网络攻击个人银行的5种典型手段

2019-10-08 10:41:3514992人阅读


虽然在过去几年针对银行的攻击手段变得更加复杂,但绝大多数攻击依旧依赖于用户欺骗。例如,针对银行的一种常见网络钓鱼攻击,就是将目标定向到恶意克隆的银行网站。一旦用户尝试登录这个看起来很真实的虚假网站,该平台会提示:服务不可用,从而混淆用户,并存储下用户刚刚输入的凭证信息(账号密码)。

这一切都是为了引导用户犯错,而网络钓鱼还只是电子银行时代应该防范的攻击之一。以下介绍了黑客通过用户攻击银行的五种方式:


SMS swaps攻击


短信诈骗在银行业已经非常普遍。首先,攻击者窃取受害者的手机号码以及手机ID,然后打电话给SIM卡中心声称自己手机丢失,并且已经购买了新的SIM卡,现在希望把旧号码取回。攻击者使用那些可能从社交媒体帐户上收集来的的安全ID和其他私人信息,说服电信支持人员,换回手机号。

这种骗局甚至可以逃避安全保护。大多数提供多因素身份验证(MFA)以保护在线银行会话和应用程序的银行机构都依赖基于SMS的MFA,而不是使用移动令牌。一旦黑客窃取了用户的电话号码,他们就可以访问短信,而这也意味着他们可以访问受害者的帐户,即使它具有基于SMS的MFA。


MITM攻击/中间人攻击


Man In-The-Middle(MITM)攻击由来已久,但非常有效,攻击者瞄准的是基础设施没有被充分保护的银行平台。他们不仅窃取资金,还攻击银行的基础设施从而给银行带来负面影响。攻击者通过干扰用户和银行后端之间的网络通信,篡改交易金额和账户信息。这个攻击一般可以通过银行加密通信,使用特定证书凭证来预防。

但是,在使用TLS连接中,发现了漏洞。常见的DNS欺骗技术可以很容易地定向受害者在同一Wi-Fi网络下的流量,从而无法验证主机名。因此,银行防御MITM攻击的最佳方式是通过实施令牌多因素签名。


MITB攻击


MITB(Man-in-the-Browser attack)是一种感染在线浏览器的特洛伊木马。它扮演中间人攻击的角色,嗅探和修改用户在受感染浏览器上执行的事务,但表面上仍然显示用户是在合法输入。

大多数用户认为他们在HTTPS的网站上执行事务时有SSL的保护,但事实上,SSL只保护浏览器和服务器之间传输的数据。

更好的证书管理可以预防感染,但是当用户使用个人计算机进行银行业务时,这很难保证。幸运的是,还可以通过多因素身份验证令牌来保护银行事务。


鱼叉式网络钓鱼攻击


鱼叉式网络钓鱼:攻击者利用电子邮件欺骗技术,通过一个定制的、高度真实的网络钓鱼电子邮件来攻击特定的组织或个人。简而言之,这是一种更具针对性、复杂性且研究密集的网络钓鱼版本。

这种攻击通常用于攻击者所熟悉的组织,攻击者利用内部了解针对特定的负责付款的员工发起攻击。比如,他们可能会向会计发送一封电子邮件,表明是CFO要求他们支付一笔看似正常的款项。如果员工相信了,于是进入虚假网站或下载链接,就会导致MITM或MITB攻击的触发。


移动恶意软件攻击


移动银行木马是最灵活也最危险的恶意软件类型之一,旨在通过窃取用户凭据从而窃取用户帐户中的资金。它们看起来和Apple或Google商店中的真正App一样,但当用户下载并运行App时,它就会开始监控手机里的银行App。由于不是每个银行App的设计都能合理地保护个人的资产,因此,实施不当和开源库暴露都会让帐户和密码很容易地被跟踪。


银行如何防御攻击?


对于银行来说,保护其支付系统的最佳方法之一就是为每笔资金交易添加MFA安全层。即使客户被欺骗登录到一个伪造的网站或点击了一个网络钓鱼链接,攻击者也无法转账或付款。

以上这些攻击操作都依赖于最终的用户令牌,而银行如果MFA控件到位,攻击者将无法拿到这些令牌!银行可以通过使用固定和随机事务属性(如名称、值、帐户、时间戳等)生成基于密码的签名,此外,如果正确实施,MFA也不会对银行应用或服务的用户体验产生负面影响。

最后,银行有责任让客户不断地重新评估他们的安全措施,以抵御上述在线威胁,但客户也在电子银行安全中发挥着作用,需要了解最常见的银行攻击,了解他们的资金何时可能存在风险,并在必要时做好安全防范。


本文转载自:FreeBuf微信公众号,题目有改动

参考来源:helpnetsecurity

原文链接:https://mp.weixin.qq.com/s/uCE9oUn64UtTrDIlArHELA

编译整理:kirazhou 


0
现金券
0
兑换券
立即领取
领取成功