Apps bancários podem ser porta de entrada pra ataques virtuais
Elas são parte fundamental do funcionamento das movimentações financeiras e podem representar vulnerabilidades para ataques cibernéticos
Cada vez mais a internet é utilizada em várias atividades diárias e, entre as facilidades que a tecnologia nos traz, os serviços bancários via aplicativos estão entre os mais acessados. Em janeiro último, foram 15,4 milhões de downloads de aplicativos bancários, segundo o Bank of America, com base em dados da Sensor Tower.
Nubank (2,8 milhões), C6 Bank (1,5 milhão), Inter (1,5 milhão), PicPay (1,5 milhão) e Mercado Pago (1,2 milhão) são os mais baixados. Nos bancos tradicionais, foram 7,3 milhões no mesmo período: da Caixa (1,2 milhão), Caixa Tem (1,5 milhão), Bradesco (1,2 milhão), Itaú Unibanco (1,1 milhão), Santander Brasil (1,1 milhão) e Banco do Brasil (999 mil).
“Por trás dos aplicativos usados para acessar os bancos existem muitas informações confidenciais e por isso a ação dos cibercriminosos pode ir além da invasão para roubo. Caso eles acessem dados pessoais, podem inclusive sequestrá-los e exigir pagamento por eles, além de uma série de outras complicações, em especial para empresas”, explica Ubiratan Menezes, executivo de Soluções para Cibersegurança da VIVA Security, empresa especializada em desenvolver soluções para segurança.
A "peneira" das APIs
Ele explica que para que as tecnologias de diferentes instituições financeiras conversem entre si, ou seja, para que possam, por exemplo, mandar dinheiro de uma instituição para outra, são utilizadas APIs para essa comunicação, compartilhando informações pessoais dos usuários, entre outros dados.
Chamadas de Open Banking, elas permitem a outros desenvolvedores (empresas em geral) a criação de aplicações e serviços para uma instituição financeira. E é aí que mora o perigo. Qualquer vulnerabilidade em uma dessas interfaces de programação pode levar ao vazamento de milhões de dados pessoais, gerando prejuízos imensuráveis.
Os invasores que visam APIs de serviços financeiros são normalmente motivados por objetivos variados. Entre eles está, objetivamente, o controle de conta, ao direcionar as APIs de autenticação para locais de controle dos criminosos, permitindo que os invasores assumam as contas dos clientes e drenem fundos.
Além das maneiras mais tradicionais utilizadas como vetores de ataque iniciais pelos criminosos – phishing, engenharia social e outras táticas que “ludibriam” os usuários para extrair informações de acesso ou obter acesso a dispositivos –, agora os atacantes encontram nas APIs portas de entrada para realizar os ataques, muito mais silenciosos e que ocorrem por dias, semanas ou meses sem serem detectados pelas soluções tradicionais.
Soluções atuais miram as APs
Soluções direcionadas à proteção de APIs se tornaram-se fundamentais para as instituições financeiras.
“Um dos desafios para os defensores é saber onde as APIs expõem dados confidenciais ou onde possuem fragilidades que podem ser meticulosamente exploradas”, ressalta Ubiratan Menezes.
Esses ataques são superespecializados e realizados por malfeitores que aprendem e usam a própria lógica do código das aplicações – por isso não são detectados por soluções tradicionais como WAFs e Gateways de APIs, entre outros.
A boa notícia é que já existem no mercado tecnologias que, diferente de todas as demais, monitoram o tráfego de forma abrangente, contínua e criam uma base de contexto na linha do tempo. É o caso do SALT. O que o diferencia é a sua capacidade de analisar o tráfego de APIs ao longo de dias, semanas e até meses, aplicando escala de nuvem e algoritmos maduros ao tráfego da API.
Ele procura um padrão de atividade suspeita, consolida as atividades em uma única linha do tempo do invasor e reduz os falsos positivos, eliminando 96% dos falsos alertas.
Ambientado em nuvem, sem agentes, sem configurações ou necessidade de mudança de infraestruturas ou aplicações, o SALT traz visibilidade sobre quais APIs estão em uso, identifica e classifica quais dados estão sendo expostos, quais falhas de lógicas estão presentes por design e interrompe os ataques ou envia as descobertas para os times de segurança e desenvolvimento.
(*) HOMEWORK inspira transformação no mundo do trabalho, nos negócios, na sociedade. É criação da Compasso, agência de conteúdo e conexão.
Homework
