Голосовой ассистент Siri позволяет пользоваться SMS-банкингом и совершать денежные переводы при заблокированном экране iPhone. Банкиры признают наличие проблемы, а эксперты по безопасности предупреждают о возможном всплеске случаев мошенничества. Издание РБК узнало об угрозе от сотрудника Сбербанка и протестировало гаджет Apple. Как оказалось, определенной последовательности команд достаточно для перевода средств со счета, привязанного к номеру телефона.
Уязвимость можно устранить: запретить доступ к Siri при блокировке экрана. Если этого не сделать, то мошенник может попросить голосового помощника отправить сообщение и прочитать его. Благодаря Siri не составляет труда, например, узнать код подтверждения операции, который присылает Сбербанк. Тестирование показало, что вся операция перевода занимает около двух минут.
Чтобы украсть деньги с карты, злоумышленнику потребуется чужое устройство Apple с установленной Siri и подключенным дистанционным сервисом. Помимо Сбербанка услуги SMS-банкинга оказывают, в частности, Альфа-банк, Газпромбанк, «АК БАРС». В Сбербанке заявляют, что работают с Apple. На уровне операционной системы не должно быть возможности манипуляции функциональностью Siri и SMS-банкинга, говорят в кредитной организации.
В Альфа-банке не знают ни одного случая подобного мошенничества. Там считают, что кражи при помощи Siri не будут носить массовый характер, поскольку владельцы iPhone нечасто оставляют гаджеты без присмотра. Ограничением для мошенников может стать сложность SMS, которую необходимо отправить, уверен начальник управления мониторинга электронного бизнеса Альфа-банка Владимир Бакулин. Отправить деньги на чужой сотовый телефон у него не получилось.
Банки пытаются снизить риск мошенничества различными способами. В Сбербанке и Альфа-банке уже действуют ограничения по максимальной сумме перевода с помощью SMS. Кроме того, служба мониторинга Альфа-банка реагирует на нестандартные транзакции и при проведении подозрительной операции звонит клиенту.
Руководитель направления «Аудит и консалтинг» Group-IB Андрей Брызгин напоминает, что в последней версии операционной системы Apple дала голосовому помощнику доступ к мобильным приложениям. По его мнению, разработчики мобильного банкинга наверняка будут пользоваться этой возможностью и официально разрешат отправлять платежи при помощи Siri.