«Солар» назвал топ 5 критических уязвимостей банковских приложений
В финансовых приложениях, где обрабатываются конфиденциальные данные и транзакции пользователей, безопасность кода имеет важное значение. Эксперты ГК «Солар» проана-лизировали миллионы строк кода с помощью статического, динамического анализа и ана-лиза сторонних компонентов и оценили степень критичности обнаруженных уязвимостей. Низкий уровень защищенности исследователи отметили в 20% приложений, средний – в 39%. Это означает, что больше половины приложений имеют уязвимости высокой или средней степени критичности, успешная эксплуатация которых позволяет злоумышленнику нанести существенный ущерб информационным активам компании. Важно отметить, что в более 50% исследованных приложений была обнаружена хотя бы одна критическая уязви-мость. Одной из самых распространенных уязвимостей в финансовых приложениях является не-достаток контроля доступа (78%). Корректно разграниченный доступ особенно важен для организаций сектора. Отсутствие контроля за привилегиями сотрудников может привести к тому, что как внутренний, так и внешний нарушитель получает нелегитимный доступ к са-мому широкому спектру информации. Допустим, работник банка получает информацию о движении по счетам всех клиентов и может воспользоваться такими данными в злонаме-ренных целях. В качестве мер защиты в данном случае специалисты «Солара» рекомен-дуют использовать реализацию принципа наименьших привилегий, а также мониторинг из-менений прав доступа. Межсайтовый скриптинг (XSS) по-прежнему остается одной из самых актуальных проблем для веб-приложений (75%). Внедрение вредоносного JavaScript-кода происходит через пользовательский ввод, который выполняется в стороннем браузере. Наиболее распро-страненный пример — кража сессионных cookies или перенаправление на фишинговый сайт. Чтобы защититься от межсайтового скриптинга, банкам необходимо более тщательно валидировать и экранировать входные данные, а также использовать Content Security Policy (CSP). Недостаточное шифрование, небезопасная обработка или хранение конфиденциальной информации, такой как номера кредитных карт, пароли или персональные данные клиентов — третья по распространенности уязвимость (56%). Использование устаревших протоколов и слабых криптоалгоритмов позволяет злоумышленнику быстро подобрать значения хэш-функции или получить доступ к данным. 36% уязвимостей пришлись на недостатки логирования и мониторинга. Отсутствие или не-достаточное логирование событий затрудняет обнаружение и расследование атак. В таких случаях банки могут не отследить несанкционированный доступ к ИТ-системе. То есть в ИТ-системе есть запись о совершении самой транзакции, однако возникает недо-статок технологической информации о процессе, что также может затруднять расследова-ние киберинцидентов. Внедрение централизованного логирования, мониторинг подозри-тельной активности, использование SIEM-систем помогают финансовым организациям из-бежать подобных рисков. Избыточное логирование, в свою очередь, так же может привести к инцидентам ИБ. Напри-мер, сохранение функций полного логирования (обычно используется на этапе разработки и тестирования) в промышленной эксплуатации может привести к небезопасному хранению данных пользователя вне информационных систем. Сейчас большинство зрелых финансовых организаций отказываются от монолитных ин-формационных систем в пользу микросервисной архитектуры. Для обмена данными между частями системы используются интерфейсы прикладного программирования (API). Недо-статочный контроль API, включая сохранение скрытых точек входа может привести к утеч-ке данных или несанкционированному доступу и, по данным исследования «Солара», вхо-дит в топ-5 уязвимостей (25%). Такие риски позволяет нивелировать использование OAuth, JWT, своевременная проверка прав доступа. Помимо вышеперечисленных уязвимостей в топ-10 самых распространенных также вошли: небезопасная аутентификация и управление сессиями; небезопасная конфигурация; недо-статки в обработке ошибок и шифровании; уязвимости в сторонних библиотеках; а также перехват сессий. По данным центра противодействия кибератакам Solar JSOC, в 3 квартале 2024 года более 70% высококритичных киберинцидентов были связаны с компрометацией учетных записей сотрудников. Этот показатель оказался рекордным за последние несколько лет. Одна из причин — резкий рост атак по типу подбора логина к имеющемуся словарному паролю. «По данным “Солара”, объем утечек данных из банков по итогам прошлого года составил 410 миллионов строк против 161 миллиона в 2023 году. Они содержали ФИО клиентов, ад-реса, номера телефонов, электронные почты, кредитную историю и другую чувствительную информацию. По объему утечек финансовая отрасль стала наиболее уязвимой среди дру-гих, опережая все сектора экономики, в том числе и госсектор. Мы наблюдаем постепенное повышение уровня защиты информационных систем в части контроля за безопасностью разработки банковских приложений. Интерес к таким инструментам со стороны банков год к году возрастает, что подтверждают результаты наших исследований. В основном это свя-зано со стремлением финансовых организаций соответствовать требованиям регуляторов и совершенствованием законодательства в части разработки ПО. Внедрение решений для анализа кода в процесс разработки снижает риски самых распространенных уязвимостей приложений», — говорит Владимир Высоцкий, руководитель развития бизнеса ПО Solar appScreener. Solar appScreener — комплексное решение для контроля безопасности приложений, соче-тающее в едином интерфейсе статический, динамический анализ, анализ состава ПО и анализ безопасности сторонних компонентов ПО (SAST, DAST, OSA). Продукт может ис-пользоваться как для отдельных проверок кода, так и в качестве центрального элемента цикла безопасной разработки. Анализ защищенности мобильных приложений для операционных систем Android и iOS проводился аналитиками «Солара» посредством статического анализа без функционала декомпиляции кода и опросов заказчиков.
