Tipos de ataques de cibercriminosos aos aplicativos de bancos
Existem ataques direcionados para os aplicativos de bancos? Hoje temos disponíveis dezenas de aplicativos bancários para dispositivos móveis. O acesso ao saldo, extrato, pagamento de contas, transferência de valores, investimentos etc, está ao alcance de todos com um smartphone em mãos.
Quanto mais utilizarmos o mobile banking, mais estelionatários tentarão aplicar seus golpes. Ou seja, quanto maior a escala das transações financeiras móveis, novas ameaças surgirão e maior serão os número de vítimas de crime cibernético.
Por exemplo, um dos maiores banco no Brasil registra aproximadamente 8 milhões de transações móveis por dia. Será que esse número de transações chama a atenção dos estelionatários?
No Brasil, o acesso a conta corrente através do mobile banking possui duas camadas de segurança importantes: uma é a senha eletrônica e a outra é o Token. Sendo assim, temos alguns ataques direcionados a autenticação. Veja abaixo alguns tipos de ataques de cibercriminosos aos aplicativos de bancos:
1 – SSL Proxy
Um dos ataques preferidos pelos estelionatários para espionagem de informações confidenciais. Consiste em interceptar toda a comunicação entre o cliente e o banco, incluindo a utilização de um certificado digital falso, criando uma "conexão segura" entre o cliente do banco e o atacante. Dessa forma, o atacante consegue capturar a agência, conta corrente, senha eletrônica, senha do cartão de débito e o token.
2 – SSL Strip e Man-in-the-middle
Este tipo de ataque é executado para roubo de senhas, tokens, nomes de usuário, agencia, conta corrente, palavras-chave e outros dados sensíveis; mesmo quando as informações estão criptografadas ou codificadas. Na prática, são utilizadas algumas ferramentas para sequestrar o tráfego de informações entre o mobile banking instalado no smartphone/tablet e o banco, monitorando sempre as solicitações via HTTPS; depois eliminamos o SSL deixando o cliente do banco em uma conexão não segura. Dessa forma, o número da agência, conta corrente e senha eletrônica são capturadas pelo atacante através de uma transmissão não segura das credenciais do banco.
3 – Certificados digitais falsos
Outro tipo de ataque baseado em Man-in-the-middle onde o atacante emite um certificado digital falso tendo como objetivo interceptar o tráfego em uma conexão HTTPS supostamente segura.
4 – Engenharia reversa e análise de código
A engenharia reversa consiste em ter acesso ao código-fonte de um aplicativo móvel. Através de uma combinação de ferramentas e técnicas é possível identificar senhas pessoais armazenadas no aplicativo ou dispositivo móvel, permissões de acesso, certificados utilizados pelo aplicativo móvel e se o código está ofuscado.