کلاهبرداری فیشینگ جدید به طور خاص مشتریان “BoA” را هدف قرار داده است. شاید گمان کنید که رخنه گران از به کارگیری کلاهبرداری های فیشینگ برای حمله به مشتریان بانکی در سراسر جهان خسته شده اند، اما مشتریان بانک‌های آمریکایی همچنان با دشواری‌های این روش رویاروی هستند.
“HackRead” حملۀ فیشینگی ست که حمله به مشتریان “BoA” را بررسی کرده است. رخنه گران پس از جزئیات کارت اعتباری، اطلاعات شخصی را نیز با استفاده از وبگاهی که در یک سرور روسی میزبانی می شود، می‌بینند. درحالی که شاهدی نداریم که رخنه گران، روس هستند یا به دولت روسیه ربط دارند، این حمله متکی به روش های سنتی است که شامل: فرستادن رایانامه و درخواست جزئیات از کاربران برای زمانی که بخواهند با محدودیت های خاص، از حساب های بانکی شان برداشته شود.

منابع:

🌏: http://news.softpedia.com
🇮🇷: کاشف

🌐منبع خبر: خبرگزاری ایسنا

در همآیش کلاه سیاه‌ها در آمریکا، پژوهشگران حوزۀ امنیت اعلام کردند که دو حملۀ متمایز به “ApplePay” – با استفاده از نقاط ضعف روش پرداخت تلفن همراه – طراحی شده اند. امروزه “ApplePay” یکی از امن ترین سامانه های پرداخت محسوب می شود اما پژوهشگران ادعا می کنند که دو مسیر احتمالی حمله را یافته‌اند.
نخستین حمله ای را که پژوهشگران معرفی کردند، نیازمند دستگاهی جیلبریک شده ست تا کار را به پایان برساند؛ به این معنی که: مهاجمان باید دستگاه جیلبریک شده را با بدافزارها آلوده کنند. هنگامی که تلفن همراه آلوده شد، مهاجمان می توانند مانع رسیدن اطلاعات پرداخت به سرور اپل شوند و هنگامی که رخنه گران با موفقیت دستگاه‌ها را به بدافزارها آلوده کردند، امتیازات اساسی را به دست آورده‌اند و به هدف خود رسیده‌اند.
در حمله دوم، نیازی به دستگاه جیلبریک شده نیست، زیرا رخنه گران از ترافیک تراکنش “SSL” جلوگیری می کنند یا آن را دستکاری می کنند. مهاجمان در داده‌های تراکنش، برای مثال: مبلغ پرداخت شده را تغییر می‌دهند یا در جزئیات تحویل کالاهای سفارش شده دست می‌برند. مهاجمان می‌توانند جزئیات کارت‌های ربوده شده را در حساب آیفون خود ثبت کنند تا پرداخت ها از جانب قربانیان انجام شود و آنگاه، ایشان می‌توانند ترافیک “SSL” میان دستگاه و سرور اپل را برای پرداخت‌های جعلی رهگیری کنند.

منابع:

