Студент СГАУ победил на конкурсе хакеров

Анатолий Катюшин за четыре часа взломал систему дистанционного банковского обслуживания. Впрочем, уголовная ответственность ему за это не грозит, ведь речь идет о специальном конкурсе, где свое мастерство демонстрировали кибер-взломщики.

В Москве прошел форум по практической безопасности Positive Hack Days III. Это ежегодное мероприятие, где собираются лучшие в мире специалисты по защите информации. Тема информационной безопасности банков традиционно стала здесь одной из ключевых. В рамках форума прошли дискуссии, соревнования и мастер-классы, посвященные банковской тематике.

В частности устроители форума – компания Positive Technologies – организовали конкурс «Большой ку$h», где свое мастерство продемонстрировали кибер-взломщики. Специально для этого конкурса специалисты разработали систему ДБО PHDays iBank, содержащая уязвимости, которые встречаются в банковских системах в реальной жизни. За один час десять участников должны были воспользоваться проблемами безопасности, обнаруженными на первом этапе соревнования, и перевести деньги с чужих счетов на свой. Всего система содержала 20 000 рублей.

Насколько уязвимы нынешние банковские системы доказал студент пятого курса СамГАУ Анатолий Катюшин. Молодому хакеру под ником heartless потребовалось всего несколько часов, чтобы взломать систему дистанционного банковского обслуживания (ДБО) и «похитить» 4995 рублей. Выигрыш победителя был удвоен интеллектуальным партнером форума PHDays – компанией «Астерос». «Обнаружение проблем безопасности в образе системы заняло где-то четыре часа, затем нужно было лишь написать скрипт для автоматизации эксплуатирования уязвимости», – сказал Анатолий Катюшин после финала конкурса. Второе место в соревновании занял студент факультета математики НИУ ВШЭ Омар Ганиев (beched), который смог «похитить» 3277 рублей. Остальным восьми участникам конкурса не удалось вывести из PHDays iBank ни одного рубля.

Впрочем, по оценкам экспертов, проблема ненадежности банковских систем все же присутствует.

«На данный момент в РФ не существует какого-либо нормативного или отраслевого документа, устанавливающего требования к системам ДБО. При формировании требований к обеспечению информационной безопасности систем ДБО требуется учитывать положения Стандарта Банка России СТО БР ИББС-1.0-2010 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения», тем не менее они не затрагивают процесс разработки данных систем, сами системы не подвергаются прохождению процедуры исследования на предмет отсутствия НДВ либо обязательному анализу защищенности, почему при написании собственных систем многие разработчики банков допускают грубые ошибки, приводящие к эксплуатации уязвимостей, которые наблюдаются и в вендорских решениях, что объясняет проблему», – говорит директор департамента международных проектов, аудита и консалтинга компании Group-IB Андрей Комаров.

По его словам, при детальном рассмотрении современного состояния дистанционных финансовых инструментов стоит не согласиться с их абсолютной незащищенностью, хотя бы потому что многие из банков практикуют систематический анализ защищенности как собственных решений, так и вендорских. «Приложения, обрабатывающие и хранящие данные о кредитных картах, проходят процедуру сертификации по стандарту PA-DSS, что предполагает выявление возможных уязвимостей, тем не менее данный стандарт не уживается с действительностью, так как существует множество приложений, которые не обрабатывают подобные потоки, пример – толстые клиенты для юридических лиц. Тем не менее при оценке защищенности, пожалуй, топ-3 российских систем ДБО, даже невооруженным взглядом, можно найти уязвимости разной критичности, в основном, направленные на безопасность клиентов, а не серверной стороны», – говорит эксперт.