Fintech-penetraatiotestaus maksu- ja pankkisovelluksille

Hyökkäyspinnat ja riskit

Rajaa fintech-penetraatiotestaus niihin sovelluksiin, rajapintoihin ja rahansiirtoprosesseihin, jotka on tarpeen testata.

Testaamme, miten järjestelmäsi käyttää KYC-, maksu-, pankki- ja eID-palveluihin tehtyjä integraatioita.

Maksaminen

Fintech-penetraatiotesti voi kattaa maksuprosessit, integraatiot maksupalveluntarjoajiin ja ulosmaksut. Testaamme, voivatko kahdentuneet tai uudelleen lähetetyt pyynnöt tai webhookit johtaa rahan siirtymiseen kahdesti. Tutkimme myös, pitävätkö pyyntötiheyden rajoitukset, kun pyyntöjä toistetaan nopeasti.

Valtuutusta testatessamme tutkimme, voiko käyttäjä aloittaa, muuttaa tai hyväksyä maksun, maksunpalautuksen tai ulosmaksun ilman siihen tarvittavaa oikeutta. Maksunpalautusten, kampanjoiden ja korttimaksujen takaisinveloitusten väärinkäyttöä tutkimme logiikkavirheinä.

Maksupalveluntarjoajien integraatioissa testaamme, miten järjestelmäsi käsittelee vastauksia ja takaisinkutsuja. Kassatoiminnon testauksesta kerromme sivulla Penetraatiotestaus verkkokaupoille.

Luotonanto- ja pankkisovellukset

Luotonanto- ja pankkisovellusten testaus voi kattaa verkkopankin verkkosovelluksen, mobiilipankkisovelluksen ja verkkosovelluksen, jossa asiakkaat jättävät hakemuksia. Testaamme näiden sovellusten taustalla olevia API-rajapintoja. Testattaviin kohteisiin kuuluvat myös asiakkuuden avaamiseen liittyvät kutsut, KYC-kutsut sekä tili- ja takaisinmaksunäkymiä palvelevat päätepisteet.

Testaamme todentamista ja kahden tekijän todennusprosesseja. Tutkimme myös, pääseekö asiakas toisen asiakkaan tietoihin ilman valtuutusta. Lisäksi testaamme kirjautumisen ja asiakkuuden avaamisen pyyntötiheyden rajoituksia sekä rahansiirtojen logiikkavirheitä.

Testaus voi kattaa sekä mobiilisovelluksen että sen API-rajapinnat. Maksupalveluista kerromme PSD2-osiossa.

Vakuutusteknologia

Vakuutusteknologian testaus voi kattaa asiakasportaalit, joissa vakuutuksenottajat tarkastelevat vakuutuksiaan ja jättävät korvaushakemuksia, iOS- ja Android-mobiilisovellukset sekä kumppanien tai vakuutusmeklarien API-rajapinnat.

Näissä portaaleissa, sovelluksissa ja API-rajapinnoissa testaamme todentamista ja valtuutusta, syötteiden validointia, salausta ja tietojen eheyttä, pyyntötiheyden rajoittamista sekä virheenkäsittelyä.

Miten testi etenee

1. Testauksen laajuus ja testaustyyppi
   Aloitamme jokaisen testin suunnittelulla. Sovimme testauksen laajuudesta, testattavista järjestelmistä ja säännöistä häiriöiden välttämiseksi.
   
   Määrittelemme jokaisen testin laajuuden kanssasi testauksen määrittelykyselyn avulla tai testauksen määrittelytapaamisessa. Molemmissa käymme läpi samat kysymykset.
   
   Testaus voi olla black box -testausta, gray box -testausta tai white box -testausta. Sovimme testaustyypistä samalla, kun määrittelemme testauksen laajuuden. White box -testauksessa testaajilla on täysi pääsy järjestelmiin ja dokumentaatioon.
2. Tuotanto- vai esituotantoympäristö
   Testaamme sekä tuotantokäytössä olevia järjestelmiä että esituotantoympäristöjä. Noin 70 % testeistämme tehdään tuotantokäytössä olevissa järjestelmissä ja 30 % esituotantoympäristöissä.
3. Tuotantokäytössä olevat maksu- ja pankkipalvelut
   Kun määrittelemme testauksen laajuutta, kerro, mitkä tuotantokäytössä olevat maksu- tai pankkipalvelut ja ajankohdat ovat toimintasi kannalta tärkeimpiä.
   
