20 апреля 2020
Каждое второе банковское приложение имеет уязвимость, через которую злоумышленники могут украсть денежные средства пользователя, говорится в исследовании компании Positive Technologies.
Эксперты изучили 14 полнофункциональных банковских мобильных приложений для Android и iOS с количеством скачиваний более 500 тысяч раз. Обнаружилось, что из каждого второго приложения мошенники могут украсть деньги и ни одно из исследованных мобильных банковских приложений не обладает приемлемым уровнем защищенности.
Оценка защищенности проводилась вручную методами черного, серого и белого ящиков с использованием вспомогательных автоматизированных средств. Метод черного ящика предполагал атаки без получения данных об информационной системе. Метод серого ящика аналогичен, но нарушитель имеет определенные привилегии в системе. Метод белого ящика использует все имеющиеся данные о приложении, включая исходный код.
Клиентские части мобильных банковских приложений (мобильное приложение, которое устанавливается непосредственно на устройство пользователя), разработанные для iOS, содержали меньше уязвимостей, чем приложения для Android. Все недостатки в мобильных банках для iOS были не выше среднего уровня риска, в то время как 29% приложений для Android содержали уязвимости высокого уровня риска.
Наиболее опасные уязвимости выявлены в Android-приложениях и связаны с небезопасной обработкой ссылок deeplink. Благодаря технологии Deep linking пользователь может перемещаться между приложениями или разделами одного приложения в заранее определенные разделы с помощью специальных ссылок, подобно тому, как это сделано в веб-приложениях.
При разработке Android-приложений разработчики получают больше свободы в реализации различной функциональности. Это может стать причиной большего количества уязвимостей в сравнении с iOS-приложениями. Эксперты напоминают, что и использование iOS не является гарантией безопасности и защищенность мобильного банка в первую очередь зависит от практики безопасной разработки.
Positive Technologies утверждают, что банки не защищаются от угрозы анализа исходного кода, которая возникает в случае недостаточной его защиты. Злоумышленникам достаточно скачать из Google Play или App Store приложение и декомпилировать его. После анализа кода мошенники могут находить тестовые логины и пароли, ключи шифрования и хеширования. Эта информация может быть в дальнейшем использована злоумышленниками для получения аутентификационных данных и доступа к веб-серверам.
Эксперты также обнаружили, что в файловой системе практически каждого второго приложения хранится конфиденциальная информация в незашифрованном виде. Так, при исследовании одного из мобильных банков специалисты Positive Technologies обнаружили выписки по банковской карте, которые сохранялись в телефоне. А в другом случае приложение сохраняло пин-код пользователя, и злоумышленник мог получить доступ к личному кабинету мобильного банка.
Более половины серверных частей мобильных банков содержат уязвимости высокого уровня риска, заявляют исследователи. Уровень защищенности серверных частей не превышает средний, для трех приложений он был оценен как низкий, а у одного — крайне низкий.
Несанкционированный доступ к приложению, как правило, следствие недостатков аутентификации или авторизации. Большинство уязвимостей, позволяющих проводить подбор пароля, связаны с недостатками реализации механизма предоставления одноразовых паролей, когда при превышении количества попыток ввода одноразовый пароль продолжает оставаться действительным.
Получив доступ к личному кабинету пользователя, злоумышленник может совершать различные операции (в том числе финансовые) от имени этого пользователя. Уязвимости серверных частей мобильных банков могут быть использованы для атак на пользователей в пяти из семи случаев.
Именно аутентификационные данные наиболее уязвимы: логины и пароли от личных кабинетов пользователей мобильных банков под угрозой в пяти серверных частях мобильных банков. Персональные данные могут попасть в руки злоумышленников более чем в половине приложений. Среди информации, доступной нарушителю, имена и фамилии пользователей, баланс денежных средств, квитанции по переводам, лимиты банковских карт, а также возможность установить связь между платежной картой и номером мобильного телефона.
Участие пользователя необходимо для проведения большинства сценариев атак: для эксплуатации 87% уязвимостей злоумышленнику требуются какие-либо действия со стороны пользователя. Поэтому, повышая привилегии в ОС до административных, устанавливая приложения не из официальных магазинов приложений, посещая подозрительные сайты и переходя по ссылкам из мессенджеров или SMS, пользователи помогают хакерам и ставят под угрозу свои данные.
Сотрудники правоохранительных органов задержали приезжего из ближнего зарубежья, занимавшегося серийными похищениями деталей каршеринговых автомобилей, об этом в понедельник, 20 апреля, сообщили в пресс-службе подмосковной полиции.
Стражи порядка выяснили, что двое преступников, один из которых уже дает показания, а второй — все еще находится на свободе, похищали рули с подушками безопасности из каршеринговых иномарок. Для этого они использовали аккаунт в мобильном приложении, оформленный на чужое имя.
Установлено, что злоумышленники успели похитить как минимум семь рулей, при попытке продажи которых и произошло задержание – оперативники обнаружили объявление в Сети и пришли на встречу под видом покупателей.
