Банк из топ-10
Полный цикл тестирования системы ДБО для юридических и физических лиц.
- Пентест мобильного приложения
- Анализ банковских API
- Аудит исходного кода
Пентест и кибербезопасность для банков и финтеха
Банки, платёжные системы, страховые и финтех-компании работают с самыми ценными данными и под самым плотным надзором. Крупные банки выбирают DeteAct для пентестов: мы тестируем системы ДБО, платёжные шлюзы, банковские API и мобильные банки, проводим киберучения и аудит ЦФА, а результаты оформляем под требования ЦБ РФ, PCI DSS и ГОСТ Р 57580.
Что обычно тестируем в отрасли
- Объекты
- Системы ДБО для физических и юридических лиц, интернет-банк, мобильные банки, платёжные шлюзы, банковские API, платформы ЦФА, инфраструктура и SOC
- Регуляторные драйверы
- Положения ЦБ РФ 683-П, 719-П, 382-П, 684-П, 821-П; ГОСТ Р 57580; ОУД-4; PCI DSS; 152-ФЗ; требования НСПК, Минцифры и РКН
- Типовые сценарии
- Захват учётной записи клиента, манипуляции платёжной логикой, компрометация через интеграцию, целевая атака до недопустимого события
- Состав проекта
- Пентест ДБО и мобильного банка, анализ API, аудит кода, red teaming; отчёт для регулятора и перепроверка
Почему финансовый сектор тестируют иначе
Финансовые данные и персональная информация клиентов — приоритетная цель злоумышленников, а каждая ошибка в платёжной логике превращается в прямые потери. При этом сервисы должны работать круглосуточно, поэтому тестирование нельзя проводить «как получится»: нужны согласованные окна, тестовые счета и запрет разрушающих проверок.
Соответствие требованиям ЦБ РФ, НСПК, Минцифры и РКН требует постоянного контроля, а не разовой проверки. Сложные интеграции с банковскими системами и платёжными шлюзами добавляют векторы атак, которые не видны при тестировании одного приложения. Мобильные банки требуют отдельной методологии, а высокая скорость выпуска новых продуктов — встраивания безопасности в процесс разработки.
Поэтому проект для банка или финтех-компании мы собираем из нескольких проверок с общей моделью нарушителя и единым отчётом, который одинаково понятен ИБ, разработке и регулятору.
Модель угроз и что проверяем
Таблица отражает типовой объём работ для финансовой организации. Конкретный состав проверок определяется на скоупинге по вашей архитектуре и требованиям.
| Актив | Угроза | Что проверяем |
|---|---|---|
| Системы ДБО и интернет-банк | Захват учётных записей, обход подтверждения операций, подмена реквизитов | Аутентификация и МФА, управление сессиями, авторизация между клиентами, логика платёжных операций |
| Мобильный банк (iOS, Android) | Извлечение токенов и ключей с устройства, обход биометрии и привязки, атаки на канал | Хранение секретов, биометрия, пиннинг сертификатов, защита от рутованных устройств, серверные API |
| Платёжные шлюзы и банковские API | Манипуляции суммами, валютами и статусами, повторные списания, состояния гонки | Финансовая логика, идемпотентность, контроль лимитов, подписи запросов, интеграции с НСПК и процессингом |
| Интеграции с банками и партнёрами | Компрометация через доверенный канал или партнёрский API | Аутентификация межсистемных вызовов, разграничение доступа, обработка входящих данных |
| Инфраструктура и SOC | Целевая атака с выходом на недопустимые события: вывод средств, доступ к данным клиентов | Red teaming по kill chain: преодоление периметра, закрепление, продвижение, обнаружение SOC |
| ЦФА и распределённые реестры | Ошибки в смарт-контрактах, узлах и связанных сервисах | Аудит смарт-контрактов, узлов сети, API платформы и ключевой инфраструктуры |
Услуги для банков и финтеха
Банковская безопасность, соответствие стандартам, мобильная безопасность, консалтинг и аутсорсинг: от разработки нормативных документов до непрерывного пентеста и построения DevSecOps.
Системы ДБО, интернет-банк, личные кабинеты и платёжные API: финансовая логика, авторизация, антифрод.
Мобильные банки и финтех-приложения на iOS и Android, включая биометрию и защиту данных на устройстве.
Инфраструктура, Active Directory, платёжные системы; пентест в объёме, требуемом ЦБ РФ и PCI DSS.
Киберучения по kill chain до недопустимых событий: проверка контролей и SOC на реальном сценарии.
Аудит исходного кода банковских систем и смарт-контрактов ЦФА; анализ по ОУД-4.
Отчёты и заключения для ЦБ РФ, НСПК, QSA-аудиторов PCI DSS, Минцифры и РКН.
Встраивание безопасности в быструю разработку финансовых продуктов: SAST, DAST, SCA в CI/CD.
Непрерывный контроль периметра банка платформой EASM с экспертной валидацией находок.
