Вы думаете через социальную инженерию "ломают" только клиентов? Нет, оказываются попадаются и банки, причем даже технологичные и продвинутые. Можно строить сколь угодно сложную IT-инфраструктуру и внедрять продвинутый антифрод, но главная уязвимость сидит перед монитором.
Британский необанк Revolut наглядно это продемонстрировал, добровольно передав полные досье своих клиентов мошенникам. Никакого технического взлома серверов не было — сработала обычная социальная инженерия и слепое доверие к запросам "от государства".
Что произошло?
1. В банк пришел запрос на получение персоданных и данных составляющих банковскую тайну, причем с реального почтового адреса настоящего государственного ведомства (вероятно, почта чиновников была предварительно скомпрометирована).
2. Служба безопасности банка посмотрела на домен — он был подлинным. И вместо дополнительной проверки спокойно выгрузила и передала всю запрашиваемую информацию.
3. Обман вскрылся лишь после того, как кто-то из сотрудников банка догадался связаться с ведомством напрямую (ох уж это постоянно игнорируемое правило "перезвоните сами").
В итоге к мошенникам утекли идентификационные данные (включая паспорта и водительские удостоверения) клиентов, почтовый и электронный адреса, номера телефонов, хэши от селфи для верификации, история транзакций и выписки по счетам. По оценкам ИБ-специалистов, мишенью атаки были конкретные состоятельные VIP-клиенты.
Любой, кто работал с комплаенсом знает этот рефлекс: если пришел запрос от регуляторов, система настроена отработать его максимально быстро, чтобы не получить санкции. Злоумышленники не стали ломать внутреннюю защиту банка — они просто использовали отработанный регламент взаимодействия бизнеса и государства.
Очевидный урок для рынка: проверка галочки и домена отправителя ничего не гарантирует. Если речь идет о передаче банковской тайны или персональных данных, должна работать обязательная верификация по альтернативному каналу. Иначе даже самый технологичный необанк мира, в момент превращается в решето.
#финтех #безопасность
@KurbanoffNet
By: via Kurbanoff.net