Информационная безопасность в электронной коммерции

Информационная безопасность

Основная статья Информационная безопасность

Электронная коммерция

2019

Fortinet: Из-за киберугроз онлайн-шопинг все больше похож на боевую операцию

Специалисты по безопасности компании Fortinet советуют не только вводить для онлайн-шопинга дополнительные меры безопасности, но и готовится к нему заранее, проводя настоящую разведку благонадежности сайта продавца и устраняя уязвимости в собственных гаджетах[1].

Подготовка

Так, перед началом шоппинга необходимо убедиться, что используемые устройства, системы, браузеры и приложения обновлены до последних версий. Особенно важно обновлять и устанавливать патчи для операционных систем на всех используемых гаджетах.

Помимо этого надо проверить наличие антивируса и сменить пароли на более надежные. Также для расчетов следует приготовить специальную карту. Не лишним будет создать на компьютере или гаджете специальную виртуальную машину, которая позволит ограничить киберугрозу своими границами. А также установить многофакторную аутентификацию на важных для вас сайтах. Делая это, «не ограничивайтесь исключительно проверкой через SMS, используйте специальные инструменты типа Google Authenticator или YubiKey», — советуют профессионалы.

Осуществляя онлайн-покупки необходимо удостовериться в наличии SSL-шифрования: «В целях безопасности дополнительно проверьте, что безопасное соединение установлено, прежде чем нажать на кнопку „Купить`. Для этого достаточно посмотреть на адресную строку и убедиться, что в начале стоит https://, а не http://. Рядом должен находиться маленький значок с изображением закрытого замка. Если он присутствует, значит, передача данных защищена. Хорошим дополнением для безопасности транзакций будет использование фильтрации контента и блокировки рекламы с помощью популярных плагинов с открытым кодом HTTPS Everywhere и uBlock Origin, которые доступны для большинства браузеров бесплатно». Помимо этого используйте для покупок VPN-соединение (виртуальную частную сеть).

Проверка продавца

Особое внимание стоит уделить самому сайту продавца. Прежде чем воспользоваться им, надо провести ряд действий. Они заключаются в следующем: «Наведите указатель мыши на ссылку, и ее URL-адрес появится в виде всплывающего окна или внизу программы просмотра электронной почты или браузера. Внимательно изучите содержимое строки, прежде чем щелкнуть на ней. Все выглядит нормально? Нет ли в адресе слишком много дефисов или цифр, не выглядит ли он слишком длинным? Совпадает ли URL-адрес сайта с надписью на ссылке или ведет куда-то в другое место? Нет ли подмены букв цифрами, например, amaz0n.com? Внимательно изучите URL-адрес, прежде чем перейти по ссылке. Можно скопировать его в сервис поиска доменов, например, who.is. Это даст полную информацию, в том числе о том, когда сайт был создан, где расположен физически, данные о владельце. Проявляйте недоверие к любым ссылкам, если они были созданы недавно или зарегистрированы в другой стране».

Помимо этого необходимо проверить дизайн сайта и его функциональность, описание на нем товаров и методы оплаты за них. Стоит доверять лишь тем сайтам, где для оплаты принимаются кредитные карточки основных типов. «Следует избегать сайтов, где предлагается платить с помощью прямых банковских платежей, денежным переводом или с использованием сервисов без возможности отслеживания платежей. При возможности лучше использовать PayPal или платежные системы с маркировкой Verified by Visa — это позволит дополнительно защитить банковские счета и активы».

Стоит уделить особое внимание самому товару и цене на него. «Помните, если предложение выглядит слишком хорошо, чтобы быть правдой, обычно так и есть. Конечно, иногда встречаются действительно выгодные предложения. Но в целом неправдоподобно низкие цены и легкая доступность редких товаров являются значимыми признаками возможного мошенничества или продажи подделок».

В целом же онлайн-шоппинг и развитие цифровых платформ преображают наш мир, открывая быстрый доступ к более широкому ассортименту товаров, чем когда-либо ранее в истории. Однако расширение возможностей влечет за собой и появление новых рисков, с которыми следует считаться.

Qrator Labs: Онлайн-ритейл в России наиболее подвержен DDoS-атакам и взломам

13 ноября 2019 года компания Qrator Labs, специализирующаяся на противодействии DDoS-атакам и обеспечении доступности интернет-ресурсов, представила результаты исследования информационной безопасности в российском секторе e-commerce в 2019 году. Опрос был организован среди российских представителей розничной торговли, ведущих бизнес в интернете (средний и крупный бизнес).

По данным опроса, проведенного в 3 квартале 2019 года, респонденты, представляющие средний и крупный e-commerce, наиболее часто сталкивались за последний год с DDoS-атаками (34%) и взломами (26%). При этом 10% отмечают, что в принципе не фиксировали серьезных инцидентов кибербезопасности.

