Атаки на мобильное ПО становятся все более частыми. У каждого банка свои методы защиты от хакеров, но для всех важно при этом сохранить баланс между безопасностью и функциональностью мобильных приложений. Кроме того, представители финансовых организаций работают над повышением грамотности своих клиентов и вместе с паролем от мобильного банка предоставляют ряд рекомендаций касаемо того, как не «подарить» свои деньги злоумышленникам.    

Юрлица под ударом

С началом кризиса банки приступили к оптимизации филиальных сетей, а вместе с этим началось еще более активное, чем раньше, развитие ДБО и мобильного банкинга.  Но такие приложения стали основной мишенью для мошенников. В отчете Group-IB о тенденциях развития преступности в области мобильных технологий указывается, что из-за роста количества пользователей мобильного банкинга трояны для телефонов и планшетов окончательно вытеснили вредоносное ПО для компьютеров. Несмотря на то, что многие крупные преступные группы были ликвидированы, а их члены задержаны, количество атак растет из-за появления новых хакерских групп. 

Число атак на мобильные приложения увеличивается и в связи с ростом их популярности у клиентов. «Увеличение количества пользователей мобильного банкинга определяет тенденции на рынке: число атак на мобильные приложения выросло за последний год более чем на 90%. В то же время рост числа атак на ДБО юридических лиц составил чуть более 60%», – приводит статистические данные директор департамента информационных технологий банка «Союз» Андрей Веневцев. 

Во многом, как признают эксперты, злоумышленникам помогает низкая компьютерная грамотность пользователей. «Основная масса инцидентов, связанных с хищением денежных средств с использованием систем ДБО, происходит по причине несоблюдения клиентами правил безопасной работы с приложениями», – считает директор департамента экономической и информационной защиты бизнеса РОСГОССТРАХ БАНКа Артем Гонта. В то же время, если измерять хищения с точки зрения размера финансовых потерь, то, конечно, от действий хакеров сильнее страдают юридические лица. «Более массовыми являются атаки на физических лиц, просто потому, что физлиц больше, чем юрлиц. Но масштабы хищений могут значительно отличаться в случае, если мошенничеству подверглась компания», – подчеркивает руководитель дирекции электронного бизнеса МДМ Банка Дмитрий Каштанов. 

Начальник управления экономической безопасности Райффайзенбанка Вадим Будаев считает, что высокая сумма на счетах – одна из причин, в силу которых мошенники более заинтересованы в аккаунтах коммерческих организаций. «Цель любой атаки – украсть деньги клиента, поэтому основным критерием здесь является сумма на счете, доступная через мобильный банк. Юридические лица в этом плане более привлекательны», – поясняет специалист. «Сумма одной проводки, когда речь идет о клиенте-юрлице, может составлять от нескольких сотен тысяч до нескольких десятков миллионов рублей. Как правило, денежные средства переводятся на несколько подставных счетов в разных банках, откуда перенаправляются на банковские карты и электронные кошельки и обналичиваются», – рассказывает заместитель начальника отдела защиты информации Связь-Банка Вадим Пинчук. 

Броня должна быть прочной, но не стеснять движений

Сейчас с помощью мобильного банка клиент может произвести гораздо большее число действий, чем это было, например, год назад, и набор функций приложения постоянно растет. «Если первые банковские мобильные приложения позволяли клиенту проводить лишь основные платежные операции, то сейчас функциональность мобильных приложений шагнула за пределы принципа дублирования функционала веб-версий ДБО. Мобильные приложения ДБО банков развиваются как отдельный банковский продукт», – считают специалисты Татфондбанка.

Но чем лучше защищен мобильный банк, тем менее он функционален. И здесь очень важно соблюсти баланс. Самое главное – добиться минимизации рисков и в то же время не причинить неудобств пользователю. «Если этим всерьез заниматься, то можно найти правильный баланс и суметь обеспечить и удобный функционал, и безопасность. Баланс находится в точке, когда пользователь не думает о том, что есть какие-то угрозы, при этом риски потери сведены к минимуму за счет стараний разработчиков приложения», – рассказывает Дмитрий Каштанов (МДМ Банк). 

