5 минут чтенияИсточник: years via Getty ImagesИсследователи обнаружили критическую уязвимость в программе аппаратной аутентификации, используемой для доступа к высокочувствительным глобальным правительственным и финансовым системам. В случаях, когда чисто цифровые методы просто недостаточно безопасны, особенно осторожные организации могут требовать, чтобы пользователи аутентифицировались в чувствительных системах с помощью аппаратной многофакторной аутентификации (MFA). В конце концов, вы не хотите, чтобы простая пароль позволила хакерам получить доступ к системе, которая облегчает финансовые переводы или официальные государственные дела. Аппаратная MFA требует какого-то средства для связи между аппаратным токеном и соответствующим веб-сайтом, что, как постоянно выясняют исследователи, является слабым местом во всей схеме. "SConnect", принадлежащий конгломерату Thales Group, является одним из таких примеров. Это расширение для браузера с более чем 1 миллионом пользователей в Chrome Web Store и множеством других в других магазинах приложений. Оно используется для аутентификации в основных национальных государственных системах — таких как национальный идентификатор Катара, Tawtheeq, и Шведское налоговое агентство, Skatteverket — а также в различных банковских и страховых порталах. Особенно примечательно, что SConnect долгое время был одним из основных методов доступа к банковской системе Society for Worldwide Interbank Financial Telecommunication (SWIFT), которая поддерживает всю глобальную финансовую инфраструктуру.
Связано: Готова ли ваша организация к эпохе ответственности за ИИ в 2027 году?
В отчете, который был эксклюзивно представлен Dark Reading перед публикацией, эксперты по расширениям браузера из Bay Area Labs описали уязвимость в SConnect. Эта уязвимость позволяет злоумышленникам выполнять атаки удаленного выполнения кода (RCE) с помощью drive-by против пользователей за считанные секунды. И, как говорят исследователи, потенциальные сценарии атак могут стать гораздо хуже.
Thales Group исправил SConnect в Apple App Store и Chrome Web Store в августе и полностью удалил приложение из Microsoft Edge в сентябре. 1 октября была опубликована CVE, CVE-2026-18397. Компания присвоила ей "критическую" оценку 9.4 из 10 по шкале Common Vulnerability Scoring System (CVSS) 4.0, и пользователям следует обновить свои экземпляры как можно скорее.
Критическая уязвимость в правительственном, банковском программном обеспечении
SConnect, как и другое чувствительное программное обеспечение для аутентификации, сочетает легкое расширение браузера с рабочей настольной программой. Пользователи посещают веб-сайты, интегрированные с SConnect, вводят свои аппаратные ключи в компьютеры или считыватели подключенных устройств, и расширение и родной хост обеспечивают двустороннюю связь, как два маленьких юриста. Если все идет по плану, программное обеспечение подтверждает, что как веб-сайт, так и аппаратный токен являются доверенными, авторизованными сущностями.
Связано: Накопление уязвимостей — это проблема владения
Первая проблема с SConnect заключалась в том, что расширение браузера принимало сообщения с любой веб-страницы или встроенного iframe, будь то банковская система SWIFT или lowtpills[.]com. Таким образом, любой злоумышленник мог попытаться вмешаться в поток аутентификации SConnect, если бы он смог заставить жертву перейти на нужную веб-страницу.
SConnect, конечно, все равно проверял, что сайт был авторизован, проверяя, есть ли у него действительная цифровая подпись RSA от своего поставщика, Thales Group. При этом он резервировал буфер для хранения результата вычисления RSA. Разработчики приложения сами спроектировали эту проверку, пришли к выводу в Bay Area Labs, и не смогли защититься от сценария, в котором злоумышленник предоставил недействительную, слишком большую подпись. В этом случае вычисление не удалось бы, не записывая ничего в зарезервированное пространство памяти. SConnect не проверял, успешно ли прошло первоначальное вычисление, но все же читал устаревший буфер. Если злоумышленник заполнил его тщательно разработанными байтовыми шаблонами, предназначенными для подделки результатов подписи, программное обеспечение могло бы принять подмену злоумышленника за действительную. С использованием агентов ИИ Bay Area Labs удалось добиться этого примерно в 18% случаев, когда они пытались, и в то же время неудачные попытки не вызывали видимых ошибок, которые могли бы предупредить пользователей о том, что они находятся под атакой.
Связано: Как альянс CISO-CMO создает доверие до того, как произойдет кризис
"В конце концов," объясняет основатель Bay Area Labs Джеймс Арнотт, "они реализовали криптографическую проверку, и сделали это сами. Они не использовали библиотеку, и у них это не получилось."
В результате злонамеренные веб-сайты могли пройти проверку безопасности SConnect и загрузить вредоносную динамическую библиотеку (DLL) через его родной хост для неограниченного RCE. В своих тестах исследователи смогли выполнить атаку от начала до конца за шесть-десять секунд. "Посетите страницу с вредоносным iframe, и тогда вы были заражены. Честно говоря, с этого момента вы можете делать практически все, что хотите," говорит Арнотт.
Это не очевидная уязвимость, которую просто эксплуатировать, признает он, но возможности ускорения ИИ делают эксплуатацию доступной: "Ранее это потребовало бы усилий на уровне государства. Но когда я разрабатывал эту уязвимость, это было очень сильно управляемо агентами. Агенты использовали Ghidra для декомпиляции родного хоста, а затем Frida, чтобы посмотреть на память, чтобы увидеть, что будет успешным для спрея кучи, а что нет."
Thales Group еще не ответила на запрос Dark Reading о комментарии по этому делу.
Защитники, переоцените вашу безопасность SWIFT
Чтобы аутентифицироваться в системе SWIFT, вам понадобится "3SKey" — USB-токен безопасности, распределяемый партнерским корпорациям для их наиболее высокоправомочных сотрудников.
На протяжении многих лет программное обеспечение по умолчанию, соединяющее 3SKeys с системой, которую они разблокировали, было SConnect. В сентябре 2025 года кооператив SWIFT представил замену под названием "Web Connect". С тех пор он пытался перевести своих корпоративных клиентов на Web Connect и отказаться от SConnect.
SConnect вышел из эксплуатации (EoL) в прошлом месяце, но это не значит, что все уже сделали переход.
"Я подозреваю, что у большинства людей он все еще есть, если они используют SWIFT, [поскольку] SConnect является резервным вариантом, если Web Connect еще не настроен," предполагает Арнотт. Он признает, что это очень сложно.