Cybersäkerhetsmyndighet varnar fintech-företag för API-kapning

Indiens Computer Emergency Response Team (CERT-In) och dess finansrelaterade cybersäkerhetsenhet CSIRT-Fin har varnat digitala utlåningsplattformar, fintech-företag, betaltjänstleverantörer och plånboksoperatörer för samordnade cyberattackkampanjer. Dessa attacker möjliggör obehöriga överföringar och kan använda AI-verktyg.

Rådet, som utfärdades den 9 oktober och har klassificerats som "kritisk", anger att hotaktörer komprometterar internetanslutna applikationer och API:er. Därefter stjäl de inloggningsuppgifter till betalningsaggregatorer eller partnerbanker och "anropar utbetalnings-/överförings-API:er direkt inifrån enheternas egna vitlistade infrastruktur". Detta kringgår normala säkerhetskontroller som KYC-processer och verifiering av medel.

De bedrägliga transaktionerna, som rapporterats i rådet, använder falska referensidentifierare, överskrider gränser per transaktion och krediterar medel till "mullkonton" som kontrolleras av angripare hos flera banker. Medlen flyttas snabbt via IMPS- och NEFT-systemen och tas ut omedelbart. CERT-In misstänker att AI-stödda verktyg kan användas i attackerna, vilket avsevärt förkortar tiden mellan initial kompromettering och bedräglig överföring.

Myndigheten rekommenderar att företag implementerar multifaktorautentisering (MFA) på betalningsplattformar och administrationsportaler, ersätter långlivade statiska token med autentisering per session, och avvecklar oanvända API:er. Rådet betonar också behovet av att stärka hotdetektering och förbättra övervakningen.

Rådet har lett till diskussioner om cybersäkerhetsnivån i Indien. Experter har noterat att CERT-Ins rekommendationer är tekniskt kända, men att deras effektiva implementering och övervakning kräver kontinuerliga insatser. Dessutom har rapporteringsprocessens envägsnatur, där företag lämnar information till CERT-In utan tydlig ömsesidighet, väckt frågor om systemets funktion.