Генпрокурор России предложил ввести для продавцов в интернете обязательную подтвержденную электронную идентификацию

Комментирует эксперт по кибербезопасности, владелец продукта «Стингрей» компании AppSec Solutions Юрий Шабалин.

- Фишинговые сайты - это очень распространенная, хоть и старая техника. Злоумышленники полностью клонируют интерфейс сайта (или его часть, относящуюся к оплате) и заманивают пользователей на него. Как минимум, распространена в свое время была техника общения по товару на реальном сайте и пересылка предложения оплаты уже на фишинговый ресурс. Или фишинговые рассылки с предложением купить товар по низкой цене и интерфейсом, полностью повторяющим оригинальный сайт.

Примерно год назад была волна подобных схем и сайтов. Сейчас она практически сошла на нет, но, как мы знаем, все развивается по спирали, и через некоторое время снова можно ожидать распространения этих схем. Особенно, учитывая, что некоторые компании попали под санкции, и их приложения уже не загрузить на устройства. Поэтому пользователи все чаще обращаются к сайту, а не к приложению. Пустующей нишей пользуются злоумышленники, загружая поддельные приложения. Пока что это в основном приложения финансового сектора, но будут и другие.

Получается, что фишинговые схемы снова становятся актуальной угрозой.
Одни только технические инструменты информационной безопасности не решат сами по себе проблемы с «клонированием» сайтов. Тут может помочь разве что Threat Intelligence, постоянный мониторинг похожих доменов, их анализ и разделегирование. Ну и, конечно, постоянная работа с клиентами e-com компаний, их обучение, предупреждение, попытки остановить от перехода на другие сайты с официального, информационные рассылки и другие подобные мероприятия. Это целиком лежит на плечах компании, которая разрабатывает продукт.

На наш взгляд защищенность интернет-магазинов находится на весьма неплохом уровне, если говорить про тех, кто разрабатывает свои платформы самостоятельно. Компании понимают, что это основной источник их дохода, и любая проблема, связанная с безопасностью, приведет к прямым финансовым потерям. Если говорить про e-com, который использует как основу для своих площадок различные готовые решения, то такие компании напрямую зависят от их безопасности и уязвимостей, существующих в сторонних сервисах. Тут ситуация хуже, так как устранение этих проблем безопасности лежит на разработчике платформы. А компании необходимо оперативно узнавать об этих проблемах и проводить обновление.

Безусловно, электронная идентификация продавцов поможет решить часть проблем с социальной инженерией, когда на официальном сайте тебя пытаются увести на фишинговый домен. Но возникнет другая проблема, связанная с кражей аккаунтов. В таком случае, кто будет отвечать за мошенничество от имени аккаунта и как доказать, что это был не ты, а твою учетную запись взломали? Очевидно, что инициативу нужно дорабатывать.