CERT-In: ataki na API wypłat z zaufanej infrastruktury firmy

9 października CERT-In/CSIRT-Fin opisał kampanie wymuszające nieautoryzowane wypłaty przez API. Ostrzeżenie dotyczy m.in. fintechów, platform pożyczkowych i dostawców płatności. Atakujący przejmowali poświadczenia integracji i wywoływali operacje z infrastruktury znajdującej się na liście dozwolonych adresów.

Wniosek Breachroad: przy przeglądzie integracji płatniczej sprawdź, kto potwierdza sens biznesowy konkretnej wypłaty. Dozwolone źródło połączenia i poprawne poświadczenie są elementami ochrony, ale nie zastępują decyzji o operacji. Poniżej proponujemy sposób omówienia tego ryzyka z finansami, IT i właścicielem produktu.

Rozpisz decyzję o wypłacie

OWASP Transaction Authorization zaleca egzekwowanie autoryzacji po stronie serwera, kontrolę kolejności etapów oraz końcowe sprawdzenie przed wykonaniem transakcji. Dla zespołu wdrażającego integrację oznacza to potrzebę wskazania miejsca, w którym zapada wiążąca decyzja o wypłacie.

Nasza propozycja: na spotkaniu roboczym narysuj drogę od zlecenia do wykonania. Przy każdym kroku zapisz odpowiedzialny system, właściciela oraz sposób rozstrzygnięcia błędu. Uwzględnij także ścieżki obsługiwane przez pracownika, partnera i proces automatyczny. Wynikiem ma być wspólny obraz procesu, który rozumie zarówno programista, jak i osoba rozliczająca operację.

Do dokumentacji dodaj przykład prawidłowo zakończonej sprawy oraz sprawy wstrzymanej do wyjaśnienia. Ustal, kto może zmienić status i gdzie pozostaje uzasadnienie. Dzięki temu przegląd dotyczy rzeczywistego przebiegu pracy, a nie tylko nazw endpointów i deklaracji, że integracja jest zabezpieczona.

Ćwiczenie: pieniądze wyszły, sprawy nie można odnaleźć

Wyobraźmy sobie fikcyjną platformę, która rozlicza wypłaty klientów. Operator otrzymuje zgłoszenie o wykonanej operacji, lecz pracownik finansów nie potrafi wskazać osoby odpowiedzialnej za jej zatwierdzenie. IT widzi wywołanie z oczekiwanego serwera. Każdy zespół ma część informacji, ale nikt nie ma całej historii.

To scenariusz Breachroad do rozmowy, nie rekonstrukcja zgłoszonego incydentu. Poproś uczestników o wskazanie pierwszej osoby koordynującej działania, kanału kontaktu z partnerem i informacji potrzebnej do podjęcia decyzji. Ustal również, kto informuje klienta, kiedy sprawa trafia do kierownika i jak dokumentuje się przekazanie między zespołami.

Ćwiczenie można przeprowadzić na syntetycznych danych i opisach ekranów. Nie wymaga rzeczywistych przelewów ani używania produkcyjnych kluczy. Sprawdź, czy instrukcja działa podczas dyżuru i zastępstwa, kiedy osoba projektująca integrację nie jest dostępna. Uczestnicy powinni zakończyć spotkanie z konkretną ścieżką eskalacji.

Oceń ryzyko całego procesu

OWASP API6:2023 opisuje ryzyko nieograniczonego dostępu do wrażliwych procesów biznesowych. Łączy identyfikację ryzyka przez biznes z doborem zabezpieczeń przez inżynierów. Breachroad proponuje wykorzystać ten podział przy ustalaniu odpowiedzialności za integrację i jej wyjątki.

W naszym procesie przeglądowym każda otwarta kwestia otrzymuje właściciela, termin i opis wyniku, który pozwoli ją zamknąć. Przykładowo: osoba odpowiedzialna za rozliczenia potwierdza dostępność potrzebnej historii, a właściciel usługi sprawdza, czy dyżur ma aktualne dane kontaktowe partnera. Samo wysłanie pytania do innego działu nie kończy zadania.

CERT-In wskazuje też możliwość użycia narzędzi ofensywnych wspomaganych AI. Traktuj to jako ocenę źródła, nie dowód autonomicznego ataku ani potwierdzenie użycia konkretnego modelu. Do uruchomienia procedury reagowania wystarczy uzasadnione podejrzenie nieuprawnionej operacji; ustalenie narzędzi napastnika może nastąpić później.

Przygotuj ludzi do wspólnej reakcji

Na dziś rekomendujemy wybrać jedną ważną integrację i omówić opisany scenariusz z jej właścicielami. Sprawdź, czy ustalenia dają się przekazać nowej osobie i czy wskazują decyzje potrzebne poza godzinami pracy. Zapisz rozbieżności zamiast zamykać spotkanie ogólnym zapewnieniem o bezpieczeństwie.

Przewodnik po bezpieczeństwie API pomaga uporządkować część techniczną. Na szkoleniu cyberbezpieczeństwa dla organizacji możemy przećwiczyć z finansami, IT i menedżerami ocenę nietypowej operacji, podział odpowiedzialności oraz zgłaszanie zdarzeń.