Według ESET Research w publikacji z 21 kwietnia wariant NGate ukryty w zmodyfikowanej aplikacji HandyPay przekazuje dane NFC karty i przechwytuje PIN. Opisana kampania była skierowana do użytkowników Androida w Brazylii. Dla posiadaczy kart i urządzeń służbowych to powód, by objąć kontrolą płatności także aplikacje mobilne oraz polecenia dotyczące użycia karty.
Czy zgoda na korzystanie z karty służbowej powinna oznaczać zgodę na wykonywanie dotyczących jej poleceń dowolnej aplikacji? Przypadek NGate daje punkt wyjścia do rozmowy o tej granicy. Proponujemy przyjrzeć się momentowi, w którym pracownik ma zdecydować, czy zaufać programowi na telefonie. W przeglądzie zasad postawmy konkretne pytania: kto zatwierdza aplikację do użycia z kartą, gdzie posiadacz może sprawdzić otrzymane polecenie i co ma zrobić, gdy nie potrafi go ocenić? To proponowany sprawdzian procedury, a nie opis zachowania uczestników brazylijskiej kampanii. Przytoczone ustalenia nie pokazują, jakie reguły ich obowiązywały ani czy korzystali z kart służbowych.
NGate łączy przekazywanie danych NFC z przechwytywaniem PIN-u
Jak podaje ESET Research, wariant NGate kryje się w zmodyfikowanej HandyPay. W opisie mechanizmu trzeba zachować rozróżnienie między aplikacją a jej zmodyfikowaną wersją. Ustalenie dotyczące tej drugiej nie uprawnia do przypisania szkodliwego działania każdej kopii programu. Dla przeglądu firmowych zasad proponujemy podobną precyzję: sprawdzajmy, jakie oprogramowanie firma dopuściła do użycia, zamiast poprzestawać na rozpoznaniu nazwy.
Przekazywanie danych NFC i przechwytywanie PIN-u potraktujmy jako odrębne elementy tego samego problemu. Przegląd obejmuje więc zasady używania karty z aplikacją i postępowanie wobec żądania podania PIN-u. Na potrzeby decyzji organizacyjnej wystarczy zadać pytanie, czy oba wskazane elementy mają swoje miejsce w instrukcji dla posiadacza karty.
Kontrola użycia karty powinna obejmować także decyzję o zaufaniu aplikacji, która ma z nią współpracować.
Procedurę dla posiadacza karty sprawdź na konkretnym poleceniu
Przypadek NGate proponujemy wykorzystać do ćwiczenia z instrukcją dla pracownika. Wybierzmy obowiązujący zapis dotyczący aplikacji płatniczych i sprawdźmy, czy podpowiada działanie w razie otrzymania niezrozumiałego polecenia. Jeżeli firma nie ma takiego zapisu, odnotujmy brak. Jeżeli ma, poprośmy o wskazanie miejsca, w którym posiadacz karty znajdzie sposób potwierdzenia dopuszczalności danej czynności. Oceniajmy odpowiedź wynikającą z dokumentu, bez zakładania, że każdy użytkownik sam rozpozna szkodliwy program.
W takim ćwiczeniu żądanie podania PIN-u powinno prowadzić do osobnego pytania: jak pracownik ma zweryfikować, czy wolno je wykonać? Zalecamy wskazać zatwierdzony w organizacji kontakt do wyjaśnienia wątpliwości i zapisać, że do tego czasu pracownik wstrzymuje sporną czynność. Wynikiem przeglądu niech będzie instrukcja możliwa do zastosowania przy telefonie. Nie przypisujmy przy tym użytkownikom z Brazylii naruszenia procedur. Sam opis mechanizmu NGate nie daje podstaw do takiej oceny ani do rozliczania konkretnych osób.
Odpowiedzialność powinna obejmować kartę i telefon
Wniosek zarządczy z NGate proponujemy przełożyć na podział zadań. Osobę odpowiedzialną za karty poprośmy o wskazanie zasad ich używania z aplikacjami. Osobę odpowiedzialną za urządzenia służbowe poprośmy o opis sposobu zatwierdzania takiego oprogramowania. Następnie porównajmy odpowiedzi. Czy dotyczą tego samego zakresu czynności i czy prowadzą posiadacza karty do jednoznacznej decyzji? Jeżeli obie sprawy obsługuje jedna osoba, zadajmy jej oba pytania.
