[Информационная безопасность, Разработка мобильных приложений, IT-компании] ЦБ сообщил банкам о новом типе атаки на счета юридических лиц через мобильное приложение
Автор
Сообщение
news_bot ®
Стаж: 6 лет 3 месяца
Сообщений: 27286
По информации издания «Коммерсатъ», Банк России разослал рекомендации кредитным организациям проверить совместно с поставщиками программного обеспечения сервисы дистанционного обслуживания на уязвимости в связи с появлением нового типа атаки на счета юридических лиц через корпоративные банковские мобильные приложения.
Причем злоумышленники хорошо разбираются в технологиях дистанционного банковского обслуживания (ДБО) на уровне разработчиков. Они осведомлены об особенностях обработки платежей банками и знают, как обойти их антифрод-системы.
По данным издания, ЦБ выслал банкам описание схемы, применяемой мошенниками.
ЦБ пояснил, что злоумышленники заходили в корпоративное мобильное приложение банка под настоящими учетными данными пользователя. Далее они, зная порядок и структуру вызовов API системы ДБО, переводили приложение в режим отладки и формировали в нем распоряжение на перевод денежных средств, указывая в поле «Номер счета отправителя» счет жертвы. Информацию о счетах пострадавших компаний мошенники брали из открытых источников.
ЦБ порекомендовал банкам ввести дополнительные проверки расчетного счета клиента, используемого в банковских операциях, с его учетной записью.
Летом прошлого года аналогичную схему с подменой данных отправителя злоумышленники использовали для хищения средств у физлиц. Опасность новой атаки в том, что мошенники смогут перевести сразу больше денег, так как у компаний на счетах их больше, чем у обычных клиентов банков. Также лимиты на перевод средств юрлиц существенно выше.
Эксперт компании SafeTech пояснил «Коммерсанту», что подобная атака возможно только из-за «грубейших нарушений принципов проектирования логики приложения». Если уязвимость присутствует в версии приложения, которое используют в качестве шаблонной сразу несколько банков, то могут пострадать сразу многие компании.
ИБ-специалист компании Cisco уточнил, что банки уделяют мало внимания безопасности API, с помощью которых взаимодействуют между собой приложения для ДБО. С другой стороны, злоумышленники наоборот стараются найти любые лазейки, чтобы совершить атаки на API, если есть такая возможность.
===========
Источник:
habr.com
===========
Похожие новости:
- [Информационная безопасность] Security Week 07: конфуз с зависимостями в софте
- [Интернет-маркетинг, Карьера в IT-индустрии, IT-компании] ИСТОРИЯ ОДНОЙ ПОКУПКИ В ИНТЕРНЕТ-МАГИЗИНЕ МТС ИЛИ КАДРЫ РЕШАЮТ ВСЕ
- [Развитие стартапа, Законодательство в IT, Финансы в IT, IT-компании] Сотрудничество с самозанятыми: преимущества и «подводные камни»
- [Венчурные инвестиции, Развитие стартапа, Финансы в IT, IT-компании] Новости IT и инвестиций: Маск покупает Bitcoin, взлет Clubhouse
- [Информационная безопасность, Работа с видео, Алгоритмы, Обработка изображений] Исследователи показали, как обмануть лучшие из существующих детекторов дипфейков
- [Поисковые технологии, Управление медиа, IT-компании] Microsoft предложила обязать Google и Facebook платить за новости в США
- [Облачные сервисы, Игры и игровые приставки, IT-компании] Google добавит 100 игр для Stadia в этом году
- [Информационная безопасность, Реверс-инжиниринг, Исследования и прогнозы в IT, IT-компании] Kremlin RATs: история одной мистификации
- [Разработка мобильных приложений, Проектирование и рефакторинг, Разработка под Android, Kotlin] Разработка на Android: как найти подходящую абстракцию для работы со строками (перевод)
- [Информационная безопасность, Производство и разработка электроники, Процессоры, IT-компании] Bloomberg снова обвинило китайскую SuperMicro в поставке «шпионских» чипов
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_razrabotka_mobilnyh_prilozhenij (Разработка мобильных приложений), #_itkompanii (IT-компании), #_bank_rossii (Банк России), #_preduprezhdenie (предупреждение), #_informatsionnaja_bezopasnost (
Информационная безопасность
), #_razrabotka_mobilnyh_prilozhenij (
Разработка мобильных приложений
), #_itkompanii (
IT-компании
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 20-Май 20:27
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 3 месяца |
|
 По информации издания «Коммерсатъ», Банк России разослал рекомендации кредитным организациям проверить совместно с поставщиками программного обеспечения сервисы дистанционного обслуживания на уязвимости в связи с появлением нового типа атаки на счета юридических лиц через корпоративные банковские мобильные приложения. Причем злоумышленники хорошо разбираются в технологиях дистанционного банковского обслуживания (ДБО) на уровне разработчиков. Они осведомлены об особенностях обработки платежей банками и знают, как обойти их антифрод-системы. По данным издания, ЦБ выслал банкам описание схемы, применяемой мошенниками. ЦБ пояснил, что злоумышленники заходили в корпоративное мобильное приложение банка под настоящими учетными данными пользователя. Далее они, зная порядок и структуру вызовов API системы ДБО, переводили приложение в режим отладки и формировали в нем распоряжение на перевод денежных средств, указывая в поле «Номер счета отправителя» счет жертвы. Информацию о счетах пострадавших компаний мошенники брали из открытых источников. ЦБ порекомендовал банкам ввести дополнительные проверки расчетного счета клиента, используемого в банковских операциях, с его учетной записью. Летом прошлого года аналогичную схему с подменой данных отправителя злоумышленники использовали для хищения средств у физлиц. Опасность новой атаки в том, что мошенники смогут перевести сразу больше денег, так как у компаний на счетах их больше, чем у обычных клиентов банков. Также лимиты на перевод средств юрлиц существенно выше. Эксперт компании SafeTech пояснил «Коммерсанту», что подобная атака возможно только из-за «грубейших нарушений принципов проектирования логики приложения». Если уязвимость присутствует в версии приложения, которое используют в качестве шаблонной сразу несколько банков, то могут пострадать сразу многие компании. ИБ-специалист компании Cisco уточнил, что банки уделяют мало внимания безопасности API, с помощью которых взаимодействуют между собой приложения для ДБО. С другой стороны, злоумышленники наоборот стараются найти любые лазейки, чтобы совершить атаки на API, если есть такая возможность. =========== Источник: habr.com =========== Похожие новости:
Информационная безопасность ), #_razrabotka_mobilnyh_prilozhenij ( Разработка мобильных приложений ), #_itkompanii ( IT-компании ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 20-Май 20:27
Часовой пояс: UTC + 5