Vulnerability Pada Layanan Perbankan

Selamat pagi pengunjung blog saya tercinta, kali ini saya akan mengulas tentang Vulnerability Pada Layanan Perbankan yang saya ringkas dari materinya mas Digit dari S3.
Artikel ini bertujuan untuk menjadikan kita lebih hati-hati dalam melakukan transaksi keuangan menggunakan media elektronik.

Beberapa Case Study kerentanan keamanan di perbankang antara lain: 

1. SIM Card Swap Attack
2. Serangan Pada Celah Keamanan Aplikasi Mobile Banking
3. Device tapping (MITM) pada bagian belakang Mesin ATM (Comm Box)
4. Meningkatnya Kasus Incident Malware pada Mesin ATM
5. Serangan Terhadap Point Of Sales System
6. Insiden Attack pada SWIFT Server di Institusi Perbankan 

 1. SIM Card Swap Attack

• Attack ini tidak secara langsung melibatkan institusi perbankan, namun targetnya adalah nasabah Bank yang memiliki akses transaksi online / mobile banking
• Modusnya adalah Nomor HP yang dimiliki oleh nasabah yang digunakan sebagai Soft Token (Token) untuk transaksi Online / Mobile Banking
• Attacker berpura-pura sebagai pemilik Sim Card dari si Target (Nasabah yang menjadi target), dan mengaku bahwa SIM Card nya rusak / hilang / error, sehingga ingin menukar SIM Card Baru di gerai telepon seluler
• Bermodal Surat Kuasa Palsu dan Foto Copy KTP Palsu, Attacker berhasil mendapatkan SIM Card Baru yang notabene SIM Card milik si Nasabah Target
• Attacker lalu berhasil mendapatkan nomor HP (SIM Card) Nasabah yang menjadi target tadi dari gerai telepon seluler
• Nasabah Asli lalu sadar bahwa Nomor HP nya telah ter-disable karena adanya pergantian SIM Card, sehingga SIM Card lama yang notabene digunakan oleh nasabah tersebut langsung ter-disable
• Attacker mendapatkan OTP melalui SMS Untuk transaksi Online Banking, dimana sebelumnya Attacker sudah mendapatkan user dan password untuk login ke layanan Online Banking Nasabah Target tsb
• Karena telah terjadi SIM Card Swap, maka OTP Token untuk transaksi yang berupa SMS, di kirim ke attacker untuk kemudian digunakan attacker untuk transaksi

Lindungi SIM Card Swap

2. Serangan Pada Vulnerability Aplikasi Mobile Banking

• Mobile Malware - Trojans, viruses dan rootkits mulai berlaih dari serangan terhadap online banking ke arah aplikasi mobile seiring dengan meningkatnya pertumbuhan jumlah penguna pada aplikasi di Smartphone.
• Aplikasi Pihak Ketiga (3rd Party) – Aplikasi yang terinstall pada Smartphone Users bias saja dari Sumber yang tidak trusted (APK File), yang mana bias saja terdapat malware pada file APK tersebut sehingga transaksi perbankan pada Smartphone juga rentan terhadap kejahatan cyber.
• Akses Wi-Fi Publik yang tidak aman – User yang menggunakan koneksi internet pada layanan Wi-Fi Publik juga terancam dalam bahaya terlebih ketika mereka sedang bertransaksi menggunakan layanan perbankan menggunakan koneksi Wi-Fi Public.
• User Behavior – Security Awareness user yang cenderung sangat rendah berpotensi pada terjadinya kejahatan pada layanan perbankan. Milsanya pada mudahnya user tertipu pada phishing email atau clickjacking pada social media seperti FB, Twitter, dll. 

Serangan Pada Vulnerability Aplikasi Mobile Banking
Case Study :
https://boris.in/blog/2016/the-bank-job/

Security Expert menemukan celah keamanan pada aplikasi mobile banking yang tidak memanfaatkan certificate pinning, sehingga memungkinkan adanya serangan man-in-the-middle dimana attacker dapat melakukan downgrade SSL connection and dapat meng-capture traffic dalam plain text (not encrypted).

Dia juga menemukan aplikasi mobile banking tersebut memiliki celah keamanan pada login session dimana attacker dapat menggunakan kembali session id yang dimiliki oleh user, dan session id tersebut tidak ada batas expired time nya.

3. Device tapping (MITM) ATM Network

• Terdapat jenis cyber crime baru yang menargetkan mesin ATM sebagai sasaran. Terutama ATM Offsite yang berada terpisah dari kantor cabang. Serangan ini bertujuan untuk melakukan hijacking pada kabel Ethernet di Mesin ATM (Comm Box) untuk dapat mencuri informasi yang lewat dari Communication Box tersebut. (Data Transaksi, Data Debit Card Nasabah, etc)
• Serangan ini menggunakan device yang ditancapkan di antara Mesin ATM dan Kabel pada Comm Box Mesin ATM tersebut yang bertujuan untuk mengambil informasi sepert informasi kartu, sedangkan informasi terkait PIN biasanya di ambil menggunakan kamera kecil yang sudah terpasang di sekitar mesin ATM
• Trend attack jenis tersebut merupakan trend terbaru, dimana saat ini kejahatan di ATM seperti Skimming untuk penggandaan kartu sudah banyak diketahui oleh orang banyak, dan sudah ada tekologi yang dapat mendeteksi alat Skimmer pada mesin ATM, oleh karena itu hacker mencari jalan lain untuk melakukan kejahatan yang melibatkan Mesin ATM.

