Наиболее распространенными видами мошенничества являются скимминг (использование потайного устройства для считывания кредитной карты), фарминг (скрытое перенаправление на ложный IP-адрес) и фишинг (получение доступа к конфиденциальным данным интернет-пользователя, таким как пароль или логин).

Авторы опроса приходят к выводу, что владельцы карт мало заботятся о безопасности операций через банкомат или интернет-банк.

Из 1100 респондентов 8 проц приходилось в этом году блокировать свой счет либо самим, либо через банк из-за подозрений, что кто-то пытается добраться до их денег, или же когда деньги просто исчезали со счета.

Банки, как обычно, не склонны обнародовать реальную статистику мошенничества и объемы похищенных средств, однако, несмотря на это, они все же признают увеличение активности интернет-жуликов.

"У меня нет под рукой цифр, свидетельствующих о кражах со счетов в том или ином объеме. Что касается попыток заставить клиентов банков выдать код к генератору разовых паролей и коды к банковским картам, то они растут", - рассказал в интервью телеканалу начальник безопасности "Сведбанк" Бертиль Ельвен.

Несмотря на то, что производители, такие как SAP и Oracle, регулярно выпускают обновления безопасности в своих продуктах, компании всё-равно подвержены атакам, направленным на архитектурные уязвимости и ошибки конфигурации. В докладе Александра Полякова, технического директора Digital Security и руководителя исследовательского центра DSecRG, было уделено внимание архитектурным уязвимостям перечисленных систем, и были продемонстрированы различные методы эксплуатации этих уязвимостей. Данные уязвимости в большинстве своём просто невозможно закрыть, что влечёт за собой возможность их эксплуатации в дальнейшем.

“Очень немногие администраторы SAP-систем регулярно устанавливают обновления и крайне мало специалистов, которые глубоко разбираются в технических деталях безопасной настройки ERP-систем, в лучшем случае ограничиваясь проблемами SOD. Вот почему мы видим небезопасно настроенные системы в результате наших работ по анализу защищенности”, - отметил Александр Поляков.

В его докладе приводился пример того, как в ходе аудита была обнаружена установленная ERP-система JD Edwards версии 10-и летней давности, которая имела архитектурную уязвимость, позволяющую любому пользователю получить доступ ко всем данным. Другой пример архитектурной уязвимости был обнаружен в СУБД « Open Edge database» (Progress company), которая используется во многих компаниях из Fortune TOP 100 companies. В данном приложении была обнаружена тривиальная ошибка в процессе аутентификации. Проверка хэша пароля была реализована на клиентской части, в результате чего возможна аутентификация в систему под любым пользователем, не зная пароля и даже имени пользователя. Проблема заключается в том, что данная уязвимость так и не будет исправлена производителем по причине необходимости переписывания всей архитектуры приложения.

Ещё один пример - это система SAP SRM, используемая среди всего прочего для организации системы тендеров. В результате одной архитектурной уязвимости любой поставщик может получить доступ к тендерам других поставщиков, а также загрузить троянскую программу в сеть конкурента, например, с целью промышленного шпионажа.

“Большинство из рассмотренных в докладе примеров говорит о том, что безопасность ERP-приложений находится на уровне 10-летней давности, и с текущей тенденцией вывода бизнес-приложений в Интернет для обмена данными между филиалами компаний или взаимоотношений с поставщиками все эти системы стали доступны широкому кругу лиц, стремящихся использовать бреши приложений в корыстных целях. До сих пор компании тратили миллионы долларов, устраняя SOD конфликты, и учитывая, что это неотъемлемая часть безопасности ERP, количество уязвимостей уровня приложения все же растёт в геометрической прогрессии, как и интерес к этим системам у злоумышленников”, – отметил Александр Поляков.

Компания SAP, с которой исследовательский центр Digital Security Research Group на протяжении нескольких лет сотрудничает в области поиска и анализа уязвимостей, открыла раздел с описанием последних уязвимостей в ее продуктах и благодарностью исследователям.

Александр Поляков, руководитель исследовательского центра DSecRG:
«С начала этого года наша компания совместно со специалистами SAP Product Security Response Team вела активную работу над формированием данного раздела и формализацией процесса работы SAP с исследовательскими подразделениями. Результатом этой работы стало внедрение системного подхода к взаимодействию в процессе уведомления и устранения обнаруженных уязвимостей и информирования SAP Product Security Response Team об актуальных угрозах. Следствием данного сотрудничества является повышение качества продуктов SAP. Теперь каждый заказчик SAP может ознакомиться с последними уязвимостями продуктов не только через SAP Notes, но и в данном специальном разделе. В дальнейшем, мы планируем расширение нашего сотрудничества в сторону совместной разработки рекомендаций по защите продуктов SAP в исследуемых нами областях».