Zamiast wyceniać ryzyko NGate bez danych o stratach, ustalmy odpowiedzialność za wyjaśnianie rozbieżności. Do notatki z przeglądu wpiszmy właściciela instrukcji, brakujące ustalenia oraz osobę, która zatwierdzi poprawki. Proponujemy również sprawdzić, kto przyjmie zgłoszenie podejrzanego polecenia dotyczącego PIN-u i kto oceni potrzebę dalszych działań wobec karty oraz telefonu. To zalecany zakres organizacyjny, nie informacja o zabezpieczeniach działających u ofiar kampanii. Samego zapisania tych ustaleń nie przedstawiajmy jako dowodu odporności na NGate; poprośmy również o przejście opisanej ścieżki kontaktu.
Posiadacz karty powinien wiedzieć, gdzie sprawdzić polecenie aplikacji, zanim je wykona.
Brazylijski przykład daje polskiej firmie temat do przeglądu
Według ESET Research kampania dotyczyła użytkowników Androida w Brazylii i na tym kończy się geograficzny zakres faktów. Nie wyciągajmy z tego wniosku o polskich ofiarach ani o wzroście liczby takich zdarzeń w Polsce. Przywołany przypadek wykorzystajmy jako temat kontroli własnych zasad. Oddzielmy przy tym pytanie o wystąpienie incydentu od pytania o gotowość pracownika do oceny polecenia aplikacji.
W polskiej organizacji proponujemy zacząć od ustalenia, czy karty służbowe są używane z aplikacjami na Androidzie i jakie zasady obejmują takie użycie. Odpowiedź powinna wynikać z przeglądu własnych urządzeń i instrukcji. Gdy nie da się jej potwierdzić, zapiszmy „nie ustalono” wraz z zakresem brakującej informacji. Komunikat dla posiadaczy kart oprzyjmy na tej samej ostrożności: opiszmy przekazywanie danych NFC i przechwytywanie PIN-u oraz oczekiwane działanie pracownika, bez ogłaszania lokalnej kampanii. Tak sformułowany komunikat może służyć wyjaśnieniu zasad, bez przypisywania firmie niepotwierdzonego incydentu.
Co z tym zrobić w poniedziałek
Na każde działanie przeznacz najwyżej 30 minut. Zapisz wynik ograniczonego przeglądu oraz to, czego nie udało się ustalić.
- Sprawdź jeden zapis o aplikacjach. Otwórz instrukcję używania karty służbowej i zasady dotyczące telefonu z Androidem. Wskaż, kto zatwierdza aplikację do współpracy z kartą. Jeśli dokumenty nie dają odpowiedzi, zapisz brak i przypisz osobę do jego wyjaśnienia.
- Przećwicz weryfikację polecenia. Na przykładzie żądania podania PIN-u sprawdź w instrukcji drogę kontaktu dostępną posiadaczowi karty. Przejdź ją bez podawania rzeczywistego PIN-u i bez instalowania oprogramowania. Zapisz, czy prowadzi do osoby zdolnej wyjaśnić wątpliwość.
- Przygotuj krótką instrukcję reakcji. Zapisz, komu zgłosić podejrzane polecenie aplikacji dotyczące karty i kto oceni dalsze działania wobec telefonu. Dodaj zasadę wstrzymania spornej czynności do wyjaśnienia. Wskaż właściciela dokumentu i przekaż mu projekt do zatwierdzenia.
Po opisie NGate wymagajmy od kontroli płatności odpowiedzi także na pytanie o zaufanie do aplikacji. Posiadacz karty powinien otrzymać jasną granicę dozwolonych czynności oraz drogę wyjaśnienia wątpliwości. Tę odpowiedź firma powinna mieć gotową, zanim służbowy telefon wyświetli kolejne polecenie.
Źródła
Redakcja cyberinsight.pl.