В 2023 году «Норникель» совместно с ИТ-партнером BI Consult реализовали проект по миграции аналитических отчетов (дашбордов) с платформы зарубежного вендора на платформу FineBI. В рамках проекта были разработаны аналитические приложения для экономического департамента, а также для департамента бухгалтерского, налогового учета и финансовой отчетности.
Школа цифровых технологий CODDY объявляет о запуске масштабной образовательной инициативы «Техно-каникулы с CODDY», разработанной специально для школьников на период летних каникул.
АНО «Национальный центр компетенций по информационным системам управления холдингом» (АНО «НЦК ИСУ») спроектировала архитектуру единой системы управления ресурсами (СУР) и создала техническое задание для ее разработчиков.
Студенты Тверского государственного университета познакомились с возможностями ИТ-продуктов «1С» в рамках активностей Центра сертифицированного обучения (ЦСО), открытого консалтинговой технологической компанией Axenix.
27 мая на заседании комитета Ассоциации банков России по финансовым технологиям обсудили последствия вступления в силу новых изменений в закон «О связи». Встречу провела Председатель комитета Ассоциации банков России по финансовым технологиям, Председатель Правления ЕДИНОГО ЦУПИС Елена Шейкина.
29 мая 2025 года в Москве прошёл форум «Налоги. Бизнес. Право» , в котором приняла участие Группа компаний «НОРД» . От компании выступила Татьяна Парфенова , аудитор с 20-летним стажем, представившая доклад на тему «Госконтракты в бизнесе» .
23-24 мая 2025 года в Санкт-Петербурге состоялась 20-я Международная конференция по системному и бизнес-анализу Analyst Days. ЕДИНЫЙ ЦУПИС, финтех-сервис в регулируемой индустрии развлечений, выступил золотым партнером главного события в мире аналитиков.
ЕДИНЫЙ ЦУПИС, финтех-сервис в регулируемой индустрии развлечений, стал победителем премии FINAWARD за внедрение искусственного интеллекта в антифрод-системы. Инновационный подход компании позволяет эффективно выявлять мошенничество, осуществляя мониторинг более 2,5 млн платежей в сутки.
AI-стартап DeepWhale, разработанный проектной компанией WildTeam, стал лауреатом престижной премии AI-Олимп в номинации «Лучший AI-стартап в категории «Проектирование и архитектура».
Красногорский завод им. С. А. Зверева (КМЗ) холдинга «Швабе» Госкорпорации Ростех начал производство нового фотообъектива «Зенитар» 1/50 с высокой светосилой. Премьера новинки прошла в Москве на фотофестивале Portfolio Party 2025. Объектив уже опробован при съемке старта ракеты с космодрома Байконур в апреле, и впечатлил фотографа Роскосмоса своими возможностями.
Российская платформа виртуализации SpaceVM (разработчик — компания «ДАКОМ М») и операционная система ОС «ОСнова» официально прошли тестирование на совместимость. Теперь заказчики могут использовать обе платформы совместно, без необходимости проводить дополнительную проверку.
Компания «1С ПРО Консалтинг», которая специализируется на системно-ориентированной методологии внедрения корпоративных решений на платформе «1С», запускает образовательный курс «Архитектура и автоматизация бюджетного процесса».
К началу летнего сезона «Выберу.ру» составил рейтинг банков с наиболее выгодными заёмщикам потребительскими кредитами на ремонт дачи или квартиры благодаря скидкам к ставкам.
