Доля финансовых приложений, в которых встречаются критически опасные уязвимости, в 2016 году снизилась, однако общий уровень риска выявленных уязвимостей стал значительно выше. Наиболее распространены оказались недостатки механизмов идентификации, аутентификации и авторизации. Такие выводы содержатся в исследовании защищенности финансовых приложений, которое представили эксперты компании Positive Technologies.

Как отмечается в исследовании, популярность электронных финансовых инструментов в России за последний год заметно выросла благодаря развитию бесконтактных систем оплаты: к уже привычным PayPass и payWave присоединились технологии NFC-платежей с помощью смартфонов — Apple Pay и Google Wallet. Однако безопасность общедоступных мобильных и веб-приложений в финансовой сфере до сих пор оставляет желать лучшего, поскольку для таких приложений характерны все уязвимости и угрозы, известные в области безопасности приложений. При этом в случае банковских приложений реализация угроз приводит к серьезным последствиям — включая хищение денежных средств, несанкционированный доступ к персональным данным и банковской тайне, а также репутационные потери для бизнеса.

В 2016 году доля критически опасных уязвимостей финансовых приложений выросла на 8%, а доля уязвимостей среднего уровня риска — на 18%. При этом в продуктивных системах выявлено почти в два раза больше уязвимостей, чем в системах, находящихся в разработке. А финансовые приложения, разработанные вендорами, в среднем содержат в два раза больше уязвимостей, чем те, которые разработаны банками самостоятельно.

Большинство онлайн-банков (71%) имеют недостатки в реализации двухфакторной аутентификации. 33% приложений онлайн-банков содержат уязвимости, позволяющие украсть деньги, а в 27% приложений злоумышленник может получить доступ к сведениям, составляющим банковскую тайну.

Что касается мобильных банков, то в каждом третьем приложении можно перехватить или подобрать учетные данные для доступа. Банковские iOS-приложения по-прежнему безопаснее, чем их аналоги для Android. При этом серверные части мобильных банков защищены значительно хуже клиентских: уязвимости высокой степени риска найдены в каждой исследованной системе.

В отчет также вошла статистика по защищенности автоматизированных банковских систем, которые обычно считаются недоступными для внешнего злоумышленника. Однако на практике две трети уязвимостей, выявленных в АБС, оказались критически опасными — включая такие, которые позволяют получить административный доступ к серверу. Подобный доступ дает возможность злоумышленнику, оставаясь незамеченным, проводить любые мошеннические операции, связанные с деньгами: например, заводить новые счета и указывать на них любое количество денег, или же подменять платежные поручения, отправляемые в ЦБ.

Злоумышленники все активнее используют подобные возможности для атак на финансовый сектор, отметили аналитики Positive Technologies. Однако большинства недостатков защиты можно избежать еще на этапе проектирования приложений, если учесть все нюансы, связанные с реализацией механизмов аутентификации и авторизации. Значительное количество уязвимостей может быть выявлено на стадии разработки, если придерживаться практик безопасной разработки и регулярно проводить анализ защищенности приложений. Как показывает практика, наиболее эффективным методом выявления уязвимостей веб-приложения является анализ его исходного кода, в том числе автоматизированными средствами.

Соответствующий законопроект находится в Госдуме, передает РБК. Сведения о клиентах, необходимые для удаленной идентификации пользователей, будут храниться в государственной Единой системе идентификации и аутентификации, через которую сейчас авторизация на сайтах госуслуг. Клиент один раз придет в банк, его персональные данные внесут в ЕСИА, после чего открывать счета и вклады без личного присутствия станет возможным и в других банках. В список предоставляемой человеком информации в том чсиле СНИЛС, номер мобильного телефона и биометрическая фотография. Обязательным условием для предоставления банковских услуг является непричастность обратившегосяя к отмыванию преступных доходов.

Проект в октябре 2016 года запустили Минкомсвязь и Росфинмониторинг. Авторы инициативы, пишет информационное агентство, рассчитывают на повышение интереса клиентов банковским услугам, «в том числе среди активного населения, работающего в условиях жесткого недостатка свободного времени».

