- Pembangunan aplikasi perbankan ialah sasaran yang baru muncul untuk serangan siber.
- Kerentanan dalam automasi dan perpustakaan pihak ketiga memudahkan penyusupan perisian hasad.
- Mengintegrasikan keselamatan dari permulaan pembangunan adalah kunci kepada perlindungan.
- Pengguna mungkin terjejas tanpa apl akhir menunjukkan sebarang kelemahan keselamatan.
Dalam beberapa tahun kebelakangan ini, ancaman yang menyasarkan perisian perbankan telah berkembang , memaksa bank tradisional dan neobank untuk memikirkan semula strategi keselamatan siber mereka. Walaupun penipuan digital sebelum ini tertumpu pada menipu pengguna akhir melalui teknik seperti pancingan data, hari ini sasaran utama telah beralih kepada proses pembangunan aplikasi perbankan, yang membolehkan penyerang menyusup masuk ke sistem jauh sebelum aplikasi mencapai peranti mudah alih pelanggan.
Pakar menegaskan bahawa keselamatan perkhidmatan perbankan tidak lagi bergantung sepenuhnya pada perlindungan peranti atau kesedaran pengguna , tetapi juga pada setiap pautan dalam rantaian penciptaan, pengemaskinian dan pengedaran perisian. Ini menimbulkan cabaran baharu untuk sektor kewangan dan pembangun yang bertanggungjawab untuk mencipta alat digital yang selamat.
Risiko dalam rantaian pembangunan perisian perbankan
Membangunkan aplikasi perbankan melibatkan rantaian pengeluaran teknologi yang kompleks : daripada menulis kod sumber dan mengintegrasikan pelbagai perpustakaan hingga mengautomasikan proses kompilasi dan penggunaan. Setiap langkah ini mewakili potensi kelemahan yang boleh dieksploitasi oleh penyerang untuk memperkenalkan kod berniat jahat tanpa mudah dikesan.
Salah satu risiko yang semakin meningkat timbul apabila penjenayah siber menjangkiti perisian semasa fasa pembangunan, mengeksploitasi sebarang pengawasan atau kekurangan semakan dalam komponen dan alatan yang digunakan. Ini membolehkan mereka memasukkan fungsi tersembunyi yang, setelah aplikasi dipasang pada peranti pengguna, membolehkan mereka mencuri kelayakan, memintas transaksi atau mengakses data kewangan sensitif.
Tekanan untuk melancarkan ciri baharu dalam masa yang semakin mengecil mendorong banyak institusi kewangan untuk bergantung pada proses yang sangat automatik. Jika mana-mana skrip, robot perisian atau sistem penyepaduan berterusan ini diubah, hasilnya boleh menjadi apl yang kelihatan sah tetapi mudah terdedah kepada bahaya.
Mengesan ancaman ini adalah rumit . Menurut pakar dalam bidang ini, kawalan konvensional sering gagal mengenal pasti perubahan kecil yang berniat jahat dalam pustaka luaran, pemalam atau rangka kerja, terutamanya apabila ia datang daripada komuniti sumber terbuka atau pihak ketiga yang diaudit dengan buruk.
Automasi: Kecekapan atau Kelemahan?
Alat yang mempercepatkan pelancaran ciri-ciri baharu—seperti integrasi berterusan dan penggunaan berterusan—merupakan faktor pembezaan bagi bank moden, tetapi juga permukaan serangan yang semakin meningkat . Kesilapan mudah dalam menyelenggara skrip automatik ini boleh mencukupi untuk penyerang menyuntik kod berniat jahat sejurus sebelum pengedaran akhir kepada pengguna, memintas kawalan tradisional dan tandatangan digital jika tidak dilaksanakan dengan betul.
Cabaran bagi institusi kewangan dan fintech adalah untuk menambah lapisan perlindungan, pengauditan dan pengesahan pada setiap peringkat, bagi memastikan produk akhir tidak diusik semasa proses tersebut. Adalah disyorkan untuk hanya bekerjasama dengan vendor yang diperakui , mengekalkan dasar aktif kemas kini dan semakan komponen serta menggabungkan kawalan yang menjamin integriti semua versi perisian.
Kepentingan keselamatan dari kod pertama
Untuk meminimumkan risiko, pakar mengesyorkan pelaksanaan amalan keselamatan yang komprehensif dari baris pertama kod , juga dikenali sebagai DevSecOps. Pendekatan ini melibatkan analisis kod secara automatik untuk tingkah laku yang mencurigakan, mengesahkan pustaka dan modul luaran dan memantau sistem automasi yang terlibat dalam kitaran hayat pembangunan perisian.
Salah satu langkah yang paling berkesan ialah penandatanganan digital objek perisian , yang memastikan aplikasi yang diedarkan kepada pengguna adalah sama seperti yang disemak dan diaudit oleh pasukan dalaman. Sebarang penyimpangan atau perubahan berikutnya kemudiannya boleh dikesan dengan cepat.
Tambahan pula, pengurusan pergantungan yang betul, penggunaan versi yang diaudit, dan kebolehkesanan penuh perubahan sepanjang pembangunan membolehkan anda menjejaki punca sebarang kemungkinan jurang.
Apa yang pengguna boleh lakukan?
Walaupun banyak ancaman ini berlaku di luar kawalan pengguna, adalah penting untuk mengikuti beberapa petua perlindungan asas : sentiasa pastikan aplikasi perbankan dikemas kini daripada sumber rasmi, beri perhatian kepada kebenaran luar biasa yang diminta oleh aplikasi dan laporkan sebarang tingkah laku pelik yang dikesan.
Kerjasama antara bank, pembangun dan pengguna akan menjadi penting dalam memerangi jenis serangan siber ini, yang bukan sahaja meletakkan dana tetapi juga kepercayaan jutaan pelanggan dalam risiko.
Walaupun kaedah serangan berkembang dan menjadi semakin canggih, kuncinya adalah untuk memahami bahawa keselamatan bank bukan lagi tanggungjawab seorang pelaku tunggal , tetapi semua orang yang terlibat dalam rantaian nilai: daripada mereka yang menulis kod pertama, pasukan yang bertanggungjawab ke atas penggunaannya, kepada pengguna akhir yang sedar dan berhati-hati.