تزوير الرسوم البيانية ، واستبدال عروض الأسعار والتلاعب بالأسعار: كيفية كسر طلبات التداول في البورصة

الصورة: Unsplash

أجرى خبراء تقنيات إيجابية تحليلاً لأمان تطبيقات التداول - محطات التداول التي تسمح لك بشراء وبيع الأسهم والسندات والعقود الآجلة والعملة وغيرها من الأصول. وفقًا للدراسة ، في 61٪ من التطبيقات ، من الممكن الحصول على وصول غير مصرح به إلى الحسابات الشخصية ، في 33٪ - إجراء المعاملات المالية نيابة عن مستخدمين آخرين دون الوصول إلى حسابك الشخصي ، في 17٪ - استبدال عروض الأسعار المعروضة. يمكن أن تسبب هذه الهجمات تغيرات الأسعار في السوق لصالح المهاجم ، وتثير الذعر في البورصة وتسبب أضرارًا مالية كبيرة لمستخدمي التطبيقات الضعيفة.

نقاط الضعف الأكثر شيوعًا في تطبيقات التداول

درس الخبراء منصات التداول التي تحظى بشعبية ليس فقط بين التجار من القطاع الخاص ، ولكنها تستخدم أيضًا على نطاق واسع في البنوك وصناديق الاستثمار والمنظمات الأخرى ذات الصلة بتداول العملات. أجري البحث على أجزاء العملاء من المنصات. قمنا بتحليل محطات تداول سطح المكتب ، وكذلك تطبيقات الجوال (لنظامي Android و iOS) وتطبيقات الويب للتداول.

في 61٪ من التطبيقات ، يمكن للمهاجم التحكم في حساب المستخدم الشخصي على منصة تداول. سيسمح لك هذا بتداول أصول المستخدم ، والحصول على معلومات حول الأموال المتاحة في الميزانية العمومية ، وتغيير معلمات التداول التلقائي ، وعرض تاريخ العمليات والعمليات المخطط لها. من الممكن اعتراض أوراق الاعتماد في محطات سطح المكتب في غياب تشفير حركة المرور ، وفي التطبيقات المحمولة يتم تسهيل ذلك من خلال حقوق الجذر أو كسر الحماية على الجهاز. يمكن الحصول على الوصول إلى حسابك الشخصي في بعض إصدارات الويب من التطبيقات ، اعتراض جلسة المستخدم.

كيف كل هذا يهدد التجار

تسمح الثغرات التي اكتشفها خبراء التقنيات الإيجابية في كل تطبيق ثالث للأشخاص غير المصرح لهم بإجراء معاملات لبيع أو شراء الأسهم نيابة عن المستخدم ودون الوصول إلى حسابك الشخصي. يمكن للمهاجم زيادة قيمة الأوراق المالية التي يهتم بها من خلال شرائها بشكل جماعي على حسابات الآخرين أو تقليل قيمة الأسهم عن طريق بيعها بنشاط. وبالمثل ، يمكنك التلاعب بأسعار الصرف - إذا كان الهجوم يؤثر على اللاعبين الكبار أو عدد كبير من المستخدمين. من الممكن شراء وبيع الأصول التبادلية نيابة عن شخص آخر سواء في أجهزة الكمبيوتر المكتبية أو المحمولة ومحطات الويب.

يمكن أن تكون الهجمات على نسخة الويب من محطات التداول واسعة النطاق. يمكن للمهاجم إدخال نص برمجي في تطبيق ويب أو وضع ارتباط ضار على موقع شائع آخر. ثم ، نيابة عن أي مستخدم يدخل التطبيق أو يتبع الرابط ، سيتم تنفيذ عملية غير مشروعة. هذا يسمح بهجمات ضد عدد كبير من المشاركين في السوق.