🌏: http://securityaffairs.co
🇮🇷: کاشف

مدیر کل سازمان امور مالیاتی کشور از ارسال اطلاعات حساب های با گردش بالای ۵۰۰ میلیون تومان در سال از طریق بانک ها به سازمان مالیاتی خبر داد.
علی رستم‌پور-مدیرکل اطلاعات مالیاتی سازمان امور مالیاتی با بیان اینکه سازمان امور مالیاتی نه تنها با بانکها بلکه با تمام اشخاص و دستگاههای که مشمول حکم ماده ۱۶۹ مکرر قانون مالیاتهای مستقیم شده‌اند، بعد از ابلاغ آیین نامه اجرایی در  دی ماه جلسات متعددی را  برگزار کرده است، به تسنیم گفت: با توجه به گستردگی حجم اطلاعات که در قانون پیش بینی شده است، این فرایند زمان بر است. در واقع اقلام اطلاعاتی که در برخی سازمانها وجود دارد با زیر ساخت استانداردی که در سازمان مالیاتی مطابق قانون ایجاد شده همخوانی ندارد. به عبارت دیگر دستگاهها  اطلاعاتی را دارند که قابل استفاده برای سازمان نیست و برای این موضوع باید چاره اندیشی شود.
به گفته رستم پور، بر اساس قانون، آیین نامه دریافت اطلاعات مالی از بانکها باید با مشارکت بانک مرکزی تدوین شود، که بعد از تدوین این آیین نامه توسط دو وزیر یعنی وزرای اقتصاد و دادگستری، به سازمان مالیاتی ابلاغ شده است. در این آیین نامه، توافق حاصل شد که سازمان مالیاتی برای دریافت اطلاعات پولی سراغ بانکها نرود و اطلاعات مالی مورد نیاز (از جمله بسته ۵ پولی )را از بانک مرکزی تامین کند، بانک مرکزی نیز این پیشنهاد را پذیرفت و قرار شد بانک مرکزی اطلاعات مورد نیاز سازمان را جمع آوری کند و اطلاعات طبقه بندی شده بر اساس آیین نامه را به سازمان تحویل دهد.

اطلاعات حسابها با گردش بالای ۵۰۰ میلیون تومان دریافت خواهد شد

وی ادامه داد: بر مبنای توافق دیگری که با بانک مرکزی صورت گرفت، حد آستانه بررسی اطلاعات پولی شاخص ۵۰۰ میلیون تومان در نظر گرفته شد. به این معنا که اگر گردشهای سالیانه تمام حسابهای  فرد، کمتر از ۵۰۰ میلیون تومان بود این اطلاعات از طرف سازمان مورد بررسی قرار نگیرد. دو دلیل عمده برای این موضوع در نظر گرفته شد، نخست آنکه عمده حسابهای زیر ۵۰۰ میلیون مشمول مالیات زیادی نمی‌شوند و از سوی دیگر در شروع کار سازمان در بررسی حسابهای بانکی، بررسی تمام این حسابها به یک فرایند پیچیده  تبدیل می‌شد.

 ترس از فرار سپرده ها با اجرای ناقص دریافت اطلاعات از سیستم بانکی

دغدغه بانکها عملکرد یکپارچه رقباست

استفاده از اطلاعات بانکها در تعیین رتبه ریسک حسابرسی مودیان

امسال بدنبال راستی آزمایی سیستمی هستیم

باج‌افزار سربر که تاکنون چندین به روزرسانی را نیز از سر گذرانده است و پیش بینی می شود عوامل پشت پرده اش «روس» باشند، اکنون و از سر نو، تکامل یافته است. نسخه جدید این باج‌افزار دارای ویژگی جدیدی است که به مهاجمین اجازه می‌دهد تا داده‌ها و اطلاعات مربوط به کیف‌های پول بیت کوین را برباید؛ همچنین، این باج افزار می تواند گذرواژه‌های ذخیره شده روی مرورگرهای معروف مانند: اینترنت اکسپلورر، کروم، موزیلا را برباید و به روزرسانی نیز شده است تا بتواند داده‌ها و اطلاعات مربوط به برنامه‌های کیف پول بیت کوین مانند: Bitcoin Core، Electrum و Multibit را هم به دست آورد.
با توجه به گزارش پژوهشگر حوزۀ امنیت در ترندمیکرو، در حالیکه گذرواژه های ربوده شده ممکن است به مهاجمان برای جعل هویت افراد کمک کنند، اما اطلاعات ربوده شده از کیف های پول بیت کوین ممکن است چندان به کار مهاجمان نیآیند. شایان گفتن است که ربودن این فایل ها موجب به خطر افتادن بیت کوین‌ها ذخیره شده نمی‌شود.

