Como salvaguardar a privacidade e a segurança dos clientes quando estes transportam os bancos no bolso?
O advento da tecnologia móvel no mundo bancário certamente o perturbou profundamente. Um sistema centralizado tradicional que operava em espaços altamente controlados começou a migrar para o atendimento aos clientes através de dispositivos móveis. Esta foi sem dúvida uma revolução que implicou a redefinição de numerosos fluxos de trabalho, padrões e práticas.
Trouxe também um enorme desafio – como salvaguardar a privacidade e a segurança dos clientes quando estes transportam os bancos nos bolsos? Os aplicativos bancários móveis atuais são onipresentes, portanto o desafio é mais relevante do que nunca. Os desenvolvedores de aplicativos bancários móveis precisam compreender as necessidades do sistema bancário e de seus usuários e criar maneiras de atendê-las, preservando, ao mesmo tempo, dados altamente confidenciais protegidos em operações, transações e vários pontos vulneráveis.
Naturalmente, o sistema foi fortalecido com leis e regulamentos que procuram orientar como alcançar essa tarefa difícil. Assim, os engenheiros de aplicativos móveis precisam ter um conhecimento profundo da estrutura regulatória ao criar aplicativos. Não é uma tarefa fácil, mas hoje, os desenvolvedores móveis têm uma compreensão mais profunda do que é necessário para criar um aplicativo de banco móvel tendo em mente a conformidade com a privacidade e a segurança. É assim que parece.
Compreendendo os fundamentos do Mobile Banking
Uma das primeiras coisas que uma equipe de engenharia de software precisa fazer em um projeto de aplicativo de mobile banking é entender o básico. Além do desenvolvimento real do aplicativo, há muitas coisas a serem consideradas, especialmente nos aspectos de segurança e privacidade do projeto, que são as maiores prioridades em qualquer aplicativo de mobile banking.
Dada a natureza altamente dinâmica do ambiente móvel, o número de ameaças e vulnerabilidades está cada vez maior, tornando ainda mais desafiador manter a proteção no nível mais alto. Assim, os desenvolvedores móveis categorizaram melhor os riscos e vulnerabilidades potenciais para abordá-los durante o ciclo de vida de desenvolvimento do aplicativo. Existe uma “superfície de ataque” que é dividida nessas categorias, dependendo da área alvo do ataque.
Seguindo essa linha de pensamento, os desenvolvedores identificaram três partes principais da superfície de ataque:
- Dispositivos: Os componentes dos dispositivos móveis, como o navegador, o próprio dispositivo, os aplicativos ou o sistema operacional, todos possuem múltiplas vulnerabilidades que podem ser portas para violações. Assim, os agentes maliciosos atacam isso com tentativas de phishing, ataques de força bruta, SMishing e injeção dinâmica de tempo de execução, entre muitos outros.
- Redes: os dispositivos móveis dependem principalmente de conexões sem fio para realizar suas tarefas, por isso é natural que as redes que eles usam para fazer isso sejam alvos de ataques. Embora os dispositivos móveis usem mais do que apenas Wi-Fi para se conectar, são essas conexões que são mais vulneráveis a problemas de criptografia, ataques man-in-the-middle e certificados SSL do Facebook, entre outros.
- Centros de dados: essas conexões conectam dispositivos móveis a servidores que lidam com muitas informações e têm suas vulnerabilidades. Assim, os ataques maliciosos têm como alvo esses endpoints (incluindo servidores web e bancos de dados) usando validações de entrada fracas, configurações incorretas de servidores, dumping de dados e ataques de injeção de SQL.
Esse panorama retrata todo o quadro da segurança móvel. É verdade que os desenvolvedores que trabalham em um aplicativo de banco móvel não conseguem lidar com todos eles. Eles precisam se preocupar com as ameaças e vulnerabilidades mais comuns relacionadas a esse tipo de aplicativo. Por um lado, as vulnerabilidades comuns envolvem os sistemas bancários móveis, a forma como são utilizados e os dispositivos que utilizam, incluindo:
- Dispositivos desbloqueados e com root. Jailbreak e root significam remover certos limites de segurança para acessar partes protegidas do sistema operacional. Embora isso proporcione ao usuário mais controle sobre o sistema, também o expõe a ataques que podem assumir o controle do sistema com mais facilidade.
- Armazenamento de dados no telefone. Armazenar informações bancárias confidenciais no telefone é um grande sinal de alerta, pois qualquer aplicativo com permissões suficientes pode acessá-las e explorá-las para cometer fraudes bancárias.
- Uso não SSL. Por um lado, o uso de links sem SSL oferece aos invasores a oportunidade de interceptar o tráfego e injetar um prompt de login falso. Por outro lado, o envio de informações específicas (como códigos de ativação) sem um certificado de segurança pode fornecer ao mesmo invasor os dados necessários para sequestrar uma sessão.
- Conexões desatualizadas. As redes Wi-Fi abertas são altamente vulneráveis a ataques.