   Testaamme hallituissa olosuhteissa ja noudatamme sovittuja testauksen sääntöjä. Sovitamme aikataulun liiketoimintasi tarpeisiin.
4. Testauksen kesto
   Testaus kestää projektista riippuen muutamasta päivästä muutamaan viikkoon, keskimäärin 1–2 viikkoa.
5. Aloitusajankohta
   Aloitusajankohta riippuu tämänhetkisestä aikataulustamme. Jos tarvitset testauksen nopeammin, ota yhteyttä. Teemme parhaamme, jotta voimme vastata aikataulutoiveeseesi.

Raportti ja uusintatestaus

Jokaisessa raportissa luetellaan löydetyt haavoittuvuudet, niiden riskitasot ja korjausohjeet. Penetraatiotestin raportissa kuvaamme myös testauksessa osoitetut haavoittuvuuksien hyödyntämismenetelmät ja esitämme toimintasuunnitelman tärkeysjärjestyksessä.

Raporttimme sisältävät johdon yhteenvedon, työn laajuuden, testaustyypin ja testausmenetelmät, metodologian, riskin laskentatavan, yhteenvedon löydöksistä, kunkin löydöksen yksityiskohtaiset tulokset ja johtopäätökset.

Määritämme maksu- tai pankkisovelluksesi raportissa jokaiselle löydökselle vakavuusasteen.

Raporttien pituus on 20–100+ sivua.

Kun olet korjannut löydökset, testaamme ne uudelleen.

Uusintatestaus kattaa vain löydökset, ei koko sovellusta. Sen hinta on yleensä mukana samassa tarjouksessa kuin testin hinta. Uusintatestauksen aikaikkuna on noin 4 viikkoa. Testaus voi onnistua aiemminkin, jos olet jo korjannut löydökset ja aikataulussamme on tilaa.

Voit pyytää verkkosovelluksen penetraatiotestin malliraportin yhteydenottolomakkeella tai sähköpostitse.

Kokemus ja menetelmät

Meillä on yli 7 vuoden kokemus testaamisesta. Olemme tänä aikana kartuttaneet laajaa asiantuntemusta verkkosovelluksista ja verkkosivustoista, verkkokauppa-alustoista, mobiilisovelluksista, API-rajapinnoista ja SaaS-ratkaisuista.

Voimme noudattaa penetraatiotesteissä OWASPin, ISSAFin, PTES:n tai OSSTMM:n menetelmiä pyynnöstäsi tai suosituksemme perusteella. Sovimme noudatettavista menetelmistä ja niiden kattavuudesta testauksen laajuuden määrittelyssä.

Käytämme testauksessa Burp Suitea, manuaalista testausta ja omia työkalujamme.

Testaajillamme on muun muassa seuraavia sertifikaatteja: PNPT, eCPPTv2, CAP, CompTIA PenTest+ ja CompTIA Security+. Testaajamme ovat myös julkaisseet tutkimusta, johon sisältyy viisi CVE:tä.

Usein kysytyt kysymykset

Edellyttääkö DORA penetraatiotestausta, ja mitä TLPT tarkoittaa?

DORAn mukaan EU:n finanssiyhteisöjen on mikroyrityksiä lukuun ottamatta toteutettava digitaalisen häiriönsietokyvyn testausohjelma. Lisäksi niiden on testattava vähintään vuosittain kriittisiä tai tärkeitä toimintoja tukevat tieto- ja viestintätekniset järjestelmät ja sovellukset (24 artikla). Penetraatiotestaus mainitaan 25 artiklassa yhtenä ohjelman testeistä. Verkkosovellusten, mobiilisovellusten ja API-rajapintojen penetraatiotestimme voivat olla osa tätä ohjelmaa.

Emme tee DORAn 26 artiklan mukaista uhkaperusteista penetraatiotestausta (TLPT).

Mitä PCI DSS edellyttää ja kuinka usein?