Сейчас 26-летний мужчина стал фигурантом уголовного дела по статье "Кража", а полицейские продолжают поиски второго участника криминального предприятия.
Новая лаборатория, где будут проводить тесты на коронавирусную инфекцию, появится на базе Кожно-венерологического диспансера Севастополя. Сейчас оформляются последние документы, и с 21 апреля начнется заказ тест-систем.
Как сообщили на заседании правительства города, больных готовы принять также инфекционная больница и горбольница №9. Для тяжелых пациентов подготовят 427 коек и 150 аппаратов ИВЛ.
Тем временем, все предприятия оборонно-промышленного комплекса полуострова Крым прошли полную дезинфекцию. Спецобработку провели подразделения радиационной, химической и биологической защиты Черноморского флота, передает служба информации "Вести. Севастополь".
В зоне ответственности ЧФ - более десяти объектов ОПК, их общая площадь — более 250 гектаров, в том числе 390 зданий на территории предприятий. Военнослужащие обрабатывали по 1-2 объекта в сутки. При работе использовались авторазливочные станции АРС-14КМ, тепловые машины ТМС-65У и переносные комплекты ДКВ-1К. Специальным составом военные химики ежедневно дезинфицируют также около 40 городских улиц.
Видео предоставлено пресс-службой Черноморского флота.
Текст:
ГТРК "Севастополь"
Экс-президент Международной федерации футбола Йозеф Блаттер представил публике свой вариант символической сборной лучших футболистов Европы всех времен в честь 60-летия с момента проведения первого чемпионата Старого Света. Первым номером в команде легенд значится советский вратарь Лев Яшин.
Нынешний год отмечает 60-летие первого Кубка Европы, в котором победила сборная Советского Союза с Яшиным в качестве основного голкипера. Компанию великому российскому вратарю в команде от бывшего главы ФИФА, сообщают "Известия", составили другие звезды европейского футбола разных лет
В защите по версии Блаттера должны были сыграть Паоло Мальдини (Италия), Франц Беккенбауэр (Германия) и Жерар Пике (Испания). Среднюю линию составили Йохан Круифф (Нидерланды), Бобби Мур (Англия), Зинедин Зидан (Франция), Ференц Пушкаш (Венгрия). В нападение определены Криштиану Роналду (Португалия), Уве Зеелер (Германия) и Марко ван Бастен (Нидерланды). Тренер команды Блаттера – Висенте Дель Боске (Испания).
Более 120 хабаровчан не могут вернуться домой Бангкока и Паттайи. Многие из туристов прилетели в Таиланд до того, как была объявлена пандемия COVID-19. Но, несмотря на то, что у людей уже были куплены билеты, улететь до закрытия границ они так не успели. Каковы шансы оказаться дома — в репортаже корреспондента ГТРК "Дальневосточная" Анны Кальчук.
Дети, пенсионеры, женщины. Семь и одиночки. В этом ролике жители разных российских регионов обращаются с единым криком души "хотим домой".
- Мы находимся в Таиланде уже вторую неделю. Помогите нам вернуться!
После того, как Таиланд закрыл границы, граждане России обращались за помощью в посольство, регистрировались на портале госуслуг, многие даже повторно оплатили авиаперелет. У кого-то на руках уже пять проездных документов. Однако в небо пока ни один самолет так и не поднялся.
"Многие оставались ночевать в аэропорту. Люди спали на лавочках. У многих закончились средства к существованию и страховки. Мы здесь находимся в самой настоящей опасности", - говорит жительница Хабаровска Елена Черная.
В Таиланде на помощь к застрявшим туристам пришли соотечественники. Кто-то предоставил апартаменты за оплату коммунальных услуг. Кто-то начал бесплатно раздавать в своих кафе.
"Этим ресторанчиком владеет русский. Здесь организована раздача. Среди людей - много тех, кто имеет хронические заболевания. Многие нуждаются в инсулине. Кому-то нужно выйти на работу", — говорит хабаровчанин Михаил Ульянченко.
Тем временев в Таиланде принимаются все более жесткие меры. В королевстве введен комендантский час, штрафы достигают десятков тысяч бат. Нарушителей арестовывают.
"Эвакуируют только москвичей, жителей Санкт-Петербурга и Подмосковья. Мы не знаем, что делать. Средства заканчиваются, также как виза и сроки аренды жилья", — рассказали жители Хабаровска Анастасия Морозова и Артём Хомик.
Появилась информация, что рейс на Дальний Восток все-таки планируется. Но на борт в этот раз покажут только жители Приморья. Официальный представитель МИДа уже обратилась к регионам с призывом подключиться к вывозу российских граждан.
"Я обратился в Министерство связи. В настоящий момент списки россиян проверяют в МВД. Ждем согласования от Москвы. Как только точно станет известно, сколько людей мы должны вывезти, будет принято решение", — заявил министр транспорта и дорожного хозяйства Хабаровского края Валерий Немытов.
Всех прибывших поместят на двухнедельный карантин. Однако дата вылета по-прежнему не уточняется.
Текст:
ГТРК "Дальневосточная"
