Nástup mobilného bankovníctva zmenil spôsob interakcie medzi spoločnosťami a zákazníkmi. Posun k mobilnej technológii prináša väčší komfort pre používateľov a tiež vyššiu efektivitu. Zároveň však otvára aj nové dvere kybernetickým zločincom, a to najmä na platforme Android, ktorá dominuje globálnemu trhu so smartfónmi.
Podľa správy ESET Threat Report H2 2024 finančné hrozby pre Android zamerané na bankové aplikácie a kryptomenové peňaženky vzrástli v porovnaní s predchádzajúcim obdobím o 20 %.
Našťastie, veľké finančné inštitúcie ako banky disponujú značnými zdrojmi. Môžu tak investovať do komplexných opatrení kybernetickej bezpečnosti, aby efektívne chránili svoje systémy a zákazníkov. Menšie banky, poisťovacie spoločnosti alebo firmy zaoberajúce sa správou majetku sú však voči kybernetickým útokom častokrát výrazne zraniteľnejšie.
Prečo je to tak? Hoci je z pohľadu ich vlastnej bezpečnosti aj ochrany zákazníkov nevyhnutné prijímať bezpečné technologické postupy a zvyšovať povedomie o tejto téme medzi internými zamestnancami, mnohé menšie spoločnosti majú problém potrebné opatrenia implementovať. Vo výsledku sú tak vo väčšej miere vystavené potenciálnym hrozbám.
Prečo útočníci cielia na menšie finančné spoločnosti?
Menšie spoločnosti majú spravidla obmedzené zdroje a nedisponujú takými širokými odbornými znalosťami, preto sú pre ne sofistikované kybernetické útoky zamerané na finančné technológie čoraz väčšou hrozbou. Výrazným rizikom sú obzvlášť pre firmy poskytujúce účtovnícke a mzdové služby, ktoré spravujú platby klientov alebo spracúvajú citlivé transakcie. Jediný bezpečnostný incident ich totiž môže stáť dôveru zákazníkov a privodiť im dlhodobé problémy vrátane finančných strát.
Dobrá informovanosť o novovznikajúcich hrozbách a zavádzanie proaktívnych opatrení na ochranu zákazníkov aj vlastných firemných operácií je dôležitejšie ako kedykoľvek predtým. Potvrdzujú to aj zistenia, ktoré priniesol výskum spoločnosti ESET.
Alarmujúce trendy Android hrozieb
Výskum spoločnosti ESET odhalil znepokojujúci jav v oblasti finančných hrozieb cielených na systém Android. Útočníci využívajú technológiu progresívnych webových aplikácií (PWA) a špeciálne balíky webových aplikácií pre Android (WebAPK) na vytváranie škodlivých aplikácií, ktoré dokážu obísť tradičné procesy overovania v obchodoch s aplikáciami a tiež bezpečnostné upozornenia.
Za zdanlivo jednoduchými útokmi stojí dômyselný mechanizmus. Obete sa zvyčajne nechajú nalákať phishingovými kampaňami, ktoré využívajú rôzne komunikačné kanály vrátane SMS, automatizovaných hovorov a reklám na sociálnych sieťach. Vo všetkých prípadoch sa na obete vyvíja tlak, aby klikli na škodlivý odkaz.
Ak tak urobia, odkaz ich presmeruje na podvodné webové stránky, ktoré verne napodobňujú oficiálne stránky bankových aplikácií a obsahujú možnosť stiahnutia PWA/WebAPK. PWA alebo progresívne webové aplikácie sú webové stránky, ktoré majú podobu samostatnej aplikácie a používajú natívne systémové výzvy. V podstate sú to skratky k webovým stránkam, ktoré používateľom ponúkajú interakciu takmer na úrovni aplikácie. To isté platí aj pre WebAPK, no v tomto prípade má balík formát APK ako pri natívnych aplikáciách, čo umožňuje hlbšiu integráciu so systémom Android. Dá sa teda povedať, že aplikácie WebAPK sú len o niečo vylepšené PWA.
Po inštalácii tieto aplikácie fungujú ako falošné používateľské rozhrania bankových aplikácií, pričom phishingom alebo inými spôsobmi získavajú citlivé údaje, ktoré následne odosielajú útočníkom. Mechanizmus útoku je rafinovaný práve v tom, že pri inštalovaní takejto aplikácie systém používateľa neupozorní na inštaláciu neznámej aplikácie, ako je zvykom pri súboroch APK tretích strán. Bežný používateľ tak podvod odhalí len veľmi ťažko. V systéme Android sa dokonca podvodné aplikácie WebAPK javia, akoby boli nainštalované z obchodu Google Play.
Viacvrstvový prístup k ochrane pred hrozbami
Spoločnostiam (napríklad bankám) môže zneužitie ich legitímnych aplikácií vyššie popísaným podvodom spôsobiť výrazné problémy. Od poškodenia dobrého mena, cez finančné straty v dôsledku potenciálneho odlivu klientov, až po právne následky.