PCI DSS v4.0.1 -standardin vaatimus 11.4 edellyttää sisäistä ja ulkoista penetraatiotestausta vähintään kerran 12 kuukaudessa ja merkittävien muutosten jälkeen. Vaatimus kattaa myös verkkotason testauksen sekä segmentoinnin testauksen, jos segmentointia käytetään. Testaamme PCI DSS -soveltamisalaasi kuuluvia verkkosovelluksia, API-rajapintoja ja mobiilisovelluksia. Emme tee verkkotason tai segmentoinnin testausta, joten testimme kattaa vain osan vaatimuksesta 11.4. Emme ole QSA emmekä sertifioi PCI DSS -standardin vaatimusten täyttymistä.

Miten testaatte maksutapahtumien logiikkaa, maksunpalautuksia, kampanjoita, korttimaksujen takaisinveloituksia ja pyyntötiheyden rajoituksia?

Testaamme maksutapahtumien logiikkaa tarkistamalla, miten rahansiirto- ja maksunpalautusprosessit reagoivat toistuviin pyyntöihin ja käyttäjän käyttöoikeudet ylittäviin toimiin. Testaus kattaa maksunpalautusten, kampanjoiden ja korttimaksujen takaisinveloitusten väärinkäytön, pyyntötiheyden rajoitukset, todentamisen ja kahden tekijän todennusprosessit sekä webhookien käsittelyn ja idempotenssin.

Testaatteko mobiilisovelluksen ja sen API-rajapinnat yhdessä?

Kyllä. Voimme testata mobiilisovelluksen ja sen taustalla olevat API-rajapinnat samassa testausprojektissa.

Määrittelemme jokaisen testin laajuuden kanssasi testauksen määrittelykyselyn avulla tai testauksen määrittelytapaamisessa. Molemmissa käymme läpi samat kysymykset.

Miten testaatte integraatioita KYC-palveluihin, maksupalveluntarjoajiin ja pankkien API-rajapintoihin?

Testaamme, miten järjestelmäsi käyttää KYC-, maksu-, pankki- ja eID-palveluihin tehtyjä integraatioita.

Häiritseekö testaus tuotantokäytössä olevia finanssipalvelujamme?

Testaamme hallituissa olosuhteissa ja noudatamme sovittuja testauksen sääntöjä. Sovitamme aikataulun liiketoimintasi tarpeisiin.

Kumppanipankki pyysi penetraatiotestimme raporttia. Mitä tietoa pankki saa siitä?

Voit antaa raportin näyttöaineistoksi auditoijillesi, valvontaviranomaisillesi ja asiakkaillesi. Kukin päättää itse, mitä hyväksyy.

Jokaisessa raportissa luetellaan löydetyt haavoittuvuudet, niiden riskitasot ja korjausohjeet. Penetraatiotestin raportissa kuvaamme myös testauksessa osoitetut haavoittuvuuksien hyödyntämismenetelmät ja esitämme toimintasuunnitelman tärkeysjärjestyksessä.

Miten uusintatestaus toimii?

Kun olet korjannut löydökset, testaamme ne uudelleen.

Uusintatestaus kattaa vain löydökset, ei koko sovellusta. Sen hinta on yleensä mukana samassa tarjouksessa kuin testin hinta. Uusintatestauksen aikaikkuna on noin 4 viikkoa. Testaus voi onnistua aiemminkin, jos olet jo korjannut löydökset ja aikataulussamme on tilaa.

Mikä on fintech-pentestin hinta?

Fintech-penetraatiotestin hinta riippuu testattavien järjestelmien tai sovellusten määrästä, testaustyypistä, ympäristön monimutkaisuudesta ja aikataulusta.

Tutustu usein kysyttyihin kysymyksiin penetraatiotestauksen hinnasta, kestosta ja testaustiheydestä.

Mitä eroa penetraatiotestillä ja haavoittuvuuksien arvioinnilla on?

Haavoittuvuuksien arvioinnissa skannaamme järjestelmäsi Burp Suitella. Asiantuntija todentaa skannauksen löydökset ja asettaa ne tärkeysjärjestykseen. Penetraatiotestissä testaajat myös yrittävät hyödyntää löytämiään haavoittuvuuksia ja osoittaa niiden vaikutukset.

Palvelujen tarkemmat tiedot löydät sivuilta penetraatiotestaus ja haavoittuvuuksien arviointi.

Aiheeseen liittyvät palvelut

• Verkkosovelluksen tietoturvatestaus
• Mobiilisovelluksen tietoturvatestaus
• API-turvallisuustestaus
• Penetraatiotestaus
• Haavoittuvuuksien arviointi