Коллектив Авторов - Цифровой журнал «Компьютерра» № 164

Кейлоггеры

Если нельзя взломать, то можно подсмотреть — именно такой принцип используют компьютерные взломщики достаточно часто. Самое ценное в любом смартфоне — это информация, введённая пользователем. В отличие от компьютера, много текстовых данных со смартфона утащить не получится — достаточно сложно что-то набивать пальцем даже на большом сенсорном экране. Поэтому кейлоггеры — специальные программы, которые записывают в память устройства все нажатия клавиш для последующей передачи злоумышленникам, здесь используются часто. Поступают они на устройства чаще всего как «добавка» к какому-либо вполне респектабельному приложению, которое было взято из сомнительного источника. А данные отправляют по беспроводной сети, к которой пользователь и так подключён круглые сутки. Достаточно определить запуск программы-клиента для мобильного банка, и можно начинать сканирование и передачу данных. Из-за их небольшого объёма отправку таких пакетов на удалённый веб-сервер злоумышленников никто и не заметит.

Подмена SIM-карты

Конечно, только логин-пароль для большинства банков не подходит: нужны дополнительные коды подтверждения операций. Особенной любовью у злоумышленников пользуются те системы, где одноразовые коды для подтверждения операций приходят вам прямо на SMS. Получить копию вашей SIM-карты вполне реально — достаточно сдать «левую» нотариальную доверенность для смены идентификационного модуля (оператор связи обычно нотариусу для проверки не звонит) или нарисовать нужный паспорт (но это будет дорого). А чаще — просто подкупить сотрудника фирменной розничной сети оператора связи. И вуаля, можно работать — логин-пароль известны, SIM-карта есть. Обычно все подобные операции проводятся стремительно — получили дубликат симки и сразу начинаем «потрошить» интернет-банк конкретного пользователя с выводом средств на другие счета. И ведь ему даже SMS-уведомления не будут приходить: некуда. В таком случае может спасти, конечно, автоматическое уведомление по электронной почте и привычка регулярно звонить по своему мобильнику. Если «сеть не найдена», то впору поменять SIM-карту самому как можно скорее или хотя бы заблокировать её до вашего персонального обращения в офис оператора связи.

Программы-перехватчики

В последнее время для владельцев устройств, которые работают на ОС Android, подмена симки не обязательна. С помощью кейлоггера злоумышленники узнают пароль и логин для входа в интернет-банк, а потом перехватывают SMS-сообщения с кодами, которые банковский сервис отправляет на телефон жертвы для подтверждения операций. То есть на смартфоне пользователя стоит специальное вирусное ПО, которое получает SMSки от банка, скрывает их от владельца терминала и мгновенно пересылает злоумышленникам. Получается «волшебно» — можно в режиме реального времени грабить банковский счёт пользователя, причём так, что он ничего не заметит. Чтобы заставить пользователя установить программу-перехватчик, его заражённый смартик направляют на подложную страничку банка, где и предлагается установить «обновление системы безопасности».

Пароли

С паролями в системах ДБО, конечно, полегче, чем в любом интернет-сервисе, с той точки зрения, что его пользователю (чаще всего!) выдают для запоминания без возможности скорректировать. Поэтому набор символов гарантированно будет абракадаброй для любого постороннего взгляда. Проблема будет только в том, чтобы её запомнить. И вот в этом случае проявляются самые разные проблемы: самое опасное для мобильного банка — это запись пароля в виде текстового файла в смартфон. Да ещё с названием файла «Пароль!». Или использование банковского пароля для «запирания» устройства (ну чтобы не забыть его напрочь) — такие комбинации «ломаются» очень быстро, поскольку файлы с паролями на мобильном устройстве, необходимые для активации профиля, весьма слабо защищены. В общем, лучше их запомнить и нигде не записывать, а если можно выбирать, то сделать пароль посложнее.

Лимиты на операции

Если нельзя вред полностью исключить, то его можно минимизировать. В значительном числе систем есть возможность поставить лимиты на ежедневные операции. Наиболее фродовыми являются платёж рублёвый и валютный в свободной форме, а также переводы на банковские карты или на счета другим пользователям внутри одного банка (получатель ворованных денег, скорее всего, будет дропом). Если в вашем банке есть ограничения на такие переводы по умолчанию (обычно 3-5 тыс. долл. в день) — это отлично. Совершить переводы на бОльшие суммы обычно можно в отделении банка, и бывает это нечасто. Если возможно установить лимит самостоятельно, сделайте это обязательно. Как минимум это необходимо организовать для карты, которая привязана к вашему интернет-банку.