Перейти к содержанию

Безопасность для финтех-компаний

KL FC Bot
 Share

Рекомендуемые сообщения

KL FC Bot Гигант мысли

KL FC Bot

Опубликовано
Опубликовано

В 2019 году мировой фондовый рынок вырос на 17 триллионов долларов США. И хотя пандемия, мягко говоря, потрепала мировые рынки, интерес к инвестициям никуда не делся: с начала 2020 года число пользователей трейдинговых приложений только растет.

Активы и личные данные участников электронных торгов — желанная добыча для киберпреступников. При этом в случае инцидента расхлебывать его последствия придется поставщикам или операторам трейдинговой платформы. В этом посте мы поговорим об основных опасностях, с которыми сталкиваются такие компании, и о том, как от них защититься.

Уязвимости в приложениях

Как и в любом ПО, в трейдинговых платформах регулярно находят уязвимости. В 2018 году ИБ-эксперт Алехандро Эрнандес (Alejandro Hernandez) нашел дыры в 79 таких приложениях. Разработчики хранили и передавали данные в незашифрованном виде (то есть кто угодно мог их подсмотреть или подменить), а также не разлогинивали трейдеров, даже если те продолжительное время не пользовались приложением. Встречались и недочеты на уровне проектирования, такие как возможность задать ненадежный пароль.

Годом позднее аналитики из ImmuniWeb провели похожее исследование и тоже пришли к неутешительному выводу: из 100 протестированных разработок финтех-компаний все оказались в той или иной степени уязвимы. Проблемы нашлись как в веб-, так и в мобильных приложениях. Многие ошибки были унаследованы от сторонних разработок и инструментов, использованных программистами. Для некоторых из них уже давно существовали патчи, но ими просто не воспользовались. Заплатку для одной из обнаруженных дыр выпустили еще в 2012 году, но у авторов финтех-приложения так и не дошли руки, чтобы ее скачать.

Между тем, если в продуктах компании есть проблемы с безопасностью, о них рано или поздно станет известно. Это может испортить репутацию и привести к потере клиентов. Если же из-за бага в приложении пострадают данные или деньги пользователей, разработчику придется возмещать ущерб и платить штрафы.

Бывает и так, что единственным пострадавшим от ошибки в коде оказывается создатель платформы. К примеру, авторы трейдингового приложения Robinhood пропустили в нем баг, который позволял премиальным пользователям заимствовать у платформы неограниченное количество денег для торговли ценными бумагами. Один из пользователей одолжил таким образом миллион долларов США, имея на руках лишь 4000 долларов. Среди трейдеров код получил название «чит на бесконечные деньги».

Чтобы избежать потерь, связанных с уязвимостями и ошибками в коде, создателям трейдинговых платформ стоит еще на стадии разработки внедрять механизмы защиты, такие как автоматическое разлогинивание пользователя, шифрование и запрет на использование слабых паролей. Также стоит регулярно пересматривать код на предмет багов и оперативно их удалять.

 

View the full article

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • KL FC Bot
      Как сделать, чтобы компанию снова не взломали | Блог Касперского
      От KL FC Bot
      Серьезные ИБ-инциденты порой затрагивают многих участников, зачастую и тех, кто повседневно не занимается вопросами ИТ и ИБ. Понятно, что в первую очередь усилия сосредоточиваются на выявлении, сдерживании и восстановлении, но, когда пыль немного осядет, наступает время для еще одного важного этапа реагирования — извлечения уроков. Чему можно научиться по итогам инцидента? Как улучшить шансы на успешное отражение подобных атак в будущем? На эти вопросы очень полезно ответить, даже если инцидент не принес существенного ущерба из-за эффективного реагирования или просто удачного стечения обстоятельств.
      Немного о людях
      Разбор инцидента важен для всей организации, поэтому к нему обязательно привлекать не только команды ИТ и ИБ, но также высшее руководство, бизнес-владельцев ИТ-систем, а также подрядчиков, если они были затронуты инцидентом или привлекались к реагированию. На встречах этой рабочей группы нужно создать продуктивную атмосферу: важно донести, что это не поиск виноватых (хотя ошибки будут обсуждаться), поэтому перекладывание ответственности и манипулирование информацией исказят картину, повредят анализу и ухудшат позицию организации в долгосрочной перспективе.
      Еще один важный момент: многие компании скрывают детали инцидента в страхе за репутацию или опасаясь повторной кибератаки по тому же сценарию. И хотя это вполне объяснимо и некоторые подробности действительно конфиденциальны, нужно стремиться к максимальной прозрачности в реагировании и делиться подробностями атаки и реагирования если не с широкой публикой, то как минимум с узким кругом коллег из сферы ИБ, которые могут предотвратить похожие атаки на свои организации.
       
