Wie Banken Man-in-the-Middle-Angriffe bekämpfen können
Digital Banking hat in den letzten Jahren an Popularität gewonnen und zeigt keine Anzeichen einer Verlangsamung. Ein Bericht über die britische Finanzlandschaft im Jahr 2020 ergab, dass nur 7,7% der britischen Bankkunden Filialbesuche bevorzugen, wobei die überwiegende Mehrheit Online- oder Mobilkanäle bevorzugt. Infolgedessen wurden Bankfilialen in ganz Großbritannien geschlossen Welche? Schätzungen zufolge ist das Filialnetz der britischen Banken in den letzten fünf Jahren um ein Drittel geschrumpft. Allein in diesem Jahr sind in Großbritannien 247 Filialschließungen fällig.
Dieser Trend in Richtung Digital wurde von den kundenorientierten Digital-Only-Challenger-Banken wie Monzo, Revolut und Starling angeheizt, die fast 20 Millionen Kunden zwischen sich beanspruchen. In den letzten Monaten hat die globale Coronavirus-Pandemie auch viele Verbraucher dazu gezwungen, digitale Bankplattformen einzuführen, wenn sie diese zuvor nicht genutzt haben, da Maßnahmen, die zu Hause bleiben, den einfachen Zugang zu Bankfilialen verhindert haben.
Während Digital Banking das allgemeine Kundenerlebnis verbessert hat, hat es auch das Angriffsziel für Cyberkriminelle erweitert, mit Bedrohungen wie Man-in-the-Browser- oder Man-in-the-Middle-Angriffe häufiger werden und schwerwiegende Folgen für die Kunden haben. Glücklicherweise gibt es eine Reihe von Technologien, die Banken implementieren können, um sich gegen solche Bedrohungen zu verteidigen, ohne die Benutzererfahrung des Digital Banking zu beeinträchtigen.
Mann in den mittleren Angriffen
Diese Angriffe treten auf, wenn ein Cyberkrimineller die Kommunikation zwischen dem Gerät eines Kunden und dem Bankenserver abfangen kann. Der Kriminelle kann dann die Details der Transaktion, wie den Betrag und das beabsichtigte Bankkonto, ändern, ohne dass der Kunde dies bemerkt. Infolgedessen könnte aus einer Standardtransaktion von 100 GBP eine Transaktion von 10.000 GBP werden, die direkt auf das Bankkonto der Kriminellen überwiesen wird.
Es gibt verschiedene Möglichkeiten, wie Kriminelle die Kommunikation abfangen können. Ein häufiges Beispiel ist jedoch, wenn ein Kunde einen öffentlichen WLAN-Hotspot verwendet. Diese sind oft unsicher und können von Cyberkriminellen leicht infiltriert werden. Wenn ein Kunde eine Transaktion über ein öffentliches WLAN-Netzwerk durchführt, teilt er möglicherweise unwissentlich vertrauliche Finanztransaktionsdaten über ein Netzwerk, das von einem Cyberkriminellen kontrolliert wird.
Bekämpfung des Menschen im mittleren Angriff durch Regulierung
In Europa ist die Überarbeitete Richtlinie über Zahlungsdienste (PSD2) hat Banken und Finanzinstitute dazu gedrängt, ihre Online- und Mobile-Banking-Angebote weiterzuentwickeln, und eine Reihe von Sicherheitsanforderungen eingeführt, um den Menschen bei mittleren Angriffen entgegenzuwirken.
Beispielsweise hat PSD2 neben der dynamischen Verknüpfung, die auch als Transaktionsdatensignatur bezeichnet wird, Anforderungen für eine starke Kundenauthentifizierung (Strong Customer Authentication, SCA) festgelegt. Die Anforderung der dynamischen Verknüpfung schützt eine Transaktion in drei Teilen.
Zunächst muss der Zahler die von ihm eingegebenen Transaktionsdaten wie den Betrag und den Zahlungsempfänger authentifizieren und bestätigen, dass diese korrekt sind. Anschließend wird ein Authentifizierungscode generiert, der mit den Transaktionsdaten verknüpft ist, sodass jede Änderung der Transaktionsdetails den Code ungültig macht.
Zweitens müssen die Vertraulichkeit und Integrität der Transaktionsdaten während des gesamten Authentifizierungsprozesses geschützt werden, damit sie nicht von Betrügern abgefangen und geändert werden können. Dadurch wird sichergestellt, dass der Authentifizierungscode basierend auf authentischen Transaktionsdetails generiert wird.
Drittens muss der Kunde über die Transaktionsdaten informiert werden, die er authentifizieren soll. Dies bedeutet, dass die Transaktionsdaten dem Kunden zum Zeitpunkt der Autorisierung vorgelegt werden müssen.
Bekämpfung des Menschen in der Mitte Angriffe durch Technologie
Die Cronto-Technologie ist eine Möglichkeit, mit der Banken Transaktionen überprüfen und Kunden vor Angriffen durch Menschen schützen können. Cronto ist über eine mobile App verfügbar und sichert den Kommunikationskanal zwischen dem Kunden und der Bank, um die Transaktionsdaten vor Änderungen zu schützen. Die Daten werden dann im Klartext dargestellt, damit der Benutzer bestätigen kann, dass sie mit der beabsichtigten Transaktion übereinstimmen, bevor er einen Authentifizierungscode basierend auf den Transaktionsdetails generiert.
Nur die Bank kann diesen Code generieren und er kann nur vom Mobilgerät des Benutzers entschlüsselt werden. Dieser einzigartige Ansatz zur Transaktionsüberprüfung vereinfacht die Benutzererfahrung, da die zur Authentifizierung einer Transaktion erforderliche Benutzerinteraktion reduziert wird. Kunden richten ihr Telefon einfach auf den Bildschirm, um das Bild zu scannen - im Wesentlichen ein farbiges QR-ähnliches Bild - und geben einen Antwortcode in den Browser ein . Auf diese Weise haben Hacker keine Chance, die Kommunikation der verschlüsselten Transaktionsdaten zwischen Bank und Kunden abzufangen bzw. zu manipulieren.
Auf diese Weise können Banken eine schnelle, benutzerfreundliche Sicherheitslösung anbieten, die Kunden schützt, Compliance sicherstellt und letztendlich die Benutzererfahrung verbessert.
Case Study
Raiffeisen Transforming the Customer Experience through Security
Raiffeisen Italy Implements Mobile Authentication & Mobile App Shielding for PSD2 Compliance and Ease of Use.
Read moreDieser Artikel, verfasst von David Vergara, Senior Director für Produktmarketing, erschien erstmals am 20. August 2020 am FinanceDerivative.com .
