92% aplikacji bankowych zawiera łatwe do wykrycia luki w zabezpieczeniach

Luki w zabezpieczeniach aplikacji finansowych

Firma Approov Mobile Threat Lab przebadała 650 unikalnych aplikacji bankowych i fintechowych dostępnych w Stanach Zjednoczonych, Francji, Wielkiej Brytanii i Niemczech. Według organizacji z 92% wspomnianych aplikacji można było pozyskać dane do wykorzystania. Z kolei z 23% z nich można było pozyskać nawet bardzo wrażliwe informacje.

Ponadto w trakcie badania Approov odkryło, że istnieją dwa krytyczne błędy, które można wykorzystać do kradzieży kluczy API. Tylko 5% aplikacji miało dobrą ochronę przed takimi atakami, a tylko 4% przed naruszeniami typu man-in-the-middle.

- Czy wszyscy nieświadomie zostaliśmy beta-testerami aplikacji usług finansowych? Czy to zagraża naszym finansom osobistym? Ciągłe wiadomości o naruszeniach wydają się wskazywać, że tak jest i jest to niedopuszczalne! – stwierdził dla portalu helpnetsecurity.com Ted Miracco, CEO Approov.

Zdaniem Miracco badanie ujawniło, że dane poufne są na stałe kodowane w aplikacjach mobilnych i jest to dość szeroki precedens. Jego zdaniem stanowi to ogromny problem, ponieważ dane takie łatwo pozyskać i wykorzystać.

Aplikacje kryptowalutowe częściej ujawniają poufne dane

Podczas badania Approov przeskanowało także aplikacje do zarządzania kryptowalutami. Okazało się, że te częściej ujawniają dane o szczególnym znaczeniu niż tradycyjna bankowość online czy fintechy. Z aż 36% tych aplikacji można było pozyskać bardzo szczegółowe informacje. Dla przykładu tylko 18% aplikacji do finansów osobistych ujawniało dane o takim samym znaczeniu.

Ponadto w przypadku ataków typu „man-in-the-device” prawdopodobieństwo, że tradycyjne banki będą dobrze chronione, jest dwa razy większe niż w przypadku innych sektorów, co odzwierciedla stosowanie programów pakujących i zabezpieczeń w celu ochrony przed manipulacją w czasie wykonywania. Tylko cztery aplikacje miały ochronę środowiska uruchomieniowego przed atakami MitM i „man-in-the-device”. Wszystkie były aplikacjami do płatności i przelewów, a żadna nie działała w Stanach Zjednoczonych.

Co więcej – okazuje się, że aplikacje fintechowe i bankowe w Europie mają lepsze zabezpieczenia niż ich odpowiedniki w Stanach Zjednoczonych. Zdaniem Approov jest to wynik bardziej rygorystycznej polityki dotyczącej prywatności i ochrony danych. Mimo to sytuacja nie nastraja pozytywnie. Zwłaszcza że przypadki cyberataków są coraz częstsze.