СМИ: мошенники нашли лазейку в Системе быстрых платежей

Систему быстрых платежей использовали для мошенничества. Из-за бреши в защите у одного из банков злоумышленники получили доступ к данным клиентских счетов и возможность вывести с них деньги.

Новый способ хищения средств со счетов через СПБ выявили в Центробанке, сообщила газета «Коммерсант» со ссылкой на бюллетень подразделения Банка России ФинЦЕРТ. Его специалисты занимаются наблюдением и реагированием на компьютерные атаки в кредитно-финансовой сфере.

Мошенники воспользовались слабым местом в защите, чтобы получить доступ к персональным данным клиентов. После этого они запустили мобильное приложение в режим отладки и авторизовались под аккаунтами реальных людей, отдав команду на перевод денежных средств. При этом вместо счета, с которого должны были списать деньги, указывались данные другого клиента банка. Система принадлежность счета не проверяет, средства списываются и попадают к злоумышленникам.

По словам участников рынка, случай стал первым прецедентом хищения денег, при котором использовали систему быстрых платежей. В ФинЦЕРТ уточнили, что номера банковских счетов мошенники получили методом перебора.

По данным ЦБ, проблему зафиксировали в мобильном приложении и системах дистанционного обслуживания одного банка и смогли ее оперативно устранить. О каком именно кредитно-финансовом учреждении идет речь, не уточняется. Сама СБП, уверены в регуляторе, находится под надежной защитой.

Локальность проблемы подтвердили и в «Национальной системе платежных карт» — она выступает как операционный платежный клиринговый центр системы быстрых платежей. Не обнаружили бреши и в программном обеспечении самой СПБ.

По мнению источника, об уязвимости мог быть осведомлен лишь тот, кто хорошо знаком с архитектурой приложения пострадавшего банка. Не исключено, что речь идет о банковском служащем, разработчике ПО или тех, кто занимался его тестированием.