ЦАРКА: Ни один банк в Казахстане не продемонстрировал максимальный уровень защищённости своих веб-ресурсов

Центр анализа и расследования кибератак (ЦАРКА) опубликовал отчёт, в котором отражены результаты анализа веб-безопасности банков Казахстана за 2021 год.

Исследование проводили с использованием системы WebTotem AI, основанной на алгоритме искусственного интеллекта, способного выявлять уязвимости и угрозы в киберпространстве. 

ЦАРКА проанализировал веб-ресурсы 25 банков с точки зрения нескольких критериев. Среди них:

• состав и скорость работы программного обеспечения;
• репутация домена;
• безопасность контента и передачи данных;
• шифрование трафика и утечки информации;
• настройки безопасности;
• соответствие стандартам. 

Согласно результатам исследования, банки продемонстрировали рост уровня кибербезопасности в сравнении с 2020 годом на 19,6%. Отрицательных тенденций не обнаружено. По результатам исследования банки оценили по шкале от 0 до 100, где 100 – наивысшая оценка уровня защищённости веб-ресурса. Самые высокие показатели у Альфа-Банка, Bank RBK и City Bank, самые низкие – у Capital Bank, Заман-Банк и Национального банка Пакистана. 

В топ-рейтинга банков Казахстана по уровню защищённости веб-ресурсов вышли Альфа-Банк, Citi Bank. Freedom finance Bank, First Heartland Jysan Bank, Bank RBK. Средний уровень безопасности составил 70%. Аутсайдерами по уровню защищённости стали шесть банков. Среди них:

• Bank of China Kazakhstan;
• Шинхан банк Казахстан; 
• АТФ банк;
• Заман банк; 
• Национальный банк Пакистана; 
• Capital Bank Kazakhstan.

24 банка не реализуют Security.txt (все кроме Альфа-Банка). Security.txt позволяет взаимодействовать внутренней службе информационной безопасности и внешним исследователям, давая указание как и куда направить информацию об уязвимостях или проблемах безопасности веб-ресурса. Также девять из 25 банков подвержены атакам OWASP Top 10. С их помощью злоумышленники могут получить данные пользователей. Наилучший показатель устойчивости к атакам продемонстрировали Альфа-Банк, Citi Bank, "Сбербанк", First Heartland Jysan Bank и Bank RBK. 

По мировым стандартам личные данные должны шифроваться при передаче между веб-сервисами. Это обеспечивают надёжную защиту от перехвата логинов и паролей людьми, которые находятся в одной сети. В противном случае злоумышленники могут завладеть данными клиентов, что приведёт к финансовым убыткам. Шесть банковских ресурсов не шифруют передаваемую информацию. Среди них:

• Банк Китая в Казахстане;
• ВТБ;
• АТФ Банк;
• Отбасы банк;
• Исламский банк Al Hialal;
• Freedom finance Bank.

Лидерами по скорости работы стали Kaspi Bank, КЗИ Банк, Freedom finance Bank, АТФ Банк, Национальный банк Пакистана. Аутсайдеры – Банк Китая в Казахстане, Отбасы банк, Банк ЦентрКредит, Евразийский банк. Анализировали банки и с точки зрения риска утечки данных. Высокие риски у девяти банков:

• Kaspi Bank;
• Евразийский банк;
• Альфа-Банк;
• КЗИ Банк;
• Хоум Кредит;
• Заман банк;
• НурБанк;
• Народный банк Казахстана;
• Отбасы банк.

Email security, как утверждает ЦАРКА, является наиболее вероятным способом заражения вредоносными ПО. Недостаточные показатели по этому критерию продемонстрировали Народнй банк Казахстана и Altyn Bank. 

ЦАРКА сообщает, что в ходе проверки с помощью программы Bug Bounty выявили 17 уязвимостей с различными уровнями критичности. Они отмечают, что большая часть веб-ресурсов банков подвержены уязвимостям с высоким уровнем критичности. Это определяет низкий уровень информационной безопасности.

Однако в ЦАРКА подчеркнули, что есть тенденции к увеличению уровня кибербезопасности, указали на необходимость решения выявленных проблем в кратчайшие сроки.