चार्ट्स की भूल, उद्धरणों का प्रतिस्थापन और मूल्य में हेरफेर: एक्सचेंज पर ट्रेडिंग के लिए एप्लिकेशन कैसे क्रैक करें

चित्र: अनप्लैश

पॉजिटिव टेक्नोलॉजीज के विशेषज्ञों ने ट्रेडिंग एप्लिकेशन की सुरक्षा का विश्लेषण किया - ट्रेडिंग टर्मिनल जो आपको स्टॉक, बॉन्ड, वायदा, मुद्रा और अन्य परिसंपत्तियों को खरीदने और बेचने की अनुमति देते हैं। अध्ययन के अनुसार, आवेदनों में से 61% में व्यक्तिगत खातों में अनधिकृत पहुंच प्राप्त करना संभव है, 33% में - अपने व्यक्तिगत खाते तक पहुंच के बिना अन्य उपयोगकर्ताओं की ओर से वित्तीय लेनदेन का संचालन करना, 17% में - प्रदर्शित उद्धरणों का प्रतिस्थापन। इस तरह के हमलों से हमलावर के पक्ष में बाजार में मूल्य परिवर्तन हो सकता है, विनिमय पर भड़काने और कमजोर अनुप्रयोगों के उपयोगकर्ताओं को महत्वपूर्ण वित्तीय नुकसान हो सकता है।

सबसे आम व्यापारिक अनुप्रयोग कमजोरियां

विशेषज्ञों ने व्यापारिक प्लेटफार्मों का अध्ययन किया जो न केवल निजी व्यापारियों के बीच लोकप्रिय हैं, बल्कि बैंकों, निवेश फंडों और एक्सचेंज ट्रेडिंग से संबंधित अन्य संगठनों में भी व्यापक रूप से उपयोग किए जाते हैं। प्लेटफार्मों के ग्राहक भागों पर अनुसंधान किया गया था। हमने डेस्कटॉप ट्रेडिंग टर्मिनलों, साथ ही मोबाइल (एंड्रॉइड और आईओएस के लिए) और ट्रेडिंग के लिए वेब एप्लिकेशन का विश्लेषण किया।

61% अनुप्रयोगों में, एक हमलावर ट्रेडिंग टर्मिनल पर उपयोगकर्ता के व्यक्तिगत खाते का नियंत्रण प्राप्त कर सकता है। यह आपको उपयोगकर्ता परिसंपत्तियों का व्यापार करने, बैलेंस शीट पर उपलब्ध धन के बारे में जानकारी प्राप्त करने, स्वचालित व्यापार के मापदंडों को बदलने, संचालन के इतिहास और नियोजित संचालन को देखने की अनुमति देगा। डेस्कटॉप टर्मिनलों में क्रेडेंशियल्स की अवरोधन यातायात एन्क्रिप्शन की अनुपस्थिति में संभव है, और मोबाइल अनुप्रयोगों में यह डिवाइस पर रूट-राइट या जेलब्रेक द्वारा सुगम है। उपयोगकर्ता के सत्र को इंटरसेप्ट करते हुए आपके व्यक्तिगत खाते तक पहुंच अनुप्रयोगों के कुछ वेब संस्करणों में प्राप्त की जा सकती है।

यह सब व्यापारियों को कैसे धमकाता है

हर तीसरे एप्लिकेशन में पॉजिटिव टेक्नोलॉजीज के विशेषज्ञों द्वारा खोजी गई कमजोरियां अनधिकृत व्यक्तियों को उपयोगकर्ता की ओर से और आपके व्यक्तिगत खाते तक पहुंच के बिना शेयरों की बिक्री या खरीद के लिए लेनदेन करने की अनुमति देती हैं। एक हमलावर उन प्रतिभूतियों के मूल्य में वृद्धि कर सकता है जो उन्हें बड़े पैमाने पर अन्य लोगों के खातों में खरीदने में रुचि रखते हैं या सक्रिय रूप से उन्हें बेचकर शेयरों के मूल्य को कम करते हैं। इसी तरह, आप विनिमय दरों में हेरफेर कर सकते हैं - अगर हमला बड़े खिलाड़ियों या बड़ी संख्या में उपयोगकर्ताओं को प्रभावित करता है। किसी और की ओर से विनिमय संपत्ति खरीदना और बेचना डेस्कटॉप और मोबाइल और वेब टर्मिनलों दोनों में संभव है।

ट्रेडिंग टर्मिनलों के वेब संस्करण पर हमले व्यापक हो सकते हैं। एक हमलावर एक स्क्रिप्ट को वेब एप्लिकेशन में इंजेक्ट कर सकता है या किसी अन्य लोकप्रिय साइट पर दुर्भावनापूर्ण लिंक डाल सकता है। फिर, किसी भी उपयोगकर्ता की ओर जो आवेदन में प्रवेश करता है या लिंक का अनुसरण करता है, एक नाजायज ऑपरेशन किया जाएगा। यह बड़ी संख्या में बाजार सहभागियों के खिलाफ हमलों की अनुमति देता है।