Ochrana pred týmto typom hrozieb si preto vyžaduje komplexnú stratégiu. Spoločnosti by u seba mali zaviesť viaceré proaktívne bezpečnostné opatrenia:
- Viacfaktorová autentifikácia výrazne znižuje riziko neoprávneného prístupu tým, že vyžaduje viacero spôsobov overenia. Kombinuje overenie niečím, čo používateľ vie (napr. heslo), niečím, čo má (napr. smartfón alebo bezpečnostný token), a niečím, čo je mu vlastné (napr. biometrické údaje ako odtlačky prstov alebo rozpoznávanie tváre).
- Používanie dynamických šifrovacích kľúčov pomáha zmierniť rizikový ľudský faktor v kybernetickej bezpečnosti. Generované kľúče sú jedinečné pre každú transakciu a často sa menia, čo útočníkom sťažuje zneužitie ukradnutých prihlasovacích údajov.
- Pravidelné bezpečnostné audity by mali pomôcť identifikovať a vyriešiť zraniteľnosti skôr, než ich útočníci stihnú zneužiť.
- Zavedenie prísnych štandardov pre kód a jeho pravidelné kontroly minimalizujú riziko bezpečnostných medzier v aktualizáciách aplikácií.
- Pravidelné školenia zamerané na zvyšovanie povedomia o kybernetickej bezpečnosti informujú zamestnancov o nových kybernetických hrozbách a osvedčených postupoch, ako rizikám čeliť.
- Umelá inteligencia dokáže odhaliť neobvyklé prihlásenia, transakcie a zmeny v používateľskom účte na základe predchádzajúcej analýzy vzorcov správania používateľa.
- Vylepšenia cloudovej bezpečnosti vychádzajúce z automatických aktualizácií a škálovateľnosti pomáhajú posilniť ochranu a zároveň znížiť závislosť od fyzických serverov.
- Vzdelávanie o digitálnej bezpečnosti formou hier umožňuje zapojiť zamestnancov aj zákazníkov, naučiť ich princípom správneho zaobchádzania s heslami a zvýšiť ich povedomie o rôznych technikách sociálneho inžinierstva. Zamestnanci, ktorí dokážu odhaliť znaky phishingu alebo malvéru, fungujú ako dôležitá prvá línia obrany.
- Bezpečnostné aplikácie využívajúce technológiu blockchain ponúkajú nemenné a zašifrované záznamy transakcií a prinášajú tak dodatočnú ochranu pred kompromitáciou údajov.
Pri všetkých spomenutých opatreniach je kľúčová jednoduchosť. Bezpečnostné prvky ako biometrické overovanie alebo správcovia hesiel by mali byť intuitívne a ľahko použiteľné. Je tak oveľa pravdepodobnejšie, že firmy a ich zamestnanci si postupy osvoja a budú ich dlhodobo využívať.
Ako chrániť zákazníkov
V čase, keď snaha ponúknuť používateľom čo najväčší komfort často prináša skryté riziká, majú menšie spoločnosti príležitosť odlíšiť sa práve tým, že preukážu svoj aktívny prístup k bezpečnosti. Nielenže tým ochránia svoje firemné operácie, ale zároveň zvýšia lojalitu vlastných zákazníkov na trhu plnom konkurenčných hráčov.
Mimoriadne dôležité je zákazníkov vzdelávať. Spoločnosti môžu posilniť ochranu svojich klientov tým, že ich budú aktívne viesť k používaniu dostupných bezpečnostných prvkov, ako napríklad dvojfaktorovej autentifikácie a zabezpečených transakcií. Integráciou bezpečnosti do identity značky a poskytovaním podporných zdrojov dokážu malé a stredné firmy vytvoriť bezpečné a dôveryhodné prostredie pre svojich zákazníkov.
Kľúčové je aj posilnenie interných bezpečnostných opatrení. Menšie spoločnosti by mali zvážiť implementáciu takých riešení na detekciu mobilných hrozieb, ktoré dokážu identifikovať a zneškodniť aj škodlivé aplikácie PWA a WebAPK. Zároveň je vhodné spolupracovať s partnermi z odvetvia financií, vymieňať si informácie o nových hrozbách a vypracúvať koordinované plány reakcie na incidenty, aby bolo možné útoky riešiť rýchlo a efektívne.
Kybernetické útoky sú síce stále sofistikovanejšie, ale so správnymi nástrojmi a stratégiami si firmy dokážu pred hrozbami udržať náskok. Aj malá spoločnosť, ktorá má aktuálny prehľad o novovznikajúcich hrozbách, investuje do spoľahlivých bezpečnostných opatrení a spolupracuje s partnermi z odvetvia, dokáže efektívne zaistiť bezpečnosť svojich zákazníkov.
