Idec указывает на слабые места в системе безопасности банковских приложений

Бразильский институт защиты прав потребителей (Idec) опубликовал в понедельник (2) отчет, в котором критикуется легкость получения доступа к банковскому счету через приложение для мобильного телефона с помощью мошенников. На первом этапе исследования, длившемся в общей сложности шесть месяцев, Idec изучила количество жалоб, поданных клиентами в 2022 г. на каждый банк на сайте Reclame Aqui. Нубанк был одним из тех, кто имел больше шансов. Хотя многие из этих жалоб касались кражи мобильных телефонов, часть из них была связана с мошенничеством с удаленным доступом, включая сообщения, распространяемые в социальных сетях. По данным института, мошенничество заключается в том, что преступник выдает себя за агента банка и связывается с жертвой по Whatsapp, SMS, электронной почте или даже по телефону. Для пущей убедительности мошенник сообщает некоторые личные данные клиента, сохраняя официальный тон, похожий на тон банковского служащего. Таким образом, они входят в доверие к жертве, которая по запросу загружает на свой мобильный телефон приложение, которое на самом деле является программой, обеспечивающей удаленный доступ, контролируемый злоумышленниками. После опроса Nubank по поводу жалоб Idec обратилась к трем крупнейшим частным банкам страны: Bradesco, Itaú и Santander, спрашивая, попадались ли им клиенты на удочку мошенников и какова была позиция этих учреждений. Один из них ответил, что смог полностью заблокировать удаленный доступ к приложению, что побудило Idec спросить у других банков, почему они еще не имеют такого инструмента. Через месяц Idec протестировала удаленный доступ к приложениям финансовых организаций, чтобы проверить, насколько они продвинулись в разработке механизмов, способных предотвратить доступ к счетам клиентов. Только один из протестированных банков смог заблокировать доступ, и, с точки зрения института, он был упомянут Idec в качестве эталона для остальных. Два других банка были уведомлены о результатах. Idec решила сохранить детали тестов, включая название банка, который добился успеха, чтобы избежать распространения ошибок и содействия злоупотреблению удаленным доступом в качестве преступной практики. В отчете содержится ссылка на статью 14 Кодекса защиты прав потребителей и прецедент 479 Высшего суда справедливости (STJ), напоминающий о том, что у жертв подобных мошенничеств есть права, которые они могут отстаивать. Если банк наносит ущерб своим клиентам в результате доказанных нарушений безопасности, он обязан возместить ущерб пострадавшим. В дополнение к отчету компания Idec также предоставила образец петиции для тех, кому необходимо обратиться в суд за возмещением причиненного ущерба. Агентство Agência Brasil связалось с Nubank, Bradesco, Itaú и Santander, и только последний из них ответил на сообщение. В своем заявлении Santander сообщил, что имеет "эффективные механизмы защиты, обеспечивающие безопасность приложения для клиентов". "Эти механизмы даже оснащены различными технологиями, способными выявлять рисковые ситуации и тем самым эффективно предотвращать аферы и мошенничество со стороны третьих лиц. Учреждение подчеркивает свою уверенность в целостности и эффективности своих защитных механизмов и систем, а также в операционной безопасности своих каналов, продуктов и услуг, обеспечивающих защиту и безопасность клиентов", - добавляет он.