एक असुरक्षित एप्लिकेशन का उपयोग करने वाले व्यापारी को यह पता लगाने का जोखिम भी है कि वित्तीय बाजार में वास्तविक स्थिति ट्रेडिंग टर्मिनल की स्क्रीन पर जो कुछ भी देखती है, उससे मेल नहीं खाती है। 17% अनुप्रयोगों में प्रदर्शित उद्धरणों का प्रतिस्थापन संभव है। उदाहरण के लिए, डेस्कटॉप अनुप्रयोगों के विश्लेषण की प्रक्रिया में, विशेषज्ञ "जापानी मोमबत्तियाँ" प्रकार के अंतराल चार्ट को नकली करने में सक्षम थे, जो कुछ अवधियों के लिए उद्धरण परिवर्तन प्रदर्शित करता है।

कुछ डेस्कटॉप एप्लिकेशन आपको व्यापारी के कंप्यूटर पर नियंत्रण प्राप्त करने की अनुमति देते हैं, उदाहरण के लिए, अपडेट फ़ाइल को मैलवेयर के साथ बदलकर। एक नियम के रूप में, कंप्यूटर या मोबाइल उपकरणों के लिए ट्रेडिंग टर्मिनलों पर हमला करने के लिए, एक हमलावर को विशेष परिस्थितियों की आवश्यकता होती है, जैसे कि यातायात या डिवाइस तक भौतिक पहुंच को बाधित करने की क्षमता। हालांकि, एक प्रमुख खिलाड़ी पर लक्षित हमले की स्थिति में, अपराधी की प्रेरणा ऐसी स्थितियों को प्रदान करने के लिए काफी पर्याप्त हो सकती है। इस तरह की घटना का एक उदाहरण: फरवरी 2015 में, $ 500 मिलियन की बिक्री के प्रस्तावों को कुछ ही मिनटों के भीतर बाजार में लाया गया था (एक साइबर ऑपरेटर या बैंक ऑपरेटर द्वारा एक गलती के परिणामस्वरूप), जिसने अमेरिकी मुद्रा की तेजी से अवहेलना की, अन्य बाजार सहभागियों को कम कीमत पर डॉलर खरीदने की अनुमति दी और भुगतान किया। बैंक को भारी नुकसान।

खुद की सुरक्षा कैसे करें

व्यापारिक अनुप्रयोगों के लिए अवैध पहुंच बाजार और कमजोर अनुप्रयोगों के उपयोगकर्ताओं के लिए गंभीर झटका है। ट्रेडिंग प्लेटफॉर्म चुनते समय, व्यापारियों को न केवल इसकी कार्यक्षमता, बल्कि सुरक्षा पर भी ध्यान देना चाहिए। समय में विक्रेता द्वारा जारी किए गए अद्यतनों और अनुप्रयोगों को स्थापित करना आवश्यक है।

निजी व्यापारियों के लिए जो अपने निजी उपकरणों पर ट्रेडिंग प्लेटफॉर्म का उपयोग करते हैं, विशेषज्ञ एंटी-वायरस टूल का उपयोग करने और अविश्वसनीय स्रोतों से एप्लिकेशन डाउनलोड न करने की सलाह देते हैं। रूट विशेषाधिकार या जेलब्रेक वाले उपकरणों पर एप्लिकेशन के मोबाइल संस्करण स्थापित न करें। टर्मिनल के साथ काम करते समय, असुरक्षित नेटवर्क से कनेक्ट करने की अनुशंसा नहीं की जाती है, जैसे कि सार्वजनिक वाई-फाई एक्सेस पॉइंट। आपके व्यक्तिगत खाते तक अनधिकृत पहुंच को रोकने के लिए, आपको दो-कारक प्रमाणीकरण का उपयोग करने की आवश्यकता है, यदि यह फ़ंक्शन एप्लिकेशन द्वारा समर्थित है।

कॉर्पोरेट सिस्टम में, नेटवर्क का एक अलग सेगमेंट जिसमें ट्रेडिंग टर्मिनल स्थित हैं, को आवंटित किया जाना चाहिए और इस सेगमेंट की सुरक्षा प्रदान की जानी चाहिए। कॉर्पोरेट सूचना प्रणालियों के लिए और विशेष रूप से सूचना सुरक्षा नियमों में कर्मचारियों को प्रशिक्षित करने के लिए सुरक्षा के स्वीकार्य स्तर को सुनिश्चित करने के लिए बुनियादी सिफारिशों का पालन करना आवश्यक है।

बदले में, ट्रेडिंग टर्मिनलों के डेवलपर्स को नियमित रूप से एप्लिकेशन सुरक्षा परीक्षण करने और सुरक्षित विकास चक्र लागू करने की आवश्यकता होती है। ट्रेडिंग प्लेटफॉर्म के वेब संस्करणों की सुरक्षा के लिए, विशेषज्ञ निवारक सुरक्षा उपायों के उपयोग की सलाह देते हैं, जैसे कि एप्लिकेशन-स्तरीय फ़ायरवॉल।

मंगलवार, 16 अक्टूबर को 14:00 बजे एक मुफ्त वेबिनार के दौरान, पॉजिटिव टेक्नोलॉजीज बैंकिंग सिस्टम सुरक्षा अनुसंधान समूह के प्रमुख, यारोस्लाव बाबिन, अध्ययन के बारे में अधिक बात करेंगे और ट्रेडिंग के लिए एक सुरक्षित एप्लिकेशन चुनने के लिए टिप्स देंगे।

वेबिनार में भाग लेने के लिए, आपको पंजीकरण करना होगा।