منابع:

🌏: https://amp.ibtimes.co.uk
🇮🇷: کاشف

تحلیلگران بدافزار در شرکت پاد-بدافزار روسی “Dr.Web”، تروجان تریآدا را در ثابت‌افزار چندین گوشی هوشمند اندرویدی از جمله Leagoo M5 Plus ،Leagoo M8 ،Nomu S10 و Nomu S20 یافته اند. کارشناسان بر این باورند که مهاجمان، زنجیره‌ موجود در تعداد کمی از تلفن‌های هوشمند از مدل‌های فوق را آلوده‌اند.
تروجان تریآدا در عملیات کرنل سیستم عامل اندروید Zygote – جزء به کار رفته در راه‌اندازی برنامه‌های دستگاه‌های تلفن همراه – یافت شد. پژوهشگران آزمایشگاه کسپرسکی، تروجان یادشده را – نخستین بار – در مارس ۲۰۱۶ یافتند؛ در آن زمان، همگان آن را به‌عنوان پیشرفته‌ترین تهدید تلفن همراه می شناختند.
طیف وسیعی از روش‌های استفاده‌شده توسط مهاجمان برای به خطر انداختن دستگاه‌های تلفن همراه، در هیچ بدافزار تلفن همراه شناخته شده‌ دیگر اجرا نشد. تریآدا با هدف خاصی و برای اجرای کلاهبرداری‌های مالی طراحی شده است که معمولا معاملات مالی پیامکی را می ربوده است. جالب‌ترین ویژگی اش – از نظر معماری ماژولار – این ست که به لحاظ نظری، طیف وسیعی از توانایی‌ها را ارایه می‌دهد.

منابع:

🌏: http://securityaffairs.co
🇮🇷: کاشف

🌐منبع خبر: روزنامه دنیای اقتصاد

مرکز ماهر در اطلاعیه‌ای اعلام کرد حملات باج افزارها به سامانه‌های بیمارستانی کشور، خسارات جبران‌ناپذیری را به بار آورده است.
در اطلاعیه مرکز ماهر آمده است: در هفته های اخیر، گزارشات متعددی از حمله باج افزارها به سرورهای ویندوزی ازجمله چندین سامانه بیمارستانی در کشور واصل شده است که خسارات جبران ناپذیری به بار آورده است. بررسی های فنی نشان داده که در بسیاری از این حملات،  مهاجمان با سوءاستفاده از دسترسی به سرویس دسترسی از راه دور در سیستم عامل ویندوز که مبتنی بر پروتکل RDP است، وارد شده، آنتی ویروس نصب شده را غیرفعال می کنند و با انتقال فایل باج افزار، اقدام به رمزگزاری فایل های سرور می کنند. حتی در مواردی، مشاهده شده است که مهاجمان، با صرف زمان کافی و پس از کسب شناخت و انجام انواع دیگری از سوء استفاده های ممکن، زمان و الگوی انجام پشتیبان گیری از اطلاعات را نیز شناسایی کرده و موفق به انجام حملات باج افزاری بی نقص شده اند.
براساس این گزارش در این حملات، مهاجم با سوء استفاده از نسخه های آسیب پذیر سرویس Remote Desktop ، رمز عبور ضعیف، تنظیمات ناقص یا بی احتیاطی در حفاظت از رمز عبور، وارد سرورها می شوند. به منظور جلوگیری از وقوع این حملات لازم است که تا حد امکان، نسبت به مسدود کردن سرویس های غیر ضروری Remote Desktop روی سرورهای در دسترس از طریق شبکه اینترنت اقدام کرد و در صورت ضرورت و غیرقابل اجتناب بودن ارایه این امکان در بستر اینترنت، به دقت مواردی را که در این گزارش توصیه می شود، رعایت کرد. همچنین یادآور می شود که فعال بودن دسترسی Remote Desktop به صورت حفاظت نشده در سطح اینترنت، سرور و داده ها را جدا در معرض خطر قرار خواهد داد.

