Gartner: двухуровневой аутентификации уже не достаточно для защиты от мошенничества

Согласно данным аналитической компании Gartner, мошенникам все чаще удается (используя троянские программы) обходить не только защиту паролем, но и другие методы аутентификации (чип-карты, биометрические, пр.), которые предполагают передачу персональных данных через браузер. Двухфакторную систему аутентификации, использующую телефонную связь, также легко обмануть, перенаправив телефонные звонки.

Первичной целью атак, обходящих системы двухфакторной аутентификации, являются банковские счета, и в 2009 г. такого рода мошенничество успешно проводилось против многих банков и многих клиентов по всему миру. Аналитики полагают, что со временем подобные методы будут использоваться и в других областях, открывая доступ к критически важной бизнес-информации.

Характерным примером банковского мошенничества является перехват транзакции, выполняемой через онлайновую банковскую систему. При этом вредоносное ПО изменяет размер платежа, и, используя обратную связь с браузером пользователя, в окне подтверждения отображает введенную ранее сумму. Таким образом, ни банк, ни пользователь не в состоянии понять, что в процессе передачи данных банку сумма платежа изменяется.

Для защиты счетов и пользователей и снижения рисков онлайновых платежей необходимо применять более сложные многоуровневые системы. Gartner советует использовать дополнительную проверку запроса на транзакцию с использованием альтернативных каналов коммуникации, а также методы, основанные на оценке действий пользователя: мониторинг ожидаемого размера транзакций (отслеживает выполняемые с данного ПК операции и сравнивает их размер с характерным для данного пользователя или группы пользователей) и мониторинг поведения пользователя (анализирует весь веб-трафик, в том числе логины, переходы и транзакции, и выявляет нехарактерные схемы действий, означающие, что к веб-приложению обращается программа, а не человек).