      View the full article
    • Good2000
      Черный экран после безопасного режима
      От Good2000
      Мне нужно было зайти в безопасное систему для удаления файла в итоге после того как я зашел в безопасный режим и перезагрузил ПК win 11 монитор стал черным и не включается.Но сам по себе компьютер работает я  доставал провода и включал выключал монитор все четно.Поэтому не понимаю что произошло и как это пофиксить(
    • Acteon_927
      Безопасные платежи в Kaspersky Plus
      От Acteon_927
      Для банков Сбер и ВТБ в безопасных платежах в полях ввода данных исчезли значки вызова экранной клавиатуры. Это нормально или это ошибка? Используется браузер Google Chrome.  Windows 10.
       

    • MadMess
      Черный экран после входа в безопасный режим
      От MadMess
      Хотел очистить ПК от вирусов, посмотрел видео в ютубе как очистить вирусы, нужно было зайти в безопасный режим через msconfig. Я перезагрузил ПК чтобы зайти в безопасный режим но вместо этого черный экран. Перезагрузил по кнопке, все равно тот же черный экран. Что делать? Комп и монитор работают
    • KL FC Bot
      Настройки безопасности и приватности в MapMyRun | Блог Касперского
      От KL FC Bot
      Ранее мы рассказывали, почему перед началом использования беговых трекеров обязательно нужно настроить конфиденциальность и приватность как в целом на смартфоне, так и в самом трекинговом приложении, — для минимизации утечки ваших персональных данных, включая геопозицию, в открытый доступ. Вы же не хотите, чтобы любой желающий мог подписаться на информацию о ваших пробежках и точно знать, где и когда вас можно найти офлайн?
      Вы можете изучить уже опубликованные инструкции по настройке смартфонов и популярных беговых приложений Strava и Nike Run Club, а сегодня мы поговорим о настройках приватности в MapMyRun.
      У приложения MapMyRun (версии для Android и iOS) очень любопытная история. В сентябре 2024 года оно было приобретено в составе пакета приложений MapMyFitness медиакомпанией Outside под руководством генерального директора Робина Терстона у американского производителя спортивной обуви и одежды Under Armour. A Under Armour, в свою очередь, приобрела этот пакет аппов за $150 млн в 2013 году у некоего… Робина Терстона, основавшего MapMyFitness в 2007 году! Таким образом, через 11 лет Робин вернул себе компанию, основанную им 17 лет назад.
      Настраиваем приватность в MapMyRun
      Найти в этом приложении настройки приватности, нажав на кнопку с шестеренкой в правом верхнем углу основного экрана, как обычно, не получится — это снова настройки тренировки. Вместо этого надо нажать на кнопку с тремя точками в правом нижнем углу (для iOS) или на «бургер-меню» из трех линий в верхнем левом углу (для Android), далее выбрать пункт Настройки (не Центр конфиденциальности — это другое) и уже на открывшейся странице выбрать Конфиденциальность.
      Где найти настройки приватности в приложении MapMyRun: ••• → Настройки → Конфиденциальность
       
      View the full article
×
×
  • Создать...