Почему безопасность мобильного банкинга может быть безопаснее, чем онлайн-банкинг

[Carding 4 Carders]

За последнее десятилетие наши методы банковского обслуживания сильно изменились. Когда в 1973 году был изобретен самый первый мобильный телефон, мало кто ожидал, что он займет свое место в качестве ключевого элемента повседневного банковского обслуживания, но в 2018 году стало ясно, что мобильный банкинг становится скорее нормой, чем нормой. исключение.
Но там, где есть технологическое развитие, есть оппортунисты, которые пытаются использовать его слабые стороны - и последние статистические данные о мошенничестве с онлайн-банкингом показывают, что в 2020 году было зарегистрировано более 40000 случаев мошенничества с онлайн-банками и 20000 случаев мошенничества с телефонными банками на сумму более 330 миллионов фунтов стерлингов.
Означает ли это врожденную слабость мобильного банкинга? Наш технический директор Стив Ньюсон так не считает. Читайте дальше, чтобы узнать, почему он считает, что банковские операции с мобильного телефона могут быть более безопасными, чем онлайн-банкинг.

Мобильный банкинг безопаснее онлайн-банкинга - смелое заявление, не так ли?​

Мобильный и онлайн-банкинг сопряжен с собственными рисками, но дополнительные аппаратные функции безопасности мобильных устройств могут сделать мобильный банкинг более безопасным, чем его онлайн-аналог. Кроме того, как пользователь мобильного устройства вы, как правило, гораздо лучше осведомлены о том, где находится ваш телефон или планшет. Сочетание технологической и физической безопасности часто делает мобильные телефоны более безопасными, чем ноутбуки или настольные ПК.

Каковы, по вашему мнению, основные причины этого?​

Физическая безопасность является основной - вы подвержены более высокому риску потерять свой телефон из-за ноутбука, однако, поскольку вы гораздо больше осведомлены о своем устройстве и его физическом присутствии, это повышает уровень безопасности. Мобильные телефоны, как правило, имеют встроенное криптографическое оборудование (не встречающееся на некоторых других типах устройств), которое лучше использовать для повышения безопасности и аутентификации, поскольку мобильные телефоны, как правило, имеют одного основного пользователя, и для их компрометации требуется гораздо более изощренный хакер. Вам просто нужно оглянуться на количество судебных дел, по которым правительства пытались получить доступ к устройствам.
В настоящее время для большинства онлайн-банкинга требуется какая-либо форма двухфакторной аутентификации, обычно это генератор номеров на вашем телефоне или одном из тех устройств, в которые вам нужно вставить карту. Это затрудняет совершение распространенных фишинговых атак, но хакеры становятся все более изощренными и используют другие формы социальной инженерии, чтобы обманом заставить клиентов отказаться от этих кодов и их ответов для восстановления пароля. Поскольку онлайн-банк не может подтвердить, что вы являетесь владельцем компьютера, который используется для входа в вашу учетную запись, им сложно отличить вашу обычную деятельность от хакерской.
Мобильный банкинг потенциально преодолевает этот недостаток, предоставляя более надежные гарантии того, что вход в систему осуществляется с вашего устройства. Даже если хакер может получить данные для входа в ваш банковский счет, ему обычно потребуется физическое устройство и возможность обойти безопасность самого устройства (FaceID, TouchID или PIN-код).

Как вы думаете, большинство людей не осознают, что их мобильное устройство может быть более защищенным, чем их ноутбук или настольный компьютер?​

Да. Я думаю, что люди об этом почти не подозревают, потому что приписывают физическую безопасность устройства общей безопасности. На самом деле это работает потому, что ноутбук или настольный компьютер обычно находится дома, уровень безопасности намного ниже - более простые пароли, а в некоторых случаях вообще отсутствуют. Для сравнения, вы знаете, что ваш телефон останется в стороне, но в данном случае потеря возможности не означает небезопасность. Производители мобильных телефонов потратили много времени на то, чтобы убедиться, что они потеряны, насколько это возможно.

Почему наши компьютеры неисправны?​

Теоретически можно создать очень безопасный компьютер. Подумайте о рабочих ноутбуках, которые заблокированы и зашифрованы даже с замками на столе. Обратной стороной такого высокого уровня безопасности является то, что компьютеры становятся более сложными в использовании. Вынуждая пользователей выбирать сложные пароли каждые тридцать дней, они с большей вероятностью будут записывать пароли или выполнять минимальный минимум для удовлетворения требований (возможно, изменение одной буквы каждый месяц или изменение числа в конце). В конечном итоге компьютерная безопасность ошибочна, потому что ошибаются люди. Маловероятно, что большинство людей используют одинаковые или даже любые уровни безопасности при настройке своего домашнего компьютера.