Сейчас система находится на пилотной стадии: Центральный банк определит круг финансово-кредитных организаций, которые смогут участвовать в тестировании, рассказал глава комитета по финансовым рынкам Анатолий Аксаков.

Министерство связи и массовых коммуникаций РФ рассчитывает внедрить в пилотных банках возможность удаленной идентификации клиентов для открытия счетов и вкладов с июня 2017 года, передает RNS.

Соответствующий проект правительственного постановления опубликован на regulation.gov.ru. «Провести с 1 июня 2017 года по 1 июня 2018 года пилотный проект по осуществлению кредитными организациями удаленной идентификации клиентов — физических лиц», — говорится в документе.

Для возможности после однократного очного подтверждения личности использовать удаленную идентификацию во всех банках предлагается задействовать единую систему идентификации и аутентификации, которая используется для получения гражданами госуслуг.

Таким образом, гражданин «сможет без личного обращения открывать счета, вклады, получать кредиты и осуществлять банковские операции в любой другой кредитной организации через Интернет, используя свой логин и пароль от ЕСИА. В то же время ЕСИА для этих целей будет дополнена биометрической идентификацией.

В единой системе идентификации и аутентификации содержатся паспортные данные клиента, СНИЛС, ИНН, номер телефона и фото. Для повышения надежности и безопасности электронной удаленной идентификации предполагается дополнительно использовать современные механизмы биометрической аутентификации пользователей по их биометрическим данным (например, голос или лицо). ЕСИА будет соответствующим образом доработана в течение трех месяцев после принятия постановления.

Оператором электронной системы Минкомсвязь предлагает сделать «Ростелеком». Госоператор займется созданием, развитием и эксплуатацией цифровой инфраструктуры.

Денежные пороги банковских услуг, оказываемых в рамках пилотного проекта, определит Банк России по согласованию с Росфинмониторингом.

Почти половина фишинговых атак в 2016 году была нацелена на прямую кражу денег у пользователей, закючили в «Лаборатории Касперского», проанализировав финансовые угрозы прошлого года. По сравнению с 2015-м, число финансовых фишинговых атак увеличилось на 13 п.п., составив 47%. За всю историю изучения финансового фишинга компанией этот показатель самый высокий.

Основной целью при таких атаках является сбор конфиденциальной информации, открывающей доступ к чужим деньгам. Злоумышленники охотятся за номерами банковских счетов или карт, номерами социального страхования, логинами и паролями от систем онлайн-банкинга или платежных систем.

Излюбленной мишенью традиционно оказались банки: в каждой четвертой атаке они использовали поддельную банковскую информацию, таким образом доля атак на эти финансовые организации по сравнению с 2015 годом увеличилась на 8 п.п. Кроме того, приблизительно каждая восьмая фишинговая атака была направлена на пользователей платежных систем, а каждая десятая — на покупателей интернет-магазинов.

Как отметили в «Лаборатории Касперского», атаки с использованием методов социальной инженерии не требуют от преступника высокой технической квалификации и больших инвестиций. Пользуясь невнимательностью своих жертв и их технической неграмотностью, мошенники получают доступ к персональной финансовой информации пользовтаелей и, в дальнейшем, к их деньгам. Как предупреждают в компании, подавляющее большинство фишинговых атак легко распознать, однако статистика говорит о том, что очень много людей продолжают проявлять беспечность в Интернете, даже когда дело касается денег».

Чтобы не стать жертвой фишинга, в «Лаборатории» рекомендует пользователям всегда поверять подлинность веб-сайта, на котором они собираются вводить финансовую информацию, и проверять, защищено ли соединение безопасным протоколом https. Кроме того, не стоит переходить по подозрительным ссылкам и выполнять все требования, изложенные в электронных письмах от имени банка, если они вызывают даже самую малую долю сомнения — лучше в этом случае связаться с финансовой организацией напрямую. И конечно же, целесообразно использовать защитное решение, включающее в себя проактивные функции распознавания и блокирования фишинга.

Вирусная лаборатория Eset опубликовала отчет о деятельности кибергруппы RTM, атакующей российские организации. Для кражи средств у компаний хакеры подменяют реквизиты исходящих платежей в транспортных файлах «1С».

