«Солар» назвал топ 5 критических уязвимостей банковских приложений

ГК «Солар», архитектор комплексной кибербезопасности, оценил текущий уровень защищенности кода банковских веб-приложений. В 2024 году в рамках исследования веб-приложений более 100 финансовых организаций были собраны данные о наиболее распространенных уязвимостях и способах их эксплуатации.
В финансовых приложениях, где обрабатываются конфиденциальные данные и транзакции пользователей, безопасность кода имеет важное значение. Эксперты ГК «Солар» проанали-зировали миллионы строк кода с помощью статического, динамического анализа и анализа сторонних компонентов и оценили степень критичности обнаруженных уязвимостей.
Низкий уровень защищенности исследователи отметили в 20% приложений, средний – в 39%. Это означает, что больше половины приложений имеют уязвимости высокой или сред-ней степени критичности, успешная эксплуатация которых позволяет злоумышленнику нанести существенный ущерб информационным активам компании. Важно отметить, что в более 50% исследованных приложений была обнаружена хотя бы одна критическая уязви-мость.
Одной из самых распространенных уязвимостей в финансовых приложениях является не-достаток контроля доступа (78%). Корректно разграниченный доступ особенно важен для ор-ганизаций сектора. Отсутствие контроля за привилегиями сотрудников может привести к то-му, что как внутренний, так и внешний нарушитель получает нелегитимный доступ к самому широкому спектру информации. Допустим, работник банка получает информацию о движе-нии по счетам всех клиентов и может воспользоваться такими данными в злонамеренных целях. В качестве мер защиты в данном случае специалисты «Солара» рекомендуют ис-пользовать реализацию принципа наименьших привилегий, а также мониторинг изменений прав доступа.
Межсайтовый скриптинг (XSS) по-прежнему остается одной из самых актуальных проблем для веб-приложений (75%). Внедрение вредоносного JavaScript-кода происходит через поль-зовательский ввод, который выполняется в стороннем браузере. Наиболее распространен-ный пример — кража сессионных cookies или перенаправление на фишинговый сайт. Чтобы защититься от межсайтового скриптинга, банкам необходимо более тщательно валидировать и экранировать входные данные, а также использовать Content Security Policy (CSP).
Недостаточное шифрование, небезопасная обработка или хранение конфиденциальной ин-формации, такой как номера кредитных карт, пароли или персональные данные клиентов — третья по распространенности уязвимость (56%). Использование устаревших протоколов и слабых криптоалгоритмов позволяет злоумышленнику быстро подобрать значения хэш-функции или получить доступ к данным.
36% уязвимостей пришлись на недостатки логирования и мониторинга. Отсутствие или не-достаточное логирование событий затрудняет обнаружение и расследование атак. В таких случаях банки могут не отследить несанкционированный доступ к ИТ-системе.
То есть в ИТ-системе есть запись о совершении самой транзакции, однако возникает недо-статок технологической информации о процессе, что также может затруднять расследование киберинцидентов. Внедрение централизованного логирования, мониторинг подозрительной активности, использование SIEM-систем помогают финансовым организациям избежать по-добных рисков.
Избыточное логирование, в свою очередь, так же может привести к инцидентам ИБ. Напри-мер, сохранение функций полного логирования (обычно используется на этапе разработки и тестирования) в промышленной эксплуатации может привести к небезопасному хранению данных пользователя вне информационных систем.
Сейчас большинство зрелых финансовых организаций отказываются от монолитных инфор-мационных систем в пользу микросервисной архитектуры. Для обмена данными между ча-стями системы используются интерфейсы прикладного программирования (API). Недоста-точный контроль API, включая сохранение скрытых точек входа может привести к утечке данных или несанкционированному доступу и, по данным исследования «Солара», входит в топ-5 уязвимостей (25%). Такие риски позволяет нивелировать использование OAuth, JWT, своевременная проверка прав доступа.
Помимо вышеперечисленных уязвимостей в топ-10 самых распространенных также вошли: небезопасная аутентификация и управление сессиями; небезопасная конфигурация; недо-статки в обработке ошибок и шифровании; уязвимости в сторонних библиотеках; а также пе-рехват сессий.
По данным центра противодействия кибератакам Solar JSOC, в 3 квартале 2024 года более 70% высококритичных киберинцидентов были связаны с компрометацией учетных записей сотрудников. Этот показатель оказался рекордным за последние несколько лет. Одна из причин — резкий рост атак по типу подбора логина к имеющемуся словарному паролю.
«По данным “Солара”, объем утечек данных из банков по итогам прошлого года составил 410 миллионов строк против 161 миллиона в 2023 году. Они содержали ФИО клиентов, адреса, номера телефонов, электронные почты, кредитную историю и другую чувствительную ин-формацию. По объему утечек финансовая отрасль стала наиболее уязвимой среди других, опережая все сектора экономики, в том числе и госсектор. Мы наблюдаем постепенное по-вышение уровня защиты информационных систем в части контроля за безопасностью раз-работки банковских приложений. Интерес к таким инструментам со стороны банков год к го-ду возрастает, что подтверждают результаты наших исследований. В основном это связано со стремлением финансовых организаций соответствовать требованиям регуляторов и со-вершенствованием законодательства в части разработки ПО. Внедрение решений для ана-лиза кода в процесс разработки снижает риски самых распространенных уязвимостей при-ложений», — говорит Владимир Высоцкий, руководитель развития бизнеса ПО Solar appScreener.
Solar appScreener — комплексное решение для контроля безопасности приложений, сочета-ющее в едином интерфейсе статический, динамический анализ, анализ состава ПО и анализ безопасности сторонних компонентов ПО (SAST, DAST, OSA). Продукт может использовать-ся как для отдельных проверок кода, так и в качестве центрального элемента цикла безопас-ной разработки.
Анализ защищенности мобильных приложений для операционных систем Android и iOS про-водился аналитиками «Солара» посредством статического анализа без функционала деком-пиляции кода и опросов заказчиков.