Device tapping (MITM) ATM Network

4. ATM Malware Attack

• Issue utama terkait malware yang spreading melalui ATM adalah permasalah physical security pada mesin ATM itu sendiri. Ketika attacker bias mendapatkan akses terhadap port USB atau DVD Optical Drive, hacker bisa menyisipkan malware melalui media tersebut.
• Banyak Mesin ATM yang masih menggunakan Windows XP, yang mana sudah obsolete dan tidak update, sehingga sangat vulnerable terhadap berbagai celah keamanan yang ada dan menjadi sasaran utama attacker
• Anti Virus yang di install pada Mesin ATM tidak adapat memberikan proteksi yang maksimal dikarenakan sangat sulit untuk mengupdate database virus signature pada mesin ATM

ATM Malware Attack

5. Serangan Terhadap Point Of Sales System

• Ketika Customer membayar pada POS Terminal menggunakan credit / debit card, data yang ada pada kartu tersebut kemudian melalui berbagai system dan network sampai akhirnya masuk di Payment Processor retail.
• Masih banyak POS system yang menggunakan old operating system : Windows XP atau Windows XP Embeddedd yang mana terdapap berbagai macam vulnerability yang bias menjadi celah masuk bagi attacker.
• Adopsi EMV yang masih dalam proses

Typical anatomy attack pada POS Systems :
Serangan terhadap POS System biasanya dilakukan secara bertahap :

• Pertama, attacker harus mendapatkan akses ke dalam network target
• Kemudiaan setelah berhasil masuk ke dalam network target, attacker mendapatkan akses ke dalam POS System
• Selanjutnya, attacker akan meng-install malware dengan tujuan untuk mencuri data dari system yang berhasil di-comprimised
• Sebagaiana lazimnya POS System yang tidak memiliki akses terhadap external network (internet), lalu data yang berhasil di curi oleh attacker tersebut di kirim ke internal staging server, lalu dari situlah data tersebut dikirimkan keluar

PoS malware biasanya di identifikasikan dalam 4 kategori sebagaimana fungsinya :

• Network Sniffer
• File Scraper (Untuk mencari Sensitive Data)
• Keylogger
• Memory Scraper

Serangan Terhadap Point Of Sales System

6. Insiden Attack pada SWIFT Server di Institusi Perbankan

• Attack vector menggunakan malware untuk mendapatkan akses terhadap local system
• Setelah mendapatkan akses terhadap salah satu local system, lalu attacker mendapatkan akses terhadap server SWIFT
• Setelah mendapatkan akses terhadap server SWIFT System, attacker mengirim fake transfer SWIFT terhadap account tujuan yang sudah di jadikan sasaran sebagai mule account (penadah)

Insiden Attack pada SWIFT Server di Institusi Perbankan 

How Bangladesh Bank's SWIFT software was hacked with malware.
(Source: BAE Systems Applied Intelligence.)

How Can Digital Signature & Digital Certificate Protect Banking Institution

• Mengimplementasikan protocol SSL/TLS pada aplikasi mobile banking dimana aplikasi tersebut mengirimkan informasi dan data yang sensitive
• Mengamankan aplikasi mobile banking dengan menerapkan SSL Certificate Pinning pada aplikasi mobile banking
• Menerapkan protocol SSL/TLS pada sisi server dan client pada mesin ATM untuk mengamankan jalur komunikasi antara mesin ATM dengan server, serta untuk menjamin integritas data yang dikirimkan melalui jalur komunikasi tersebut
• Point of Sales System dapat mengimplementasikan internal CA untuk melindungi dan mengamankan POS Terminal System dan Server POS

How Can Digital Signature & Digital Certificate Protect Banking Institution

• Bank dan juga Operator Telekomunikasi dapat mengimplementasikan Tanda Tangan Digital Untuk mencegah terjadinya Fraud yang mana dapat ber-Impact juga pada nasabah Bank yang menggunakan SMS Sebagai Soft Token OTP
• Dokumen yang disertakan Tanda Tangan Digital dapat menjadi alat pendukung yang kuat untuk meyakinkan Operator Telekomunikasi bahwa orang yang bersangkutan adalah orang yang benar-benar mengajukan penggantian SIM Card, sekalipun diwakili oleh orang lain
• Implementasi Digital Signature Pada Email untuk setiap entitas karyawan internal banking, untuk menjamin bahwa setiap pesan yang di kirim dan di terima merupakan pesan yang valid dan terjamin integritas informasi data yang dikirimkan melalui email tsb.