Помогли «Ozon Банку» найти и устранить уязвимости в сети банкоматов

Команда BI.ZONE ESSA и специалисты по тестированию на проникновение оценили защищенность новой сети банкоматов и помогли «Ozon Банку» повысить уровень безопасности инфраструктуры

О кейсе

Клиент

Российский банк с универсальной лицензией ЦБ, который развивает финансовые и платежные сервисы для физических и юридических лиц: дебетовую и кредитную «Ozon Карту», накопительные счета и вклады, РКО, интернет‑эквайринг, онлайн‑бухгалтерию и др. У банка уже более 38,6 млн активных клиентов

Задача

Комплексно оценить уровень защищенности банкоматов и провести тестирование на проникновение

Результат

Предоставили полную картину уровня защищенности банкоматов. Банк заблаговременно устранил уязвимости, минимизировав потенциальные риски

Услуги BI.ZONE

BI.ZONE ESSA

Тестирование на проникновение

Сроки

1 месяц

Это интересно

Помогли банку защититься от атак типа black box и jackpotting

Ситуация

В 2025 году «Ozon Банк» развернул масштабную кампанию по установке сети собственных банкоматов по всей стране. Компания ответственно подходит к вопросам кибербезопасности и перед реализацией такого крупного проекта обратилась к нам, чтобы получить независимую оценку закупаемых банкоматов и повысить уровень защищенности своей инфраструктуры.

Банк хотел убедиться, что его системы, а также финансы и данные пользователей будут под защитой. Поэтому команда BI.ZONE ESSA и специалисты по тестированию на проникновение проверили банкоматы и провели комплексный анализ их защищенности

Решение

Оценка BI.ZONE ESSA

Исследователи из команды BI.ZONE ESSA оценили уровень защищенности банкоматов на всех уровнях: от аппаратных компонентов и встроенного ПО до прикладных приложений и внешних интерфейсов.

Наши специалисты проверили защищенность образа ОС управляющего программного комплекса (ПК) банкоматов и проанализировали:

возможность выхода из режима киоска
безопасность процесса загрузки управляющего ПК банкомата
возможность повышения привилегий в ОС
возможность обхода средств защиты Device Control и Application Control
процесс обработки и хранения конфиденциальных данных клиента

Также эксперты проверили, насколько банкоматы защищены от мошеннических и физических атак, и исследовали:

возможность получения несанкционированного доступа к сервисному кабинету
возможность проведения атаки типа black box
безопасность процессов внесения и выдачи денег в банкомате
конструктивные особенности банкомата на уязвимость к мошенническим атакам

Тестирование на проникновение

Эксперты BI.ZONE смоделировали действия злоумышленников и провели ряд многовекторных проверок: от тестирования сетевого периметра и поиска существующих уязвимостей на уровне приложений до эскалации привилегий и доступа к критическим активам, в том числе конфиденциальной информации.

Наши специалисты работали в следующих направлениях:

Защищенность сетевого периметра. Проанализировали уязвимости сетевого оборудования и средств защиты. А еще проверили, возможно ли преодолеть периметр и получить доступ к внутренним ресурсам
Защищенность внутренних систем. Выполнили поиск уязвимостей в ОС, сервисах (СУБД, веб‑приложения) и на рабочих станциях. Смоделировали атаки для компрометации внутренних IT‑сервисов
Модель разграничения доступа. Проверили, способен ли рядовой пользователь эскалировать привилегии до администратора. Оценили риски получения несанкционированного доступа к критическим активам, таким как контроллер домена

В каждый проект мы вкладываем наши знания, накопленные за годы работы в сфере практической кибербезопасности. Мы стараемся, чтобы результаты наших работ приносили реальную пользу: укрепляли защиту, помогали проверять эффективность процессов и средств защиты информации.

Михаил Сидорук

Руководитель управления анализа защищенности, BI.ZONE

Результаты

Банк получил два детальных отчета:

Команда BI.ZONE ESSA выступила для банка экспертной поддержкой в диалоге с производителем банкоматов, предоставила описание слабых мест с доказательствами возможности их эксплуатации, а также провела подробные консультации по найденным уязвимостям
Специалисты по тестированию на проникновение не только предоставили список недочетов и варианты их эксплуатации, но и дали рекомендации по устранению уязвимостей, а также по изменениям в процессах и архитектуре, которые позволят системно укрепить безопасность IT‑ландшафта компании

Это позволило банку не только выявить полный спектр ранее неизвестных уязвимостей, но и сформировать четкий план действий. Устранение этих уязвимостей дает возможность минимизировать репутационные и финансовые риски для самого банка, а также повышает безопасность конечных потребителей, защищая их данные и финансы