Почему традиционные банки не добавили все функции онлайн-банкинга в свои мобильные приложения?​

Традиционным банкам сложно адаптироваться, чтобы быть в первую очередь мобильными. Они начали в мире с физическими реестрами, затем с централизованными системами, а затем с Интернетом, и у них все еще есть все филиальные сети, которые нужно поддерживать. Сначала они реплицировали задачи веток в Интернете, потому что клиенты просили об этом, но сложность создания этого поверх существующих систем была огромной. Со временем стало очевидно, что важность Интернета возросла, поэтому в нее было вложено больше времени и денег.
Этот цикл повторился с приложениями для мобильных телефонов. Традиционные банки по-прежнему сосредоточены на своей существующей инфраструктуре и могут столкнуться с трудностями при адаптации существующих банковских структур к новым технологиям. Теперь они могут быстро развертываться в Интернете, но на данный момент гораздо медленнее с полностью интегрированным мобильным приложением.
Чтобы быть справедливым по отношению к этим традиционным банкам, у них также есть большое количество клиентов, которые не используют свой мобильный телефон для банковских операций. У банков есть возможность удовлетворить потребности растущей базы пользователей, которые в настоящее время не полностью удовлетворены, а наша способность быстро двигаться и строить исключительно для мобильного телефона означает, что мы можем быть впереди всех.

Как легко заблокировать карту в приложении​

Воспроизводя это видео, вы соглашаетесь с использованием файлов cookie YouTube. Это использование может включать аналитику, персонализацию и рекламу.

Вы бы порекомендовали людям использовать мобильное банковское приложение там, где они могут, вместо онлайн-банкинга?​

Я бы рекомендовал относиться с подозрением ко всему, что вы получаете, мобильные телефоны обладают высокой степенью защиты, и люди должны доверять им больше, чем сейчас. Но присущей ноутбукам и настольным компьютерам слабости являются поведенческие (Cyber Hygiene), и мы должны это исправить. Cyber Hygiene относится к шагам, которые вы, как частное лицо, должны предпринять для поддержания своей безопасности в Интернете, например, пароли, резервное копирование данных, защита ваших личных данных и внедрение антивирусного программного обеспечения.

Как вы думаете, какие основные причины мошенничества с идентификацией в Интернете мы можем предотвратить?​

Убедитесь, что ваше соединение защищено, важно знать, что это за безопасность. Были проведены тесты, позволяющие людям увидеть разницу между законным веб-сайтом и его копией - и они редко могут это сказать. Большая часть этого вопроса - «правильно ли это?» Например, в URL-адресе правительственного веб-сайта будет .gov.uk. Проверьте доменное имя. Если у вас все еще есть подозрения, вернитесь в Google и введите название банка, а затем просмотрите результаты обычного поиска.
С подозрением относитесь к электронной почте и телефонным звонкам. Большинству банков не требуются срочные действия, поэтому, если вы хотите немедленно отправить или обновить информацию, это, скорее всего, фишинговое мошенничество. С банковской отраслью хорошо то, что они добавили так много элементов управления и уровней безопасности с помощью FCA, чтобы защитить вас как клиента. Они не могут просто закрыть счета или списать деньги без предупреждения. Если вы получаете что-то, что кажется вам несправедливым, велика вероятность, что это ненастоящее, поэтому не реагируйте эмоционально.

Какой на самом деле самый безопасный формат пароля?​

Вам нужно совместить две вещи - что-то, что легко запомнить, и что-то, что ограничит грубую силу. Есть два подхода к подбору пароля - атака по словарю и атака полным перебором. Первые попытки общих паролей или слов из словаря. Второй пробует каждую комбинацию букв и цифр. Таким образом, как правило, выбор пароля, который не является обычным паролем (например, не «пароль» или «123456»), или одного слова из словаря - это минимум. Однако это не предотвратит атаку методом перебора.
Чтобы снизить эффективность атаки методом грубой силы, вам нужно сделать свой пароль менее предсказуемым и более случайным (в мире технологий это называется энтропией!). Это не означает, что вам нужно использовать много случайных паролей. вам просто нужно сделать количество вариаций, необходимых для атаки методом грубой силы, как можно большим. Как правило, более длинные пароли более эффективны, чем короткие. В новых правительственных и отраслевых рекомендациях говорится, что объединение трех случайных не связанных между собой слов, возможно, с числом или символом, на самом деле является одним из лучших способов создания безопасного пароля.

