288
Банковские сайты имеют опасные уязвимости
Исследователи безопасности под никами Sony и Flexxpoint опубликовали в блоге результаты тестирования, в котором описали найденные уязвимости на сайтах 13 различных банковских структур. В списке присутствуют три российских ресурса – сайт банка ВТБ24, банка Хоум кредит и сайт для VIP-клиентов MasterCard.
Речь идет об уязвимостях межсайтового скриптинга, которые позволяют внедрить и выполнить произвольный JavaScript- или HTML-код в браузере пользователя в контексте безопасности уязвимого сайта. Как правило, эти уязвимости представляют низкую степень опасности. Но в случае с сайтами банков у злоумышленников появляется шанс на получение доступа к счетам пользователей и дальнейшее хищение средств.
С помощью описанных исследователями уязвимостей злоумышленники могут получить доступ к счетам клиентов, например с помощью XSS-Proxy, и похитить денежные средства. В этом случае даже авторизация по одноразовым паролям не спасет клиента, поскольку злоумышленник может обманом заставить пользователя авторизоваться на сайте с помощью OTP. Получив полный контроль над браузером жертвы, атакующий может потенциально осуществить денежные транзакции на произвольные счета.
В качестве дополнительного вектора атаки злоумышленник может от имени банка предложить пользователю скачать и установить новое приложение «клиент-банк», которое затем позволит получить полный контроль над системой жертвы.
Исследователи рекомендуют банковским структурам обратить внимание на повышение квалификации и дисциплины сотрудников IT-отделов, вкладывать финансовые средства в пен-тесты (тесты на проникновение), а также проводить скрытый аудит среди сотрудников. Всем пользователям эксперты советуют быть предельно осторожными при проведении денежных транзакций, работая даже с доверенными сайтами.
Ознакомиться с другими новостями по данной тематике вы можете в рубрике Безопасность
SecurityLab
