываются в три раза более уязвимыми, чем сторонние продукты, где большинство угроз (75%) связано с проблемами защитных механизмов. При этом внешние вендоры чаще допускают ошибки на этапе проектирования, а приложения, разработанные самими банками, страдают от багов в коде.
«Отказ даже от части мер безопасности в пользу удобства повышает риск совершения мошеннических операций. Если нет необходимости подтверждать операцию с помощью одноразового пароля, злоумышленнику больше не требуется доступ к мобильному телефону жертвы, а слишком большой срок действия пароля повышает шанс его успешного подбора, поскольку при отсутствии ограничений на подбор одноразовый пароль из четырех символов можно подобрать за считаные минуты», — отметил руководитель группы исследования безопасности банковских систем Positive Technologies Ярослав Бабин.
Главной позитивной тенденцией в безопасности финансовых онлайн-приложений в 2018 году стало сокращение доли уязвимостей высокого уровня риска в общем числе всех выявленных недостатков. По данным специалистов Positive Technologies, доля критически опасных уязвимостей снизилась вдвое по сравнению с предыдущим годом. Однако в целом уровень защищенности онлайн-банков остается низким.
Когда производители телекоммуникационного оборудования продают свою технику операторам мобильной связи, они обязаны оставить в ней бэкдор для доступа правоохранительных органов
Российские операторы, принимавшие участие в тестировании системы фильтрации трафика, направили в Минкомсвязь письма с отчетом о результатах проведенного тестирования
Российские операторы, принимавшие участие в тестировании системы фильтрации трафика, направили в Минкомсвязь письма с отчетом о результатах проведенного тестирования
Когда производители телекоммуникационного оборудования продают свою технику операторам мобильной связи, они обязаны оставить в ней бэкдор для доступа правоохранительных органов
