Malware w kanale mobilnym: jak ograniczyć fraud, gdy warianty zmieniają się szybciej niż sygnatury?

Z czym mierzył się klient i dlaczego to było krytyczne?

Bank identyfikował powtarzalny schemat działań przestępców: instalacja złośliwej aplikacji na urządzeniu klienta poprzedzała atak, a właściwa sekwencja fraudowa była uruchamiana dopiero po pewnym czasie. Po infekcji występował okres pozornej „ciszy” (kilka godzin do kilku dni), a działania realizowano często w porach obniżonej czujności użytkownika - późnym wieczorem lub w nocy.‍

Kluczowe wyzwania

• Zmienność wariantów malware: nowe pakiety/hashe utrudniające szybkie, jednoznaczne rozpoznanie wyłącznie po sygnaturach.
• Atak jako sekwencja, nie incydent: infekcja → „cisza” → uruchomienie działań fraudowych po czasie.
• Okno czasowe do wykorzystania: możliwość wykrycia sygnałów ryzyka na urządzeniu przed wykonaniem nieautoryzowanej transakcji.
• Potrzeba sygnału operacyjnego: informacja możliwa do wykorzystania w działaniach ochronnych zanim środki opuszczą konto użytkownika końcowego.

Co wdrożyliśmy i jak to działało w praktyce?

W aplikacji mobilnej wdrożono bibliotekę AntiMalware for Mobile, która działa jako warstwa detekcji na urządzeniu klienta. Integracja polegała na dodaniu lekkiej biblioteki do aplikacji oraz uruchomieniu ochrony poprzez wywołanie jednej funkcji inicjującej ochronę. Mechanizmy wbudowane w bibliotekę, wspierane zapleczem algorytmicznym po stronie backendu, umożliwiają identyfikację symptomów infekcji oraz ocenę kontekstu ryzyka w czasie rzeczywistym. Dzięki temu wykrywanie nie opiera się wyłącznie na rozpoznaniu znanych sygnatur - biblioteka potrafi wskazać sytuacje podejrzane również przy nowych i modyfikowanych wariantach.

Jakie były rezultaty i co to zmieniło na co dzień?

Dynamiczna detekcja w aplikacji przesunęła reakcję z etapu „po zdarzeniu” na wcześniejszą identyfikację ryzyka na urządzeniu klienta - również wtedy, gdy wariant nie był jeszcze ujęty w bazach sygnatur. Sygnał z urządzenia i analiza anomalii stały się praktycznym wsadem do procesów antyfraudowych, umożliwiając szybsze i bardziej selektywne działania ochronne. W efekcie bank mógł realnie wykorzystać „okno czasowe” między infekcją a próbą fraudu, ograniczając sytuacje, w których jedynym punktem zaczepienia była transakcja lub reklamacja.

Efekty po wdrożeniu

• Wcześniejsza identyfikacja ryzyka malware na urządzeniu klienta (również dla wariantów poza bazami sygnatur).
• Lepsze wykorzystanie „okna czasowego” między infekcją a próbą fraudu - możliwość działań prewencyjnych przed transakcją.
• Szybsze i bardziej selektywne działania antyfraudowe dzięki operacyjnemu sygnałowi z urządzenia (mniej reakcji dopiero na etapie reklamacji).
• Skuteczność w kampaniach o szybko zmieniających się wariantach (nowe pakiety/hashe przy tym samym schemacie ataku).

Chcesz poznać szczegóły wdrożenia? Napisz do nas.