Региональный российский банк подвергся успешной кибератаке через уязвимость в программном интерфейсе (API) системы дистанционного банковского обслуживания (ДБО)¹. Злоумышленники воспользовались недостатком авторизации API-запросов для несанкционированного доступа к счетам клиентов. По предварительным оценкам Банка России, ущерб составил около 180 миллионов рублей. Регулятор направил рекомендации всем кредитным организациям провести аудит безопасности API-интерфейсов.
Механика атаки
По данным специалистов по кибербезопасности, атака была проведена с использованием уязвимости типа BOLA (Broken Object Level Authorization) — одной из наиболее распространённых уязвимостей в REST API². Злоумышленник, имея легитимную учётную запись клиента банка, мог изменить идентификатор объекта в API-запросе и получить доступ к данным и операциям других пользователей.
Атака была скрытной: нестандартные запросы не поднимали алертов в SIEM-системе банка из-за отсутствия детектирующих правил для аномалий на уровне API. Вредоносная активность продолжалась несколько дней до обнаружения².
Системная проблема
Специалисты FinCERT (центра реагирования на киберугрозы финансового сектора) указывают на системный характер проблемы: большинство российских банков второго и третьего эшелона внедряли мобильные банки и Open Banking API в 2020–2022 годах в ускоренном режиме. Тестирование безопасности API нередко было формальным или недостаточным³.
По статистике Positive Technologies, уязвимости в API были обнаружены в 2025 году у 73% протестированных финансовых организаций.
Безопасность API — это не опция, это базовая гигиена. Банк, не тестирующий API на BOLA/IDOR, оставляет открытый сейф, — прокомментировал руководитель FinCERT¹.
---
¹ Инцидент и рекомендации ЦБ — Банк России, пресс-служба, март 2026 — cbr.ru
² Механика атаки — CNews, март 2026 — cnews.ru
³ Статистика API-уязвимостей — ТАСС, март 2026 — tass.ru