«Серьёзные, дорогие DDoS-атаки обычно проводятся либо в рекламных целях — демонстрация возможностей злоумышленников или же «проба пера», — либо за счёт заказчика, как правило, прямого конкурента жертвы. В России основная битва ритейлеров, в которой в ход идут любые средства, как обычно, происходит не между крупными магазинами, а между небольшими, часто региональными, компаниями. Современный российский крупный e-commerce — это цивилизованная среда, и DDoS-атаки на него — в основном среднего и низкого уровня, непрофессиональные и производимые, как правило, с целью вымогательства. С крупными и серьезными атаками заметные на рынке e-commerce-компании в массе своей сталкиваются реже»,

Более половины опрошенных отмечают рост DDoS-атак за последний год. В то же время, по мнению еще трети опрошенных, уровень этой угрозы за 12 месяцев не изменялся. Треть опрошенных ритейлеров регулярно сталкивались за последний год с DDoS-атаками. 18% респондентов допускают, что могли не зафиксировать или не идентифицировать корректно небольшие инциденты.

Основным мотивом таких атак большинство респондентов из среднего и крупного e-commerce считают фактор вымогательства. Недобросовестная конкуренция находится на втором месте. В частности, компании из продуктового сектора в целом заказных атак от конкурентов не опасаются.

«Вымогательство часто становится основным мотивом при атаках на средний и крупный ритейл. Организовав атаку, например, во время «черной пятницы», злоумышленник может требовать серьезных сумм за приостановление нападения. Если магазин к атаке не готов, то даже весьма внушительные запросы атакующих будут удовлетворены. Также атака может быть приурочена к старту активной рекламной кампании. В то же время, поскольку происходит активная консолидация рынка, индустрия стабилизируется, то организация атак по причине недобросовестной конкуренции отходит на второй план и наблюдается в основном в регионах и сегментах, где активен малый ритейл»,

Наиболее эффективным средством защиты от DDoS-атак 42% респондентов считают аппаратное решение, размещенное на собственной инфраструктуре. Более четверти – операторское решение. Услугами распределенной сети фильтрации пользуются 18% опрошенных.

Первый способ, к которому обычно прибегают ритейлеры, — это организация самостоятельной защиты путем установки средств противодействия на собственном сервере. Однако подобный вид мер безопасности способен нейтрализовать лишь самые простые атаки и в большинстве случаев не дает положительного результата. Некоторые ритейлеры предпочитают полагаться на облачное масштабирование серверных мощностей, в облаках наподобие Amazon, однако в случае организации DDoS-атаки компании также придется оплачивать весь «мусорный» трафик, ведь ни одно публичное облако не будет отрабатывать паразитные пакеты бесплатно.

Средний и крупный e-commerce уже имеет достаточно средств на покупку дорогостоящего «железа» для защиты, однако, как правило, закупает и устанавливает оборудование без предварительно заказанного и рассчитанного проекта, включающего в себя анализ потенциальных рисков атак. Купленные, фактически, наудачу продукты, тем не менее, часто выдерживают подаваемую на них нагрузку, поскольку ввиду устоявшегося рынка серьёзные атаки на крупный e-commerce очень редко проводятся.

При приобретении WAF-решения (Web Application Firewall) большинство опрошенных (54%) сфокусированы на защите от взлома, на втором месте — защита от перебора паролей. Часто муссировавшаяся в течение года тема защиты от парсинга волнует респондентов из среднего и крупного бизнеса намного в меньшей степени. Основной причиной взломов респонденты считают нарушение работоспособности магазина, также часто упоминается кража пользовательской базы.

Более 60% отмечают, что сталкиваются (постоянно или периодически) с ботами, мешающими рабочей деятельности. Современный ритейл действительно страдает от нападений, организованных с помощью ботов и направленных на прикладной уровень сайтов, то есть на сами веб-страницы.

Боты также занимаются перебором паролей на сайтах крупного ритейла с целью кражи учетных данных в программах лояльности, позволяющих получить товар за накопленные баллы, или с целью покупки товаров по привязанной к онлайн-магазину пластиковой карте взломанного пользователя. Для перебора также используются многочисленные базы, включающие себя пары email-пароль, от других взломанных ресурсов — как те, которые есть в публичном доступе, так и приватные. Существуют также боты, занимающиеся анализом цен и товарного ассортимента – так называемый web scraping (парсинг).

Смотрите также

Контроль и блокировки сайтов

Анонимность

Критическая инфраструктура

Импортозамещение

Информационная безопасность и киберпреступность

• Киберпреступность в мире
• Требования NIST
• Глобальный индекс кибербезопасности
• Кибервойны, Кибервойна России и США
• Киберпреступность и киберконфликты : Россия, ФСБ, Национальный координационный центр по компьютерным инцидентам (НКЦКИ), Центр информационной безопасности (ЦИБ) ФСБ, Следственный комитет при прокуратуре РФ, Управление К БСТМ МВД России, МВД РФ, Министерство обороны РФ, Росгвардия
• Киберпреступность и киберконфликты : Украина
• Киберпреступность и киберконфликты : США, Пентагон, ЦРУ, АНБ, NSA Cybersecurity Directorate, ФБР, Киберкомандование США (US Cybercom), Министерства обороны США, NATO, Department of Homeland Security, Cybersecurity and Infrastructure Security Agency (CISA)
• Киберпреступность и киберконфликты : Европа, ENISA, ANSSI
• Информационная безопасность в Германии
• Информационная безопасность во Франции
• Tactical Edge Networking (военный интернет)
• Киберпреступность и киберконфликты : Израиль
• Киберпреступность и киберконфликты : Иран
• Киберпреступность и киберконфликты : Китай
• Импортозамещение информационных технологий в Китае
• Как США шпионили за производством микросхем в СССР

Примечания

Источник