Отдельные направления: тестирование безопасности и устойчивости к мошенничеству банковских систем и платёжных API, тестирование биометрии в мобильных приложениях, аудит безопасности ЦФА, систем распределённого реестра и смарт-контрактов, разработка стратегии ИБ и нормативных документов, аутсорс функций ИБ.
Регуляторные требования, под которые оформляем результаты
Помогаем пройти проверку, а не только найти уязвимости: отчёт содержит область, методику, модель нарушителя, перечень находок с CVSS и подтверждение перепроверки.
- Банк России
- Положения 683-П, 719-П, 382-П, 684-П, 821-П: ежегодное тестирование на проникновение и анализ уязвимостей, оценка по ГОСТ Р 57580, анализ приложений по ОУД-4
- PCI DSS
- Пентест среды данных держателей карт и проверка сегментации для платёжных систем, процессинга и эквайринга; отчёт для QSA-аудитора
- 152-ФЗ
- Оценка защищённости систем, обрабатывающих персональные данные клиентов; работы лицензиата ФСТЭК России по ТЗКИ
- НСПК, Минцифры, РКН
- Подготовка технических отчётов и заключений для отраслевых проверок и аккредитаций
Опыт в финансовом секторе
Мы обеспечиваем оценку защищённости в 4 из 10 крупнейших банков и 3 из 10 крупнейших страховых компаний России. Наши специалисты нашли сотни уязвимостей в финансовых системах и инфраструктурах.
Финансовая экспертиза
Понимаем банковские процессы и финтех-решения: как устроены ДБО, процессинг, антифрод и интеграции с платёжными системами.
Прикладной опыт с регуляторами
Проводили пентесты по требованиям ЦБ РФ, PCI DSS и анализ по ОУД-4; знаем, что именно запрашивают проверяющие.
Специализированные проверки
Тестирование банковских API, платёжных систем и мобильных приложений с упором на финансовую логику и мошеннические сценарии.
Непрерывная работа сервисов
Учитываем требования к доступности 24/7: согласованные окна, тестовые счета, запрет разрушающих проверок.
Из практики
Примеры проектов с финансовыми организациями. Названия не раскрываем по условиям NDA.
Страховая компания из топ-10
Киберучения в режиме red teaming.
- Преодоление периметра извне методом «чёрного ящика»
- Получение доступа к персональным данным клиентов
- Обход систем защиты и SOC
Вопросы от банков и финтех-компаний
Подходит ли ваш пентест для требований ЦБ РФ и ОУД-4?
Да. Мы проводим тестирование на проникновение и анализ уязвимостей в объёме, который требуют положения Банка России 683-П, 719-П, 382-П, 684-П и 821-П, а также ГОСТ Р 57580, и выполняем анализ по ОУД-4. Отчёт оформляется так, чтобы его приняли аудиторы и проверяющие; работы выполняет лицензиат ФСТЭК России.
Можно ли тестировать систему ДБО без остановки сервиса?
Да. Финансовые сервисы работают круглосуточно, поэтому мы согласуем окна, исключаем разрушающие проверки и нагрузочные сценарии, не трогаем реальные платежи и персональные данные, а для финансовой логики используем тестовые счета. Предпочтителен стенд, идентичный продакшену; правила фиксируются в договоре.
Что проверяется в мобильном банке?
Хранение токенов и ключей на устройстве, биометрия и привязка устройства, пиннинг сертификатов и защита канала, поведение на рутованных и джейлбрейкнутых устройствах, обратная разработка клиента и все серверные API, с которыми он работает. Методология OWASP MASVS/MASTG.
Проводите ли вы пентест для PCI DSS?
Да. Тестирование охватывает среду данных держателей карт, сегментацию и платёжные приложения; результаты оформляются в формате, который принимают QSA-аудиторы, включая подтверждение перепроверки исправлений.
Чем red teaming полезен банку, если регулярные пентесты уже проводятся?
Пентест ищет уязвимости в заданном объекте, а киберучения проверяют, способны ли контроли и SOC остановить реальную атаку на всём пути по kill chain: от преодоления периметра до недопустимого события, например доступа к данным клиентов или выводу средств. Это отвечает на вопрос «что будет, если нас атакуют», а не «есть ли уязвимости».
Работаете ли вы с ЦФА и блокчейн-проектами?
Да. Аудируем платформы ЦФА, смарт-контракты, узлы распределённых реестров и связанные сервисы: API, кошельки, ключевую инфраструктуру.
Обсудить проект для банка или финтех-компании
Опишите системы и требования регулятора, под которые нужен отчёт. Предложим состав работ, модель тестирования и сроки с учётом круглосуточной работы ваших сервисов. NDA подписываем до получения любых данных.
- Почта
- info@deteact.ru
- Телефон
- +7 499 444-12-46
- Офис
- Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
- Лицензия
- ФСТЭК России №Л024-00107-00/00581935
Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.