Илья Медведовский, директор Digital Security:
«Непрерывно занимаясь подобными исследованиями, DSecRG на текущий момент является основным партнером компании SAP по поиску уязвимостей (мировым лидером по количеству опубликованных уязвимостей) и информированию об актуальных угрозах, что говорит о высокой квалификации наших специалистов, и позволяет нашим клиентам быть уверенными в качестве наших продуктов и услуг, связанных с безопасностью SAP».

На конференции «INFOBEZ-EXPO/ИнфоБезопасность», проходившей 5-7 октября 2010 г. в Москве в Экспоцентре на Красной Пресне, специалисты DSecRG рассказали о проблемах безопасности в отечественных банковских продуктах. В частности, внимание было обращено на отсутствие у разработчиков процедур тестирования безопасности собственного кода, что приводит к проявлению классических уязвимостей. При этом было рассказано как про ошибки в клиентской части ПО, так и в серверной.

В рамках выступлений специалистами DSecRG был продемонстрирован эксплоит, нацеленный на клиентское ПО системы Банк-Клиент, который не обнаруживался антивирусами и использовал последние методики для обхода защитных механизмов ОС (DEP/ASLR), что возможно не только потому, что в коде присутствуют ошибки, но и потому, что разработчики часто пренебрегают использованием защитных механизмов операционной системы.

Алексей Синцов, ведущий аудитор компании Digital Security:
“Все что было сказано и продемонстрировано, необходимо лишь для того, чтобы банки и разработчики ПО для банков поняли, что взламывать можно все, включая их продукты. Сейчас очень важно поднять качество кода отечественного ПО, ведь найти ошибку, скажем, в Банк-Клиенте сейчас легче, чем в популярном западном ПО. Поэтому необходимо обращать внимание на такое положение дел, ведь злоумышленники тоже ищут эти уязвимости и используют их в своих целях, и мы должны максимально усложнить им эту задачу”.

В целом, за 2009-2010 годы исследовательским центром DSecRG были обнаружены ошибки в коде большинства популярных банковских решений таких компаний, как BSS, INIST, ЦФТ, R-Style и Сигнал-КОМ. Производители были своевременно уведомлены о данных уязвимостях и сообщили об их успешном закрытии и отправке обновлений всем клиентам.

В связи со спецификой продуктов, в которых были найдены уязвимости, детальная техническая информация опубликована только на закрытом форуме Ассоциации Российских Членов Европей.

Более подробную информацию об обнаруженных уязвимостях в банковских продуктах можно получить на сайте исследовательского центра:

http://dsecrg.ru/pages/vul/show.php?id=202

http://dsecrg.ru/pages/vul/show.php?id=203

http://dsecrg.ru/pages/vul/show.php?id=204

С момента существования исследовательского цента Digital Security Research Group его специалистами было обнаружено множество уязвимостей в различных бизнес-приложениях и системах таких производителей, как SAP, Oracle и многих других.

В последнее время в отдельное направление деятельности специалисты центра выделили вопросы поиска уязвимостей систем дистанционного банковского обслуживания. В рамках этой стратегии осенью 2009 года исследовательский центр начал сотрудничество с Ассоциацией Российских Членов Европей (АРЧЕ), регулярно публикуя на закрытом форуме Ассоциации уязвимости, обнаруженные DSecRG в процессе исследовательской деятельности в банк-клиентах основных российских производителей.

Анализ защищенности осуществляется для систем Интернет-Банка крупнейших российских разработчиков BSS, INIST, R-Style InterBank, а его результаты доступны только участникам закрытого форума АРЧЕ в связи с особой критичностью данной информации.

Медведовский И., директор Digital Security:

«Подобное взаимодействие исследовательского центра с кредитно-финансовыми организациями позволяет сфокусировать внимание банков на актуальной проблеме защищенности используемых ими систем ДБО, каждая из которых хотя и имеет общее ядро, обладает индивидуальными особенностями с учетом специфики конкретного банка. При этом отмечу, что наши исследования, как и любая другая подобная "волонтерская" деятельность во всем мире (в отличие от официальных выполняемых нами работ по анализу защищенности), не пытается претендовать на полноту. Именно поэтому, даже несмотря на то, что находимые нами в процессе исследовательской деятельности уязвимости уже устранены производителями, банкам следует как минимум ежегодно проводить полноценный аудит защищенности своих систем ДБО, т.к. их защищенность в наших реалиях - это, прежде всего, проблема самого банка, а не проблема производителя системы ДБО».