Любое третье приложение онлайн-банков (33%) охватывает уязвимости, позволяющие украсть деньги, а в 27% прибавлений злоумышленник может получить доступ к данным, составляющим банковскую тайну. Около этом большинство онлайн-банков (71%) обладают недостатки в реализации двухфакторной аутентификации.Таковые выводы содержатся в отчете в основе работ по разбору защищенности финансовых приложений, коие проводились экспертами Positive Technologies в 2016 году.

Свидетельство показало, что доля напряженно опасных уязвимостей финансовых прибавлений в прошлом году выросла в 8%, а доля уязвимостей посредственного уровня риска — на 18%. В результативных системах выявлено почти в два раза более уязвимостей, чем в системах, окружающих в разработке. А финансовые приложения, исследованные вендорами, в среднем содержат в два раза более уязвимостей, чем те, коие разработаны банками самостоятельно.

Что затрагивает мобильных банков, то в любом третьем приложении можно перенять или подобрать учетные данные для доступа. Банковские iOS-прибавления по-прежнему безопаснее, чем их аналоги для Android. Серверные части подвижных банков защищены значительно хуже абонентных: уязвимости высокой степени зарубка найдены в каждой исследованной порядку.

В этом году в отчет Positive Technologies вдобавок вошла статистика по безопасности автоматизированных банковских систем (Abs), которые обычно считаются недоступными для внешнего злодея. Однако на практике 2 трети уязвимостей, выявленных в Abs, оказались критически опасными, включая таковые, которые позволяют получить исполнительный доступ к серверу.

Подобный доступ дает возможность злодею, оставаясь незамеченным, проводить всевозможные мошеннические операции, связанные с деньгами: к примеру, заводить новые счета и ориентировать на них любое сумма денег, подменять платежные задания, отправляемые в Центробанк.

Как отмечается в изыскании, безопасность общедоступных веб- и подвижных приложений в финансовой сфере до этих пор оставляет желать наилучшего, поскольку для таких прибавлений характерны все уязвимости и опасности, известные в области безопасности прибавлений. Наиболее распространенными оказались недостатки элементов идентификации, аутентификации и авторизации.

«При этом основной массы недостатков защиты можно избегнуть еще на этапе проектирования прибавлений, если учесть все нюансы, сопряженные с реализацией механизмов аутентификации и авторизации. Веское количество уязвимостей может иметься выявлено на стадии разработки, когда придерживаться практик безопасной разработки (SSDLC) и регулярно провождать анализ защищенности приложений. Будто показывает практика, наиболее эффективным способом выявления уязвимостей веб-прибавления является анализ его начального кода, в том числе автоматизированными средствами», — отмечает голова отдела аналитики информационной сохранности Positive Technologies Евгений Гнедин.