Безопасность мобильного банкинга: атаки, которые реально случаются
Теоретических моделей угроз бесконечно много. Что реально кусает клиентов банков в 2025-м? Реалистичный короткий список и простые защиты.
Пройдитесь по любому форуму по безопасности — сотни экзотических сценариев. На практике 95% успешных захватов банковских аккаунтов в Европе попадают в четыре категории. Если защищены от этих четырёх — вы впереди среднего пострадавшего.
1. Фишинг
SMS или письмо убеждает вас кликнуть на ссылку, выглядящую как страница входа банка. Вы вводите учётные данные. Атакующий проксирует ваш ввод в настоящий банк в реальном времени. Когда вы вводите SMS-код 2FA — он сразу отправляет его. К тому моменту, когда вы поняли, он уже внутри.
Защита: никогда не вводите учётные данные по ссылке из сообщения. Открывайте банковское приложение напрямую или вводите URL сами. Если банк поддерживает passkeys или аппаратные ключи — мигрируйте, они нефишабельны по архитектуре.
2. SIM-swap
Атакующий социально-инженерит вашего оператора, чтобы перенести номер на свою SIM. Триггерит «забыл пароль» и перехватывает SMS-код.
Защита: уйдите с 2FA по SMS на приложение-аутентификатор или passkey. Позвоните оператору и попросите поставить «port lock» или «PIN-защиту».
3. Вредоносные приложения
Вы ставите бесплатную утилиту (фонарик, VPN, cleaner), которая просит разрешения accessibility. В фоне читает экран банковского приложения и перехватывает ввод PIN. Распространено на Android, реже на iOS благодаря жёсткому песочницу.
Защита: крайне консервативно выдавайте accessibility. Ставьте приложения только известных издателей. Раз в несколько месяцев ревью списка приложений — удаляйте неиспользуемые.
4. Захват аккаунта через утёкший пароль
Вы использовали один пароль на двух сервисах. У одного (не банка) утечка, ваш хэш пароля опубликован. Атакующий пробует его в каждом крупном банке и попадает туда, где вы его переиспользовали.
Защита: уникальный пароль на сайт. Используйте менеджер паролей — любой лучше, чем переиспользование. Включите 2FA, чтобы одного утёкшего пароля было недостаточно.
Что переоценено как угроза
Случайный Wi-Fi в кафе (TLS защищает). Чьё-то подглядывание через плечо (банковские приложения маскируют ввод). Взлом самого банка (редко, а если случается — вас компенсируют). Это не ничто, но не там, где теряются аккаунты реально.