Мобильные приложения российских банков были взломаны
Как сообщает «Коммерсантъ», в конце прошлой недели Центробанк разослал банкам предупреждение о схеме, с помощью которой мошенники похищали средства со счетов юрлиц, используя систему дистанционного банковского обслуживания (ДБО). Делал это авторизованный клиент банка путем подмены номера счета отправителя. В ЦБ отмечают высокий уровень подготовки атак: осведомленность атакующих в технологии ДБО на уровне разработчиков, а также в особенностях обработки платежей банком и в правилах и настройках антифрод-систем.
В документе подробно описывается схема инцидента, из которой следует, что атака была направлена на счета юрлиц, но никто не пострадал:
Мошенник заходил в мобильное приложение банка под легальным логином и паролем, переводя его в режим отладки. После изучался порядок и структура вызовов API ДБО. Зная все необходимые параметры API-запросов, атакующий формировал распоряжение на перевод денежных средств, указывая в поле «Номер счета отправителя» счет жертвы. Номера счетов жертв мошенники узнавали из открытых источников.
Регулятор рекомендует банкам вместе с поставщиками программного обеспечения провести проверку сервисов ДБО на уязвимости.
