CERT-In warnt Fintechs vor API-Übernahmen
Indiens Cybersicherheitsbehörde CERT-In hat eine dringende Warnung herausgegeben, dass Hacker über API-Übernahmen KYC-Prozesse umgehen, was zu unbefugten Geldtransfers führen kann.
Das indische Computer Emergency Response Team (CERT-In) und seine finanzbezogene Cybersicherheitseinheit CSIRT-Fin haben NBFCs, digitale Kreditplattformen, Fintech-Unternehmen und Zahlungsdienstleister vor koordinierten Cyberangriffskampagnen gewarnt. Diese Angriffe umgehen Berichten zufolge die Anforderungen zur Kundenkenntnis (KYC) durch die Übernahme von APIs, was zu unbefugten Geldtransfers führt. Die Beratung deutet darauf hin, dass Angreifer möglicherweise KI-Werkzeuge für diese Operationen nutzen.
Die am 9. Oktober herausgegebene "kritische" Beratung beschreibt, wie Bedrohungsakteure internetzugängliche Anwendungen und APIs kompromittieren. Anschließend stehlen sie Anmeldeinformationen für Zahlungsaggregator- oder Partnerbanken und rufen Auszahlungs-APIs direkt aus der eigenen Whitelist-Infrastruktur des Unternehmens auf. Diese Methode umgeht anwendungsbezogene Kontrollen wie die Kreditvergabe, KYC-Prüfungen und die Überprüfung von Begünstigten.
Betrügerische Transaktionen, die in der Beratung identifiziert wurden, weisen häufig Dummy-Referenz-IDs auf, überschreiten Transaktionslimits und transferieren Gelder auf von Angreifern kontrollierte "Maultierkonten" bei verschiedenen Banken. Gelder werden schnell über Sofortzahlungssysteme wie IMPS und NEFT transferiert und sofort abgehoben. CERT-In stellt eine deutliche Verkürzung der Zeit zwischen der ersten Kompromittierung und dem betrügerischen Transfer fest, was auf eine fortgeschrittene und schnelle Ausführung hindeutet.
CERT-In empfiehlt, dass Unternehmen Multi-Faktor-Authentifizierung (MFA) auf Zahlungsplattformen und Verwaltungsportalen erzwingen, statische Anmeldeinformationen durch sitzungsbezogene Authentifizierung ersetzen und ungenutzte APIs stilllegen. Die Beratung betont auch die Notwendigkeit verbesserter Bedrohungserkennung und erweiterter Überwachungsmöglichkeiten.
Obwohl die technischen Empfehlungen Standard-Sicherheitspraktiken darstellen, wurden ihre effektive Implementierung und die Gesamtwirksamkeit des Berichtsmechanismus von CERT-In von Cybersicherheitsexperten in Frage gestellt. Bedenken umfassen das Potenzial für eine oberflächliche Einhaltung ohne robuste Sicherheit und den einseitigen Informationsfluss an CERT-In ohne klare Rechenschaftspflicht für die Vertraulichkeit der Daten oder greifbare Erträge für meldende Unternehmen.