Aplicațiile de mobil pentru tranzacționarea acțiunilor la bursă au goluri în securitate

O firmă de securitate a testat aplicațiile de mobil pentru tranzacționarea acțiunilor la bursă și adescoperit că securitatea este mai slabă ca în cazul aplicațiilor bancare.

Un expert în securitate de la firma IOActive, Alejandro Hernandez, a analizat 21 dintre cele mai folosite și cunoscute aplicații de tranzacționare din Google Play Store și the Apple Store și a descoperit mai multe probleme, scrie ibtimes.co.uk.

Mai mult de 20 dintre cele mai populare aplicații de tranzacționare a acțiunilor folosite pentru trazacții sigure conțin mari vulnerabilități care ar permite atacatorilor să obțină date personale sau să fure bani din conturi. Cercetătorii de la firma de securitate IOActive au publicat un raport care descrie gama de probleme de securitate, scrie threatpost.com.

Mai îngrijorătoare este lipsa unui răspuns din partea firmelor financiare. Dintre cele 21 de aplicații testate, cercetătorul Alejandro Hernandez a spus că a trimis informații private la 13 firme de brokeraj și numai două au confirmat rezultatele raportului luni.

IOActive nu va face publice numele aplicațiilor afectate deoarece niciuna nu a fost încă actualizată pentru a rezolva problemele. Cu toate acestea, Hernandez a fost surprins că în această industrie vulnerabilități ca parole necenzurate, comunicații necriptate și alte probleme trec de testarea de calitate și de cea de audit.

Patru dintre cele 21 de aplicații testate expun parolele fără criptare, ceea ce însemna că un atacator care obține acces fizic la dispozitv putea să se logheze cu ușurință pentru a tranzacționa acțiunile sau a fura bani. Aproape două din trei aplicații (62%) trimit informații sensibile către fișiere jurnal și 67% dintre aplicații stochează aceste informații fără criptare, permițând atacatorilor care ar avea acces fizic la dispozitiv să vadă venitul utilizatorului, strategia de investiții și soldul, scrie theregister.co.uk.

Două aplicații folosesc canale HTTP necriptate pentru a transmite și primi date, iar 13 dintre aplicațiile care folosesc HTTPS nu verifică autenticitatea dispozitivului prin verificarea certificatului SSL. Aceste probleme pot face posibilă efectuarea de atacuri de tip man-in-the-middle folosind hotspot-uri Wi-Fi publice la care se conectează utilizatorii mai puțini precauți, care nu folosesc un software VPN.

Testarea s-a axat numai pe aplicațiile mobile, iar platformele web și cele pentru computere nu au fost testate.

Rezultatele aplicațiilor de tranzacționare la bursă s-au dovedit a fi mai rele decât cele pentru aplicațiile bancare teste în 2013 și 2015. O dezvoltare pozitivă este reprezentată de faptul că o aplicație a unei firme de brokeri care a suferit o breșă de securitate acum mai mulți ani este cea mai sigură dintre cele 21 de aplicații.

IOActive a anunțat dezvoltatorii acestor aplicații cu privire la problemele descoperite, la începutul lunii.

Firma de securitate cibernetică IOActive a mai analizat și vulnerabilitățile descoperite de cercetătorii săi cu privire la securitatea roboților produși de mai multe firme, anul acesta, conform securityportal.ro.

Dezvăluirea vulnerabilităților acestora a urmat mai multe etape: în luna martie a emis un raport de avertizare, iar în luna august a detaliat problemele descoperite.