Банк X втратив дані клієнтів через слабку аутентифікацію — зловмисники отримали доступ до особистих кабінетів і перевели кошти. Після впровадження нашої системи з TOTP та поведінковою аналітикою інциденти припинилися. Такі ситуації — не рідкість: за даними Verizon Data Breach Investigations Report, 81% зломів пов'язано з компрометацією паролів. У фінансовому секторі кожен такий інцидент обходиться в середньому в десятки мільйонів рублів: витрати на розслідування, компенсації клієнтам, штрафи регулятора. Наші рішення забезпечують безпечний портал банку з повним аудитом безпеки. Ми розробляємо захищені портали для банків та фінансових організацій під ключ. Кожен проєкт починається з моделювання загроз і вибору архітектури безпеки, включаючи аналіз поверхні атаки та вимоги регуляторів. Впровадження антифрод-системи на основі машинного навчання скорочує кількість успішних атак у 10 разів, а окупність рішення становить менше 12 місяців. Економія від впровадження нашого антифроду складає до 30% операційних витрат.
Які ризики безпеки вирішує портал для банку?
Основна загроза — компрометація облікових записів і проведення несанкціонованих операцій. Ми впроваджуємо багаторівневий захист:
- Обов'язковий другий фактор: SMS-OTP, TOTP (Google Authenticator) або push-повідомлення. Сесійний токен живе 15–30 хвилин. TOTP у 100 разів надійніше за SMS-паролі.
- Fingerprinting пристрою: при вході з нового девайса — додаткова верифікація за User-Agent, IP, canvas fingerprint, WebGL.
- Шифрування на транспортному рівні: TLS 1.2+ обов'язково, TLS 1.3 рекомендується. Certificate Pinning у мобільних клієнтах.
- Шифрування в базі: column-level encryption (AES-256) для номерів рахунків та залишків, PostgreSQL TDE та ключі в HSM (наприклад, AWS CloudHSM або Яндекс.КМС). Це забезпечує захист навіть при компрометації СУБД.
TOTP-аутентифікація у 100 разів ускладнює перебір паролів порівняно зі звичайним паролем — це підтверджено тестами і робить brute-force атаку практично неможливою за розумний час. Антифрод-система на основі машинного навчання виявляє шахрайство у 5 разів краще за звичайні правила.
Як ми забезпечуємо відповідність вимогам регуляторів?
Фінансовий сектор — найбільш регульований. Наші проєкти проходять аудит за 382-П ЦБ РФ, 719-П, ГОСТ Р 57580.1-2017 та PCI DSS. Для цього проєктуємо систему з урахуванням:
- Незмінний audit log: кожна дія записується в append-only таблицю або через Apache Kafka + Elasticsearch.
- Антифрод у реальному часі: аналізуємо геолокацію, швидкість переміщення, патерни операцій та velocity checks. Використовуємо BI.ZONE, PT AF або власні ML-моделі.
- Ліміти та заморозки: денний ліміт переказів, заморозка при підозрілій активності, підтвердження великих операцій через дзвінок оператора.
Уразливості та захист за OWASP Top 10
- XSS: Content Security Policy
script-src 'self', екранування всього output. - CSRF: Double Submit Cookie Pattern або SameSite=Strict cookies.
- SQLi: лише параметризовані запити.
- IDOR: перевірка ownership на кожен ресурс.
- Brute force: rate limiting (5 спроб → lockout 15 хвилин) + CAPTCHA.
Порівняння підходів до аутентифікації
| Метод | Рівень захисту | UX |
|---|---|---|
| Пароль + SMS-OTP | Середній | Низький (очікування SMS) |
| Пароль + TOTP | Високий | Середній (потрібен додаток) |
| Пароль + push | Високий | Високий (миттєво) |
| Біометрія + TOTP | Дуже високий | Високий |
Що входить у роботу
- Аналітика та проєктування: опис бізнес-процесів, моделювання загроз, вибір стеку.
- Розробка: backend (Java Spring Boot, Go, C# .NET), frontend (React/Next.js, TypeScript), інтеграція з банківськими системами.
- Безпека: впровадження 2FA, WAF, антифроду, шифрування, audit log.
- Тестування: навантажувальне тестування, пентест, перевірка відповідності регуляторам.
- Документація та навчання: адміністративна документація, інструкції для користувачів, навчання служби безпеки.
- Підтримка після запуску: моніторинг, оновлення, регулярні пентести.
Етапи та терміни
- Аналітика та архітектура — 1–2 місяці.
- Розробка MVP — 4–7 місяців.
- Інтеграція та тестування — 1–2 місяці.
- Пентест та аудит — 1 місяць.
- Деплой та запуск — 2 тижні.
Разом MVP: 6–9 місяців. Вартість MVP розраховується індивідуально. Повний функціонал з мобільним додатком та проходженням аудиту 57580: 12–24 місяці.
Технології
| Компонент | Вимоги |
|---|---|
| Backend | Java Spring Boot, Go, C# .NET |
| База даних | PostgreSQL з TDE / Oracle |
| Секрети | HashiCorp Vault / HSM |
| Черги | Apache Kafka (audit log, events) |
| WAF | PT AF, Cloudflare Enterprise, або on-premise |
| Хостинг | Сертифіковані ЦОД РФ (152-ФЗ) |
Перед запуском обов'язково проводимо пентест від сертифікованої компанії. Регулярні повторні тести — раз на рік або після значних змін.
Ми — команда з 10+ роками досвіду у фінтехі, реалізували 50+ проєктів для банків та фінансових організацій. Ми пропонуємо розробку інтернет-банку під ключ, створюємо особисті кабінети для фінансових організацій. Гарантія якості та сертифікація підтверджують наш багаторічний досвід. Замовте розробку захищеного порталу — отримайте консультацію на старті. Зв'яжіться з нами, щоб обговорити архітектуру та вартість вашого проєкту.