В ОТП Банке предлагаются различные уровни авторизации, индивидуальные для каждого клиента. «Не существует каких-то единых метрик, на основании которых можно было бы однозначно утверждать о найденном оптимальном решении. Для кого-то ввод кода подтверждения транзакции является вполне нормальным явлением, а для кого-то – раздражающим стоп-фактором. Кто-то оперирует небольшими лимитами денежных средств и хочет это делать максимально оперативно, а кому-то требуется переводить крупные суммы с полной уверенностью в своей защищенности. Решением такого рода задач может быть предоставление клиенту выбора: под каким уровнем авторизации он готов управлять своими денежными средствами, совершая те или иные операции в мобильном банке», – рассказывает начальник управления информационной безопасности ОТП Банка Сергей Чернокозинский.

Иногда более безопасный вариант может упростить процесс использования приложений для клиента. «Каждый банк принимает решение, исходя из своей рисковой политики, технологичности и понимания удобства. Например, мы недавно внедрили новую технологию и запустили сервис push-уведомлений, который позволяет быстро и удобно подтверждать операции без копирования и запоминания кодов. Этот канал более защищенный, чем СМС-канал, в нем меньше посредников (нет провайдеров связи и т.п.). Это фактически прямая коммуникация между банком и клиентом», – подчеркивает управляющий директор по электронному бизнесу Промсвязьбанка Алгирдас Шакманас. 

В банке «Союз» пошли другим путем и изначально упростили процедуру ввода логина и пароля. «Осенью этого года нашим клиентам была предложена возможность вместо ввода имени и пароля при входе в мобильное приложение использовать сменный пин-код. С одной стороны, это удобно, а с другой стороны, так как имя и пароль не вводятся клиентом, то вероятность их компрометации ничтожно мала. При компрометации пин-кода клиент самостоятельно и оперативно может сменить этот код, используя имя и пароль», – рассказывает Андрей Веневцев (банк Союз»). 

Двухфакторная идентификация действительно сложно приживается у пользователей, в связи с чем многие банки стараются как можно больше упростить этот процесс, переходя на биометрические параметры. «Использование СМС-подтверждений позволяет защищаться от кражи пароля программой-шпионом и т.д. Естественно, что наличие подобных механизмов защиты влияет на удобство использования мобильного банка. Клиенту важнее всего быстро и легко выполнить желаемое действие, а дополнительные подтверждения и сложные пароли его раздражают. Если защитные меры будут слишком обременительными, то клиент перестанет пользоваться сервисом или придумает «упрощение», которое сведет весь смысл защитной меры к нулю (например, запишет пин-код на карте или пароль от мобильного банка в смартфоне)», – предупреждает Андрей Веневцев (банк Союз). 

В то же время удобный мобильный банк с большим набором функций привлекает большее количество пользователей, а вместе с тем он становится и более интересным для мошенников. «Чем больше сервисов доступно через мобильный банк, тем больше его привлекательность как для клиентов, так и для злоумышленников. Чем больше клиентов использует мобильный банк, тем выше вероятность атаки. Соответственно, с ростом функциональности и числа пользователей реализация механизмов защиты  мобильного банка становится все более критичной», – комментирует Вадим Будаев (Райффайзенбанк). 

Не дать клиенту подарить деньги хакерам

Хакерские атаки становятся все более сложными, но и разработчики решений для безопасности ДБО не стоят на месте. Работа над защитой ДБО банка характеризуется комплексным подходом. По словам Сергея Чернокозинского (ОТП Банк), есть механизмы защиты технического и процедурно-организационного плана. «К техническим аспектам защиты можно отнести шифрование важной информации и ее передачу только по защищенным каналам связи, процессы авторизации пользователей в ДБО и распределение доступов внутри системы, процедуры проверки денежных операций с контролем их исполнения и так далее. В процедурно-организационных аспектах регламентируются правила безопасного использования ДБО, реагирования на возможные инциденты», – конкретизирует специалист.

К процедурно-организационным механизмам относится и работа по повышению финансовой грамотности своих клиентов. «За последние годы банкам удалось добиться значительных результатов в части организации защиты клиентов. Было разработано множество подходов, в значительной степени усложнивших реализацию атак, направленных на клиента: защищенные ключевые носители, устройства подтверждения платежей, механизмы сбора и анализа данных об изменениях в рабочем окружении клиента, системы фрод-мониторинга и др. Банки стали уделять больше внимания осведомленности клиентов и стали информировать их о рисках, возникающих в ходе использования систем ДБО, и мерах по их минимизации», – рассказывает о новых методах защиты начальник управления безопасности банка «ГЛОБЭКС» Александр Щелканов.