Kyberturvallisuusvirasto varoittaa fintech-yrityksiä API-kaappausten uhasta

Intian kyberturvallisuusvirasto (CERT-In) ja sen finanssialan kyberturvallisuusyksikkö CSIRT-Fin ovat varoittaneet digitaalisia lainausalustoja, fintech-yrityksiä, maksupalveluntarjoajia ja lompakko-operaattoreita koordinoiduista kyberhyökkäyksistä. Hyökkäykset mahdollistavat luvattomat rahansiirrot ja saattavat hyödyntää tekoälytyökaluja.

CERT-In:n 9. lokakuuta julkaiseman ja "kriittiseksi" luokitellun neuvonannon mukaan hyökkääjät kaappaavat internetiin yhdistettyjä sovelluksia ja API-rajapintoja. Tämän jälkeen he varastavat maksunvälittäjien tai kumppanipankkien API-tunnuksia ja käynnistävät rahansiirtokutsuja yritysten omasta sallittujen rajapintojen listasta. Tämä ohittaa tavanomaiset turvatarkastukset, kuten KYC-prosessin ja varojen todentamisen.

Hyökkäyksissä huijatut tapahtumat käyttävät väärennettyjä viitetunnisteita, ylittävät tapahtumarajoitukset ja siirtävät varat hyökkääjien hallitsemiin "muli-tileihin" eri pankeissa. Varojen siirto tapahtuu nopeasti IMPS- ja NEFT-verkoissa, ja ne nostetaan välittömästi. CERT-In epäilee, että hyökkäyksissä on saatettu käyttää tekoälyavusteisia työkaluja, mikä lyhentää merkittävästi aikaa alkuperäisen tunkeutumisen ja petollisen siirron välillä.

Virasto kehottaa yrityksiä vahvistamaan monivaiheisen tunnistautumisen (MFA) maksualustoissa ja hallintaportaaleissa, käyttämään lyhytikäisiä istuntokohtaisia tunnuksia staattisten tunnusten sijaan ja poistamaan käytöstä tarpeettomat API-rajapinnat. Neuvonanto korostaa myös tarvetta tehostaa uhkien torjuntaa ja parantaa valvontaa.

Neuvonanto on herättänyt keskustelua kyberturvallisuuden tasosta Intiassa. Asiantuntijat ovat todenneet, että CERT-In:n suositukset ovat teknisesti tunnettuja, mutta niiden tehokas käyttöönotto ja valvonta vaativat jatkuvaa panostusta. Lisäksi raportointiprosessin yksisuuntaisuus, jossa yritykset antavat tietoja CERT-In:lle ilman selkeää vastavuoroisuutta, on herättänyt kysymyksiä järjestelmän toimivuudesta.