Studie: Wie sicher sind die Mobile Apps der 100 erfolgreichsten FinTech-Startups?

ImmuniWeb hat den Stand der Web & Mobile Apps bei den bekanntesten und finanziell am besten ausgestatteten FinTech-Startups untersucht, die von CB Insights identifiziert wurden. Das Unternehmen habe herausgefunden, dass 98 der Top-100-Unternehmen anfällig für Phishing und Web- & Mobile Apps Angriffe seien.

ImmuniWeb führte nach eigenen Angaben verschiedene nicht-intrusive Sicherheits-, Datenschutz- und Compliance-Prüfungen durch. Das Ziel: Potenzielle Sicherheitslücken auf den wichtigsten Webseiten und Subdomains der 100 FinTech-Startups zu finden.

Das Ergebnis:

1. Alle haben Sicherheits-, Datenschutz- und Compliance-Fehler im Zusammenhang mit aufgegebenen oder vergessenen Web Apps, APIs und Subdomains.
2. 8 Hauptwebseiten und 64 Subdomaine weisen mindestens eine öffentlich gemeldete und ausnutzbare Sicherheitslücke mit mittlerem oder hohem Risiko auf.
3. Die am häufigsten auftretenden Sicherheitslücken auf Webseiten waren XSS (Cross Site Scripting, OWASP A7), Sensitive Data Exposure (OWASP A3) und Security Misconfiguration (OWASP A6).
4. Die älteste nicht gepatchte Sicherheitslücke ist CVE-2012-6708, die sich auf jQuery 1.7.2 auswirkt.
5. Alle mobilen Apps enthalten mindestens 1 Sicherheitslücke mit mittlerem Risiko, 97% haben mindestens 2 Sicherheitslücken mit mittlerem oder hohem Risiko.
6. 56% der Backends für mobile Apps (REST / SOAP-APIs) weisen schwerwiegende Fehlkonfigurationen oder Datenschutzprobleme im Zusammenhang mit der SSL / TLS-Konfiguration und einer unzureichenden Absicherung der Webserversicherheit auf.

Wichtigste Erkenntnisse zu Konformität:

1. 62% der Hauptwebseiten der Unternehmen haben den PCI-DSS-Konformitätstest nicht bestanden. Die Hauptursache war veraltete Open-Source- und kommerzielle Software und deren Komponenten (Anforderung 6.2).
2. 64% der Hauptwebseiten der Unternehmen haben die GDPR-Bestimmungen ebenfalls nicht eingehalten. Nach anfälliger Web-Software ist der zweithäufigste Grund ein fehlender Cookie-Haftungsausschluss oder nicht gesetzte Sicherheitsflags in Cookies, die Tracking-, PII- oder andere vertrauliche Informationen übertragen. Die dritte Hauptursache ist fehlende oder unzugängliche Datenschutzrichtlinien.

Die Studie betont die zunehmenden Herausforderungen im Bereich Cyber-Sicherheit, denen sich sowohl dynamische FinTech-Unternehmen als auch etablierte Finanzinstitute gegenübersehen. Auf den ersten Blick sieht es in der FinTech-Branche vergleichsweise besser aus.

Wenn wir jedoch die Anzahl und Komplexität der verwalteten IT-Systeme pro Organisation in Beziehung setzen, kann die Schlussfolgerung zugunsten der Banken eindeutig abweichen. Trotzdem unterstreichen die Zahlen aus der Studie ein anständiges Maß an Cyber-Sicherheit inmitten der FinTech-Unternehmen, was Engagement und Sorgfalt belegt.”

Ilia Kolochenko, CEO ImmuniWeb

Die Untersuchung zeige ebenfalls, dass mangelnde Sichtbarkeit eines der am weitesten verbreiteten, nachteiligsten und manchmal fast unüberwindbaren Hindernisse für eine kohärente und ganzheitliche Informationssicherheit sei. ImmuniWeb ist der Ansicht, dass der zunehmenden Verbreitung von Cloud- und Container-Technologien, des Outsourcings geschäftskritischer Prozesse und des Datenaustauschs mit zahlreichen Drittanbietern die unvollständige Transparenz wahrscheinlich die Achillesferse der Informationssicherheit bleiben wird.

Infografiken und Bericht finden Sie hier im Internet.aj