Почему мы не используем генераторы токенов?​

Для других банков существуют генераторы токенов, которые помогают повысить безопасность в веб-браузере. Это позволяет им проверить, что у вас есть что-то, что вы знаете (пароль), и что-то, что у вас есть (телефон или устройство-генератор токенов). Нам это не нужно, потому что это уже сделано - ваш телефон уже выполняет вторую аутентификацию. Если бы мы когда-либо предоставляли веб-платформу, нам мог бы понадобиться генератор токенов, но это мог бы быть ваш телефон.
Однако я думаю, что это может обеспечить уровень сложности, который противоречит нашим основным целям - сделать банковское дело более простым и удобным. Генератор токенов говорит, посмотрите, насколько мы защищены, но на самом деле он говорит о том, что у нас есть проблема с безопасностью, и чтобы ее исправить, мы должны сделать это проблемой клиента. Банк должен решить эту проблему с помощью технологий. Для нас важно не превращать нашу проблему в вашу.

В чем же проблема с телефонами с рутированным доступом?​

Я полностью понимаю, почему люди рутируют свои телефоны (имеется в виду взлом или разблокировка вашего устройства, чтобы вы могли его настроить). Большинство людей, которые рутируют свои телефоны, делают это по законным причинам, например, обновляют свои операционные системы, а не потому, что хотят установить вредоносное ПО. Но когда вы рутируете свой телефон, вы повышаете разрешения для некоторых приложений, чтобы видеть другие данные. Есть тонкости, чтобы предотвратить это, но мы не можем понять, так ли это. Разрешение рутированных устройств также может помешать нам предлагать определенные функции, например, сами Google не разрешают Google Pay на рутированных устройствах.
По этой причине мы занимаем эту позицию, вызывающую озабоченность, пока не будем более уверены в том, что сможем защитить вас от рисков с помощью технологического решения. Люди, которые знают, что это возможно, «технически подкованы», но мы не можем отличить их от людей, которые не знают, что они делают. Большинство банков сначала занимаются банковским делом, а затем технологиями, и они часто передают эту часть на аутсорсинг, но мы фокусируемся прежде всего на технологиях на благо наших клиентов, а также на банковских операциях, и это центральное место во всем, что мы делаем, включая безопасность.

Что мы можем сделать, чтобы оставаться в безопасности при использовании мобильного банкинга?​

Есть несколько основных вещей, которым легко следовать - убедитесь, что все устанавливаемые или устанавливаемые вами приложения являются подлинными, посмотрите отзывы, количество загрузок и название компании. Также важно поддерживать приложения в актуальном состоянии, часто в обновления включены улучшения безопасности.

У безопасности мобильного банкинга есть ограничения?​

Да (на данный момент). В конечном итоге ограничения относятся к вещам, которые требуют вашего физического присутствия в банках, например. наличными и чеком. Каждый год я получаю чек от своих бабушек и дедушек, и мы должны найти технологические способы решения этих проблем, например сканирование чеков, которое будет иметь все большее значение для нас, работающих с индивидуальными предпринимателями. Это действительно важно для нас, потому что это проблема для наших клиентов. К тому, что в конечном итоге связывает людей с их филиалами, являются такие вещи, как ипотека, крупные суммы и денежные операции. Людям нужна уверенность в разговоре с кем-то, это ощущение безопасности при встрече с кем-то лицом к лицу. Но времена меняются, и людям становится все удобнее делать что-то в Интернете, поэтому такие аспекты, естественно, со временем изменятся.
Объем проверок снижается уже несколько лет, но я не думаю, что они уйдут (не сейчас) - многие отрасли и места все еще нуждаются в них. В районах с плохим интернет-соединением они важны и дают возможность кому-то платить от вашего имени. Общество становится все более безналичным, и это будет продолжаться, но нам необходимо решить проблемы, которые мешают этому, например, с мелких розничных продавцов взимается плата за небольшие транзакции, а им, в свою очередь, необходимо добавить минимальную сумму платежа по карте или дополнительную плату. Но все меняется...
Мы создали мобильный банк, потому что хотим улучшить повседневные банковские операции и считаем важным, чтобы в основе этого лежали технологии. Банковские операции полностью с мобильного телефона могут показаться немного пугающими или нервирующими для некоторых, и мы понимаем почему, но мы хотим преодолеть этот барьер.
Безопасность по-прежнему считается одной из основных причин, по которой люди не хотят использовать мобильный банкинг (ING, отчет Mobile Banking 2017), но это заблуждение, которое мы пытаемся исправить. Мы хотим, чтобы больше людей, чем когда-либо, смогли ощутить преимущества этой революционной технологии - и это начинается с безопасности.