Estas quatro vulnerabilidades significativas mostram que os desenvolvedores de aplicativos móveis precisam levar em conta mais do que apenas as lacunas nos sistemas – eles também precisam entender as deficiências dos dispositivos e de seus usuários, sendo que ambos fornecem vulnerabilidades adicionais que excedem aquelas encontradas em um aplicativo bancário .
Atores maliciosos exploram essas vulnerabilidades de diferentes maneiras, mas alguns ataques são mais comuns que outros. Engenheiros móveis que trabalham em aplicativos bancários geralmente desenvolvem seus sistemas de segurança, prestando atenção especial ao seguinte:
- Ataques man-in-the-middle (MiTM): quando o aplicativo bancário se comunica com o banco, informações vitais vão e vêm. Os hackers tentam interceptá-lo para usá-lo posteriormente para acessar a conta do usuário.
- Violações de infraestrutura: principalmente direcionados a servidores, são ataques que buscam coletar credenciais (como nomes de usuário, senhas e outras informações pessoais).
- Aplicativos piratas: os hackers fazem engenharia reversa de um aplicativo legítimo para posteriormente distribuir sua versão infectada, obtendo assim acesso às informações de pessoas que instalam inadvertidamente a versão pirata.
- Malware móvel: assim como acontece com os sistemas de desktop, há muitos malwares móveis direcionados a dispositivos móveis. Os aplicativos bancários são alguns de seus principais alvos.
- Sequestro de cliques: uma técnica que tenta enganar os usuários para que cliquem em um botão ou elemento para realizar uma ação aparentemente inócua, mas que desencadeia uma resposta maliciosa (como baixar malware ou coletar informações confidenciais)
Naturalmente, os ataques não visam apenas as aplicações móveis em si, mas também os problemas do sistema e o comportamento inseguro dos utilizadores móveis. Isso significa que os esforços de segurança da equipe de desenvolvimento móvel devem estar estreitamente alinhados com esforços de segurança mais amplos que tragam proteção adicional ao restante do sistema.
Como as equipes de desenvolvimento móvel garantem a segurança dos aplicativos bancários
Todos os itens acima devem informar uma equipe de desenvolvimento móvel nos estágios iniciais de seu SDLC. Munida dessas informações, a equipe pode identificar melhor os riscos associados aos aplicativos de mobile banking e criar um aplicativo mais robusto. Os desenvolvedores podem fazer isso de diversas maneiras, especialmente seguindo práticas de segurança padrão para desenvolvimento de aplicativos. No entanto, existem outras práticas específicas que podem seguir, incluindo:
- As políticas de segurança da equipe de desenvolvimento devem depender da conformidade do usuário.
- Existem muitas práticas que podem ajudar a reduzir os riscos associados ao desenvolvimento de um aplicativo de mobile banking, incluindo mitigação de riscos, verificação de integridade, detecção de reempacotamento, obrigações de conformidade regulatória, criptografia de dados e identificação de vulnerabilidades no código-fonte.
- Um aplicativo de mobile banking deve sempre incluir autenticação multifatorial, seja por SMS ou (preferencialmente) dados biométricos.
- Além disso, deve ter proteção de senha confiável que não permita ao usuário salvar as senhas.
- O logoff automático após um período fixo de inatividade é obrigatório. O tempo pode variar, mas nunca deve ultrapassar 1 minuto.
- O aplicativo deve usar o que há de mais recente em assinaturas digitais e protocolos de transferência segura.
- Os desenvolvedores devem sempre incluir verificações de certificados SSL e criptografia ponta a ponta.
- Os testes e o controle de qualidade devem ser extensos e presentes em todo o SDLC.
Além de tudo isso, a equipe de desenvolvimento deve prestar atenção especial às regulamentações de gerenciamento e manuseio de dados. Pode haver vários regulamentos aplicáveis a um aplicativo específico, dependendo da região, país ou mesmo estado em que será usado. Uma boa equipe de desenvolvimento manterá a conformidade no topo da lista de prioridades. Estar alinhado com essas regulamentações não apenas evita multas – também segue princípios de segurança comprovados que podem reduzir os riscos associados ao desenvolvimento móvel para os bancos.
Tudo isso mostra que desenvolver um aplicativo de mobile banking não é uma tarefa fácil. Na verdade, é algo que nem todas as equipes de desenvolvimento móvel conseguem fazer. É necessária uma equipe de engenheiros bem versados e bem informados, com experiência e conhecimento suficiente no setor para resolver esse problema multifacetado.
Assim, qualquer empresa que pretenda criar seu aplicativo bancário deve analisar cuidadosamente o mercado e escolher uma empresa de desenvolvimento móvel experiente que mantenha a segurança, a privacidade e a conformidade como foco principal. Aqueles que consideram todos os aspectos descritos acima são as melhores alternativas, pois tudo o que é essencial para abordar o desenvolvimento do mobile banking. Considerando todas essas informações é a única maneira de desenvolver um aplicativo seguro que proteja consumidores e bancos.