پیشنهادات مرکز ماهر

یکی از مسایل مهمی که درباره شرکت‌‎های پرداخت وجود دارد کارمزها و تعرفه‌هایی است که حول محور آنان وجود دارد. البته که تمام هزینه‌ها روی دوش بانک‌هاست و شاپرک نیز از کارمزدها بهره‌مند می‌شود. یکی از کارشناسان مطرح حوزه پرداخت و فناوری اطلاعات در گفت و گو با پایگاه خبری بانکداری الکترونیک می‌‌گوید نظام تعرفه‌ای باید دگرگون شود و درصد کارمزدها بین همه کسانی که به نوعی به پرداخت الکترونیک و تراکنش‌ها مربوط اند تقسیم شود.
هوشنگ بشارتیان (رئیس هیات مدیره سابق شاپرک) گفت: درباره ایجاد تشکل صنفی برای شرکت های پرداخت دو نوع دیدگاه مطرح است. یکی تشکل برای psp‌ها و دیگری تشکل‌ بانک‌ها. در مقابل هم دو ناظر وجود دارد که بانک مرکزی و شاپرک است. ساختار مطلوب این است که در روند فعالیت شرکت‌های پرداخت یک ریگولاتور نقش داشته باشد. یعنی شاپرک به اصالت خود بازگشسته و توسط بانک‌ها اداره شود نه ادارات بانک مرکزی.
او افزود: این بدیهی است که شرکت‌های پرداخت نمی‌توانند ریگولاتور خودشان باشند. بنابراین بانک مرکزی ریگولاتوری شرکت‌های پرداخت الکترونیک را به بانک‌ها واگذار کند به طور کلی وجه حاکمیتی بانک مرکزی و اینکه در تصدی گری دخالت می‌کند در تعارض است.
این کارشناس پرداخت الکترونیک و فناوری اطلاعات با اشاره به اینکه بخش زیادی از درصد مالکیت شرکت‌های پرداخت بر خلاف اساسنامه در اختیار بانک‌هاست، عنوان کرد: قرار بود بخش عمده این سهام به بخش خصوصی واگذار شود و بانک‌ها دخالتی در روند آن نداشته باشند، اما الان در اختیار بانک‌ها هستند که یک نقص است.
بشارتیان، خاطرنشان کرد: تشکل صنفی شرکت‌های پرداخت به خودشان سپرده شود و  هم از طرف تشکل بانک‌ها و هم از طرف بانک مرکزی دخالت مستقیم صورت نگیرد.. بدین معنا ه مثلا کنترل‌هایی که شاپرک در مطالعات میدانی در نظر می‌گیرد، توسط نمایندگان شرکت‌های پرداخت انجام شود. به عبارت دیگر بازرسان باید از دل صنف بیرون بیایند نه از شاپرک و دیگر ناظران. شاپرک که ناظر محسوب می‌شود در بخش ریگولاتوری، تنظیم مقررات، تهیه دستورالعمل‌ها، توسعه ساختار و سازمان و امینت شبکه فعالیت کند.
او درباره محل ایجاد تشکل گفت: اینکه صنف در کجا باشد زیرمجموعه چه جایی ایجاد شود، مهم نیست. البته بسیار خوب است که با اتاق بازرگانی ایران ارتباط داشته باشد، اما مهم تقسیم وظایف و بازتعریف سیستم ها و فرانیده هاست. مهم این است که جایی باشند که در آن رگولاتوری‌های IT سامان بگیرد. برای مثال سازمان فناوری اطلاعات گفته است که باید نرم افزارهای دولتی مالی گواهینامه معتبر داشته باشند.
این کارشناس پرداخت الکترونیک و فناوری اطلاعات با بیان اینکه تعرفه‌ها و کارمزدها قابل تقسیم هستند، اظهار داشت: نظام تعرفه‌ها باید دگردگون شده و درصد  کارمزدها باید باز طراحی شود. به عبارت دیگر قیمت‌ها باید به نفع مردم و بانک‌ها کاهش پیدا کند.
رئیس سابق هیات مدیره شاپرک گفت: علی القاعده بخش کوچکی از تعرفه‌های وضع شده می‌تواند هزینه‌های جاری یک شرکت ریگولاتور مانند شاپرک باشد؛ به شرطی که درصد بسیار کمی هم منافع بانک‌ها را تامین کند.

🌐منبع خبر: پایگاه خبری بانکداری الکترونیک