كما أن التاجر الذي يستخدم تطبيقًا ضعيفًا معرض لخطر اكتشاف أن الوضع الحقيقي في السوق المالية لا يتطابق مع ما يراه على شاشة منصة التداول. يمكن استبدال عروض الأسعار المعروضة في 17٪ من التطبيقات. على سبيل المثال ، في عملية تحليل تطبيقات سطح المكتب ، تمكن الخبراء من تزييف مخطط فاصل زمني من نوع "الشموع اليابانية" ، والذي يعرض تغييرات في الاقتباسات لفترات معينة.

تسمح لك بعض تطبيقات سطح المكتب بالتحكم في كمبيوتر التاجر ، على سبيل المثال ، عن طريق استبدال ملف التحديث ببرامج ضارة. كقاعدة عامة ، لمهاجمة أطراف التداول لأجهزة الكمبيوتر أو الأجهزة المحمولة ، يحتاج المهاجم إلى شروط خاصة ، مثل القدرة على اعتراض حركة المرور أو الوصول المادي إلى الجهاز. ومع ذلك ، في حالة حدوث هجوم مستهدف على لاعب رئيسي ، قد يكون دافع الجاني كافياً تمامًا لتوفير مثل هذه الظروف. مثال على مثل هذه الحادثة: في فبراير 2015 ، تم تقديم مقترحات لبيع 500 مليون دولار إلى السوق في غضون بضع دقائق (نتيجة للهجوم الإلكتروني أو خطأ من قبل مشغل بنك) ، مما أدى إلى انخفاض حاد في قيمة العملة الأمريكية ، سمح للمشاركين الآخرين في السوق بشراء الدولار بسعر أقل ودفع خسائر البنك الضخمة.

كيف تحمي نفسك

يهدد الوصول غير القانوني إلى تطبيقات التداول صدمات خطيرة للسوق ومستخدمي التطبيقات الضعيفة. عند اختيار منصة تداول ، يجب على التجار الانتباه ليس فقط لوظائفها ، ولكن أيضًا للسلامة. من الضروري استخدام أحدث إصدارات التطبيقات وتثبيت التحديثات التي أصدرها البائع في الوقت المناسب.

بالنسبة للمتداولين الخاصين الذين يستخدمون منصات التداول على أجهزتهم الشخصية ، يوصي الخبراء باستخدام أدوات مكافحة الفيروسات وعدم تنزيل التطبيقات من مصادر غير موثوقة. لا تقم بتثبيت إصدارات الأجهزة المحمولة من التطبيقات على الأجهزة ذات امتيازات الجذر أو كسر الحماية. عند العمل مع الجهاز الطرفي ، لا يوصى بالاتصال بشبكات غير آمنة ، مثل نقاط وصول Wi-Fi العامة. لمنع الوصول غير المصرح به إلى حسابك الشخصي ، تحتاج إلى استخدام المصادقة ذات العاملين ، إذا كان التطبيق يدعم هذه الوظيفة.

في أنظمة الشركات ، يجب تخصيص جزء منفصل من الشبكة التي تقع فيها محطات التداول ، ويجب توفير حماية لهذا القطاع. من الضروري اتباع التوصيات الأساسية لضمان مستوى مقبول من الأمان لأنظمة معلومات الشركة ، وعلى وجه الخصوص لتدريب الموظفين على قواعد أمن المعلومات.

في المقابل ، يحتاج مطورو محطات التداول إلى إجراء اختبار أمان التطبيق بانتظام وتنفيذ دورة تطوير آمنة. لحماية إصدارات الويب من منصات التداول ، يوصي الخبراء باستخدام تدابير الحماية الوقائية ، مثل جدار الحماية على مستوى التطبيق.

يوم الثلاثاء ، 16 أكتوبر ، الساعة 14:00 خلال ندوة مجانية على الويب ، سيتحدث رئيس مجموعة أبحاث أمن الأنظمة المصرفية في التقنيات الإيجابية ياروسلاف بابين ، عن المزيد من الدراسة ويقدم نصائح حول اختيار تطبيق آمن للتداول.

للمشاركة في الندوة عبر الإنترنت ، يجب عليك التسجيل .