|
Компания, създадена от възпитаници на Кеймбриджкия университет разработи нов метод за защита от кибератаки от типа man-in-the-browser (MiTB), които се използват често за атаки над клиенти на банките, които осъществяват транзакции онлайн. Методът ползва система за сигурност, която се базира на управлението на изображение, показвано на екрана на мобилния телефон, което подобрява валидността на оторизацията и намалява значително рискът от кражба на данни. MiTB е метод, при който атакуващата страна успява да "прихване" комуникацията между два компютъра, като при това съобщенията, които идват от компютъра на изпращащия и получаващия информацията попадат в трета страна, която се намира "по средата" и така тази страна получава цялата обменяна информация. Методът е широкоразпространена стратегия за крадене на лични данни.
В случая на кражбата на банковите транзакции, за да може да се намеси третата страна е нужно една от другите две страни да инсталира на системата си троянска програма, обикновено маскирана като напълно легитимен и широкоразпространен софтуер. Веднъж инсталиран софтуерът, той засича провеждането на транзакция, след което обикновено увеличава преведената сума и я отправя към странична сметка, като банката и клиентът разбират за това обикновено твърде късно, за да бъдат възстановени паричните средства.
Пример за успешно осъществена схема от този вид е акцията на банковския троянски кон Eurograbber, посредством, който бяха откраднати повече от 24 млн. евро от над 30 000 клиенти на банки. В случая потребителите са били подлъгани да инсталират на системите си вариант на троянската програма Zeus. В схемата бяха откраднати средства от клиенти на банки от Германия, Холандия и Испания.
Но тези дни, базираната в Кеймбридж (Великобритания) компания Cronto представиха photoTAN (Transaction Authentication Number) система, разработена заедно с втората по големина банка в Германия Commerzbank.
Системата използва двуизмерно цветно изображение, което съдържа информацията, която банката иска да изпрати на клиента (или визуална криптограма). Изображението е представено на екрана компютъра на клиента, след което то бива сканирано чрез приложение от външно устройство - неговия телефон. След сканирането, приложението генерира шестцифрен код оторизиращ транзакцията (TAN), който се използва за завършване на паричния трансфер.
Според Игор Дроков, изпълнителен директор на Cronto, тяхната система е много по-удобна и лесна от разпространените в момента PIN-четци, които се ползват при банковите транзакции.
Все пак може да се спомене, че киберпрестъпниците също не спят и усъвършенствани методи като на Gozi Prinimalka и други подобни атаки имат възможност за компрометиране на множество устройства, контролирайки по този начин и статичните и мобилните системи на жертвите само с компрометирането на едно от устройствата, посредством усъвършенствани методи и мултиплатформеност. |
|
