Центробанк обнаружил способ, которым мошенники выводят деньги со счетов банковских клиентов. Хакеры используют в своих целях Систему быстрых платежей. Как оказалось, во время подключения одного из банков к СБП, была пропущена уязвимость, соединенная с незакодированным API-интерфейсом.

Используя эту уязвимость, хакеры меняли данные счетов отправителей. По оценке экспертов, данный случай стал первым, когда используется СБП для взлома банковских систем. Описание системы, используемой мошенниками, было разослано во все банки, чтобы кредитные организации могли вовремя противодействовать дальнейшим взломам.

По имеющейся информации, хакеры получили через уязвимость данные клиентов, после чего мобильное приложение использовалось в режиме отладки. Взломщик прошел авторизацию, как настоящий клиент банка, после чего совершил перевод средств с реального счета клиента на собственный в другом банке.

Система безопасности финансовой организации не стала проверять достоверность данных и перевела деньги. Таким образом, хакеры использовали номера украденных счетов, чтобы выводить с них средства. Подборка счетов жертв была сделана методом использования программного меню приложения.