Đánh giá hệ thống chống gian lận của tổ chức tài chính “M&T Bank”

Trong bài viết này, lấy trang web https://www.mtb.com/ làm ví dụ, chúng ta sẽ xem xét dữ liệu nào được hệ thống chống gian lận của một tổ chức tài chính thu thập.

Hãy sử dụng một công cụ xác định nơi thu thập các tham số và dấu vân tay trình duyệt khác nhau.

Hãy mở trang đăng ký ngân hàng https://www.mtb.com/log-in

Trang web kiểm tra dữ liệu sau nhận được từ trình duyệt của người dùng:

Trang thiết lập kết nối Webrtc, nhận kết quả từ kết xuất âm thanh. Thu thập các bản in Canvas với số lượng lớn, bao gồm cả việc giao nhiệm vụ vẽ Canvas vĩnh viễn và mới (động):

Trang web thu thập dấu vân tay, lấy thông tin về card màn hình và độ phân giải được hỗ trợ bằng công nghệ WebGL.

Hệ thống chống gian lận của trang web thu thập thông tin về pin, loại kết nối và thuộc tính của thiết bị, thông tin về các plugin trình duyệt đã cài đặt và yêu cầu quyền truy cập vào camera của thiết bị. Trang web kiểm tra hỗ trợ Java trong trình duyệt và cố gắng lấy danh sách các thiết bị USB.

Trang web cũng nhận được dữ liệu tiêu chuẩn cho các hệ thống chống gian lận về việc sử dụng chế độ DoNotTrack, tác nhân người dùng và nền tảng thiết bị

kích thước màn hình và hỗ trợ các sự kiện chạm trong trình duyệt

Trang web thu thập danh sách các phông chữ được cài đặt trên hệ thống của người dùng.

Điều quan trọng là phải kiểm tra ngôn ngữ trên trình duyệt, múi giờ của hệ thống và so sánh kết quả với địa chỉ IP của người truy cập trang web.

Hãy cùng Dev Tools xem những thông tin được trang web thu thập nhé

Ngoài thông tin về trình duyệt, trang web còn theo dõi và ghi lại các hành động của người dùng (thay đổi kích thước trình duyệt, các sự kiện nhấp chuột và chạm, nhập văn bản) bằng dấu thời gian trên các trang.

Sau khi nhập văn bản vào trường, dữ liệu được ghi vào Bộ nhớ cục bộ

Và gửi đến máy chủ

Kết luận:

Chúng tôi đã xem xét hầu hết các thông số được giám sát bởi hệ thống chống gian lận của một tổ chức tài chính. Trang web thu thập thông tin chi tiết về trình duyệt và hệ thống, hành động của người dùng trên các trang, nhưng mặc dù vậy, trang web không chặn đăng ký tài khoản tự động hàng loạt, miễn là một số giá trị tham số quan trọng trong trình duyệt chống phát hiện được thay thế bằng các giá trị tương ứng với một số lượng lớn người dùng thực của trang web và sự tương ứng của các giá trị giữa nhau.

Bannykh M.V.