Удаление мобильных приложений подсанкционных российских банков вызвало волну мошенничеств

«Сбер», в частности, предлагает клиентам скачать и запустить APK-файл (пакет установки, независимый от магазина Google Play). Но эксперты по кибербезопасности говорят о рисках для пользователей. Собеседник в одном из банков объясняет, что выложенный «Сбером» файл не проверяется Google на безопасность и наличие вирусов: «Сам файл на официальном сайта банка безопасен, но для скачивания пользователь должен дать согласие системе Android, что получает приложение из непроверенного источника».

Если ОС получает такое согласие, она в следующий раз не будет его запрашивать, чем могут воспользоваться мошенники, подчеркивает собеседник “Ъ”. Например, они могут разослать СМС-сообщения с предложением обновить приложение и ссылкой, которая окажется вредоносной. По мнению источника “Ъ”, банку стоило адаптировать веб-версию для мобильных устройств, как это сделал, например, ВТБ, что менее рискованно.

Мошеннические приложения могут выдать себя за APK-файл и перехватить системные разрешения, данные официальному приложению, отмечает гендиректор Института исследований интернета Карен Казарян. Банки могут реализовать механизм самообновления Android-приложений, уточняет он, «но с помощью приемов социальной инженерии можно обойти бдительность пользователей».

Мошенники уже начали рассылку сообщений в соцсетях со ссылкой на скачивание якобы незаблокированного приложения «Сбера», говорит гендиректор «Киберполигона» Лука Сафонов.

Под угрозой только пользователи Android, так как на iPhone нельзя установить приложения со сторонних платформ, добавляет ведущий аналитик отдела выявления цифровых угроз Infosecurity a Softline Company Александр Вураско. По его словам, опасность может заключаться в том, что пользователи начнут скачивать приложения не с официальных сайтов банков, а с внешних ресурсов вроде «Топ-100 приложений для Android».

Возникнут также неофициальные файлообменники, на которых якобы можно будет скачать полноценно работающее банковское приложение, полагает директор по специальным проектам Angara Security Александр Дворянский: «При скачивании пользователь компрометирует свои данные или получает на устройство вредоносный файл».

Адаптация веб-версий электронных банков к мобильным устройствам тоже не станет полноценным ответом на блокировки приложений.

Веб-приложения полагаются на ресурсы браузера и ограничены в доступе к аппаратной составляющей телефона, отметил глава отдела веб-разработки red_mad_robot Илья Крупнов. Из-за этого, по его словам, банки не смогут воссоздать в веб-версии часть функций, а пользовательский опыт будет «приемлемым, но отличающимся от опыта в приложениях».