На прошлой неделе Центробанк разослал российским банкам предупреждение о схеме, с помощью которой мошенники пытались похитить средства со счетов юрлиц, используя систему дистанционного банковского обслуживания (ДБО). Об этом пишет газета "Коммерсант".
В сообщении регулятора говорится, что в ходе инцидента, который не привел к краже средств, мошенник вошел в мобильное приложение банка под легальным логином и паролем, затем перевел программу в режим отладки, изучил порядок и структуру вызовов API (программный интерфейс приложения) ДБО. "Зная все необходимые параметры API-запросов, атакующий формирует распоряжение на перевод денежных средств, указывая в поле "Номер счета отправителя" счет жертвы", - пояснили в ЦБ, уточнив, что номера счетов жертв хакеры узнавали из открытых источников.
"Ввиду высокой вероятности повторения попыток реализации злоумышленниками таких сценариев атак мы ожидаем, что получатели бюллетеня проведут дополнительный контроль и соответствующие проверки применяемых систем ДБО", - отметили в ЦБ, порекомендовав банкам совместно с разработчиками софта провести проверку используемых сервисов ДБО на наличие уязвимостей.
Напомним, в августе прошлого года в ЦБ сообщили о похожей схеме, которая применялась для кражи средств со счетов физлиц при помощи системы быстрых платежей (СБП). Тогда злоумышленник через уязвимость в одной из банковских систем получил данные счетов клиентов. Затем он запустил мобильное приложение в режиме отладки, отправил запрос на перевод средств в другой банк, но перед совершением перевода вместо своего счета отправителя средств указал номер счета другого клиента этого банка. Приложение, не проверив, принадлежит ли указанный счет отправителю, направило в СБП команду на перевод средств, который она и осуществила.
Новая схема грозит более серьезными потерями, поскольку на счетах юрлиц обычно хранятся крупные суммы, а лимиты на переводы с таких счетов существенно выше, чем на переводы при помощи СБП.
По мнению главы компании SafeTech Дениса Калемберга, описанная атака стала возможна из-за "грубейших нарушений принципов проектирования логики приложения", что сделало бесполезными все остальные средства защиты. "Если эта система, в которой обнаружена уязвимость, является "коробочной", то есть тиражируемой на разные банки, переживать за свои средства нужно клиентам многих банков", - добавил он.
В свою очередь глава службы информационной безопасности ГК "Элекснет" Иван Шубин отметил, что для противодействия злоумышленникам банкам необходимо, чтобы при каждой трансакции проводилась сверка расчетного счета клиента с его учетной записью.
