Jaká je připravenost na otevřené bankovnictví?

22. 10. 2019. (redaktor: František Doupal, zdroj: Trend Micro)
Směrnice PSD2 – známá také pod označením otevřené bankovnictví – zavádí bezpečnostní opatření nejen pro banky, ale také pro technologické společnosti, které data o zákaznících zpracovávají. Průzkum firmy Trend Micro potvrdil, že směrnicí ovlivněné organizace berou bezpečnostní rizika vážně, a to i nad rámec povinných opatření.

Nová legislativa sice přináší i nové možnosti pro kybernetické zločince, nicméně při zodpovědném přístupu lze rizika spojená se směrnicí PSD2 minimalizovat.

Nejdůležitější zjištění

Mezi nejdůležitější závěry výzkumné zprávy patří:

  • Nově založené finančně-technologické společnosti mají ve srovnání se zavedenými bankami méně zkušeností s řešením podvodů. Nicméně zákazníci jim musí jako oficiálním poskytovatelům služeb dát stejnou důvěru, jakou banky získávaly po mnoho let.
  • Počítačoví zločinci budou nový typ aplikací využívat pro získávání citlivých informací a zákazníci spoléhající se na otevřené bankovnictví tak budou náchylnější k phishingovým útokům.
  • Aplikační rozhraní některých bankovních aplikací zobrazují osobní údaje zákazníků v URL adresách. Útočníci budou tyto a další podobné nedostatky vyhledávat, a to s cílem osobní údaje získat a následně je zpeněžit.
  • Aplikace pro mobilní bankovnictví závisí na softwaru třetích stran – například pro hlášení chyb – komunikujících s cizími weby. Pro on-line bankovnictví představuje tento stav významná bezpečnostní rizika.
  • Finančně-technologické společnosti používají pro získávání informací rizikové techniky a zastaralé systémy, jako je tzv. screen scraping nebo staré verze formátu OFX. Podle směrnice by tyto techniky měly být zakázané, ale zúčastněné strany proti tomu protestují s argumentem nepříliš velkého počtu zneužití a neprůkazné historie incidentů.
  • Finanční sektor ve Velké Británii plánuje nad rámec minimálních požadavků směrnice PSD2 implementovat rozhraní Financial-grade API (FAPI). Jde o další opatření zvyšující bezpečnost při poskytování dat třetí straně, nicméně průzkum ukázal, že společnosti na toto ještě nejsou plně připraveny a počítačoví zločinci tak mohou využít i další nové scénáře útoku.

Doporučení

  • Banky a finančně-technologické společnosti by měly klást důraz na bezpečnost a zájmy svých klientů.
  • Finančně-technologické společnosti by měly přijmout a implementovat bezpečné protokoly a odpovídající bezpečnostní postupy.
  • Banky a finančně-technologické společnosti by neměly v URL adrese zobrazovat osobní údaje ani další citlivé přístupové informace. I přes použité šifrování mají útočníci řadu způsobu, jak tato data ukrást.
  • Finanční sektor je dlouhodobě jedním z odvětví, které jsou pro kybernetické zločince nejzajímavější. Vývojáři aplikací pro otevřené bankovnictví by měli tento software vyvíjet tak, aby na bezpečnost mysleli již při samém návrhu a pravidelně prováděli bezpečnostní audity – na všech úrovních a ve všech komponentách u všech s bankovnictvím souvisejících projektů.
  • Uživatelé aplikace pro otevřeného bankovnictví by se měli před její instalací důsledně seznámit jak se samotnou aplikací, tak i se společnostmi, kterým budou data poskytovat.

Zpráva Ready or Not for PSD2: The Risks of Open Banking a zjištění společnosti Trend Micro týkajících se změn ve finančním průmyslu s ohledem na implementaci směrnice PSD2 je k dispozici zde.

Štítky: 
Bezpečnost, Trend Micro

Podobné články

Češi dávají přednost otisku prstu

21. 2. 2020. (redaktor: František Doupal, zdroj: Visa)
Čeští spotřebitelé vnímají biometrické ověřování plateb jako bezpečnější a pohodlnější oproti tradičním metodám. Např. 19 % procent zákazníků eshopů, kteří nedokončí svou objednávku, ji opustí kvůli zapomenutému heslu. Čtěte více

DNS distributorem řešení společnosti Novicom

19. 2. 2020. (redaktor: František Doupal, zdroj: DNS)
Společnost DNS (konkrétně její Business Unit Security) uzavřela distribuční smlouvu s českou společností Novicom. Záměrem je rozšířit existující nabídku bezpečnostních nástrojů i o řešení pro vrstvu 2, která v portfoliu DNS chyběla a kterou Novicom naopak pokrývá. Čtěte více

Počty DDoS útoků ve čtvrtém čtvrtletí 2019 výrazně rostly

18. 2. 2020. (redaktor: František Doupal, zdroj: Kaspersky)
Množství útoků zablokovaných produkty Kaspersky DDoS Protection v průběhu posledních tří měsíců minulého roku výrazně vzrostlo v porovnání se stejným obdobím v roce 2018 – tehdy bylo detekováno množství odpovídající 56 % útoků provedených ve čtvrtém kvartále 2019. Analýza aktivity botnetů ukázala, že k 28 % všech útoků došlo během víkendu. Čtěte více

Cisco představilo komplexní architekturu pro zabezpečení internetu věcí

18. 2. 2020. (redaktor: František Doupal, zdroj: Cisco)
Počítačové sítě se stávají páteří provozních technologií (OT), na nichž závisí kriticky důležitá infrastruktura včetně energetiky, dopravy nebo průmyslové výroby. Cisco proto připravilo komplexní řešení, které propojuje informační a provozní technologie s cílem zajistit pokročilou detekci anomálií. Čtěte více