Группировка RTM использует специально разработанные программы, написанные на Delphi. В Eset зафиксировали первые следы этих вредоносных инструментов в конце 2015 года. Функционал RTM включает перехват нажатия клавиш, чтение смарт-карт, загрузку в зараженную систему новых модулей, мониторинг процессов, связанных с банковской деятельностью. В фокусе атакующих — бухгалтерские системы, взаимодействующие с решениями дистанционного банковского обслуживания. Вредоносный код RTM распространяется преимущественно через взломанные сайты и спам. Эти инструменты удобны для целенаправленных атак, поскольку в первом случае атакующие могут выбирать площадки, посещаемые потенциальными жертвами, а во втором — отправлять письма с вредоносными вложениями напрямую «нужным» сотрудникам компаний.

Вредоносный код RTM отслеживает появление в зараженной системе транспортного файла 1c_to_kl. txt. Его формирует «1С: Предприятие 8» для передачи платежного поручения из бухгалтерской системы в систему онлайн-банкинга. Текстовый файл содержит детали исходящих платежей. Подменив реквизиты получателя, хакеры могут перевести средства компании на свои счета.

Общее число обнаружений вредоносных программ семейства RTM невелико. С другой стороны, в кампании используются сложные кастомные инструменты, что свидетельствует о высокой таргетированности атак.

По оценке экспертов Eset, снизить риск кражи средств позволяет шифрование платежных поручений, двухфакторная аутентификация, антивирусная защита корпоративной сети, обучение персонала основам информационной безопасности.

Министерство связи и массовых коммуникаций собирается провести летом 2017 года пилотный проект по внедрению удаленной идентификации физических лиц в российских банках, говорится в уведомлении на сайте правовой информации.

Речь идет об идентификации через «Единую систему идентификации и аутентификации» для получения услуг вроде открытия банковских счетов без посещения отделений банка.

Предполагается, что в первый раз клиент должен будет пройти очную идентификацию, по итогам которой его данные зафиксируют в ЕСИА. Когда человек приходит в другой банк, где он не открывал счет, ему будет необходимо идентифицировать свою личность через ЕСИА.

По мнению Минкомсвязи, подобная мера также будет стимулировать конкуренцию на финансовом рынке.

Законопроект, который еще находится в разработке, может вступить в силу в июне 2017 года. Систему изначально планируется внедрить в рамках пилотного проекта на ограниченное число операций и кредитных учреждений. Названия банков не раскрываются.

Сейчас в ЕСИА содержатся паспортные данные клиента, СНИЛС, ИНН, номер телефона и фото.

Банк «Россия» сообщил о выпуске дебетовой виртуальной картой национальной платежной системы «Мир». Банк стал первой кредитной организацией, выпустившей виртуальную карту «Мир» на российском банковском рынке.

Как сообщает пресс-служба банка, виртуальная карта «Мир» выпускается посредством интернет-банка ABRDIRECT в качестве дополнительной к карточному счету, открытому в Банке «Россия». Каждая карта имеет собственный индивидуальный номер и код безопасности. Срок действия виртуальной карты составляет 30 дней, максимальный расходный лимит – 150 тыс. рубй.

Карта выпускается бесплатно, платежи по ней осуществляются без дополнительных комиссий. Использовать для оплаты виртуальную карту можно в интернет-магазинах, принимающих к оплате карты платежной системы «Мир».

«Тинькофф Банк» запустил обслуживание клиентов через сервис для обмена сообщениями Viber, сообщается на портале banki.ru.

Банк стал первым партнером Viber из банковской сферы в России. Пользователи этого приложения теперь могут обратиться в службу поддержки банка. При необходимости они могут отправить не только сообщение, но и документ или скриншот, что в большинстве случаев ускоряет решение вопросов.

В пресс-службе банка сообщили, что сотрудники банка отвечают на первое сообщение клиента в течение одной минуты, затем ведут диалог в режиме реального времени. Банк обслуживает клиентов через Viber круглосуточно и без выходных.