Из-за уязвимости в мобильном банке одной из кредитных организаций мошенники могли получить информацию о чужих счетах и вывести деньги через Систему быстрых платежей, узнал «Коммерсантъ». Источник газеты полагает, что специфическую уязвимость нельзя было обнаружить случайно.

Подразделение ЦБ ФинЦЕРТ, которое занимается мониторингом и реагированием на компьютерные атаки в кредитно-финансовой сфере, выявило новую схему хищения с использованием Системы быстрых платежей (СБП). Об этом сообщил «Коммерсантъ» со ссылкой на бюллетень ФинЦЕРТа. 

По словам источника газеты, из-за уязвимости в одной из банковских систем мошенник получил данные счетов клиентов. После этого он запустил мобильное приложение в режиме отладки, авторизовался как реальный клиент и отправил запрос на перевод средств в другой банк. Перед совершением перевода злоумышленник указал номер счета другого клиента этого банка, а не счета отправителя. Система дистанционного банковского обслуживания (ДБО) не проверила, принадлежит ли указанный счет отправителю, и направила в СБП команду на перевод средств, рассказал источник.

Участники рынка называют это первым случаем хищения средств с СБП, указывает газета. В бюллетене ФинЦЕРТа сказано, что мошенник получил номера счетом жертв путем перебора. Издание указывает, что в ЦБ подтвердили факт инцидента. При этом регулятор не раскрыл названия банка и заверил, что проблема уже устранена. Сама СБП «надежно защищена и уязвимость не касалась программного обеспечения системы», отмечает ЦБ. 

Источник в крупном банке полагает, что столь специфическую уязвимость нельзя было обнаружить случайно. «О ней мог знать кто-то хорошо знакомый с архитектурой мобильного банка этой кредитной организации. То есть либо кто-то внутри банка, либо разработчик программного обеспечения, либо тот, кто его тестировал», — отметил собеседник газеты. Ведущий эксперт «Лаборатории Касперского» Сергей Голованов допустил случайное обнаружение уязвимости. Заместитель директора департамента розничных клиентских решений и цифрового бизнеса Росбанка Павел Меньшиков отметил, что у любого крупного банка есть внешняя разработка: «Для минимизации рисков проводится тестирование на всех этапах разработки, в том числе и регресс всего функционала независимой командой».

Случаев успешного взлома мобильного банка не подтвердили ни в одной из опрошенных газетой крупных кредитных организациях.