Mobil bankacılık uygulama güvenliği, telefondaki bankacılık uygulamasını ve içinden geçen kimlik bilgisi, bakiye ve işlem verisini kötü niyetli erişimden koruyan önlemlerin tamamıdır. Buradaki zorluk, uygulamanın bankanın kontrol edemediği bir ortamda, kullanıcının kendi telefonunda çalışmasıdır; cihaz güvensiz, ağ düşman ve kullanıcı kandırılmış olabilir. Bu yüzden savunma, uygulamanın çevresine güvenmeyip kendi kendini koruyacak şekilde tasarlanır.

Mobil bankacılık güvenliği, bankanın kontrol etmediği bir cihazda, düşman bir ortamda kendini savunabilen bir uygulama tasarlama sanatıdır.

En Büyük Tehdit: Bankacılık Zararlıları

Mobil bankacılığın baş belası, özel olarak bu amaçla yazılmış zararlı yazılımlardır. Bankacılık truva atı genellikle masum bir uygulama kılığında telefona sızar ve ardından bankacılık uygulaması açıldığında devreye girer. En yaygın tekniği overlay saldırısıdır: gerçek uygulamanın üzerine sahte bir giriş ekranı bindirir, kullanıcı bilgilerini o sahte ekrana girer ve veriler doğrudan saldırgana gider. Bazı truva atları gelen SMS doğrulama kodlarını da okuyarak ikinci faktörü bile atlatmaya çalışır.

İkinci yaygın tehdit sahte uygulamalardır; resmi uygulama mağazalarına ya da üçüncü taraf kaynaklara bankanın adını ve logosunu taşıyan taklit uygulamalar yüklenir. Kullanıcı gerçek sandığı bu uygulamaya giriş bilgilerini verdiğinde hesabı ele geçirilir. Bu tehdit çoğunlukla, kullanıcıyı sahte uygulamayı indirmeye yönlendiren bir Kimlik avı mesajıyla başlar.

Uygulama Tarafındaki Savunmalar

Uygulama, çalıştığı cihazın güvenli olup olmadığını kendisi değerlendirmelidir. Kök erişimi (root/jailbreak) tespiti, hata ayıklayıcı ve emülatör algılama, kod bütünlüğü kontrolü ve ekran üstü bindirme (overlay) tespiti, uygulamanın manipüle edilmiş bir ortamda çalışmayı reddetmesini sağlar. Ayrıca hassas ekranlarda ekran görüntüsü ve ekran kaydının engellenmesi, verinin görsel yolla sızmasını zorlaştırır.

• Kök/jailbreak ve emülatör tespitiyle güvensiz cihazda çalışmayı reddetme
• Overlay (ekran bindirme) saldırılarını algılama ve engelleme
• Sunucuyla iletişimde sertifika sabitleme (certificate pinning)
• Hassas ekranlarda ekran görüntüsü ve kayıt engelleme
• Hassas verinin cihazda şifreli, mümkünse donanım destekli alanda saklanması

Kimlik Doğrulamanın İncelikleri

Mobil bankacılık, parmak izi ve yüz tanıma gibi kolaylıklar sunmak için Biyometrik kimlik doğrulama kullanır; bu hem güvenliği hem kullanıcı deneyimini iyileştirir, çünkü biyometrik veri cihazın güvenli donanımında kalır ve bankaya gönderilmez. Ancak mobil ortam kendine has zorluklar taşır. SIM swap, cihaz klonlama ve SMS ele geçirme gibi tehditler, telefona dayalı doğrulamayı zayıflatabilir; bu yüzden telefon numarasına güvenen her akış Mobil kimlik doğrulama riskleri gözetilerek tasarlanmalı, kritik işlemler cihaz bağlama (device binding) ile güçlendirilmelidir.

Sürekli Test ve Doğrulama

Mobil uygulamalar sık güncellenir ve her yeni sürüm, yeni bir kütüphane ya da yeni bir özellikle birlikte önceki testlerin görmediği açıklar getirebilir. Ayrıca saldırganlar uygulamayı tersine mühendislikle sökerek gizli anahtarları ve API uçlarını arar. Bu değişen saldırı yüzeyinin sürekli denetlenmesi için Düzenli zafiyet tarama hizmetimiz her sürümdeki yeni açıkları, uygulama saldırganların eline geçmeden önce yakalamaya odaklanır.