Vy jste tvrdil, že mobilní aplikace jsou tak bezpečné, že není potřeba druhý faktor.
Netvrdil. Například proto, že bankovní aplikace používají dva faktory – prokazujete jimi, že 1. něco máte (konkrétní mobil, ve kterém je uložený klíč) a že 2. někdo jste (otiskem prstu, skenem obličeje) nebo něco znáte (PIN).
K tomu by minimálně byl potřeba bezpečný OS, ale to Android ani iOS není, jak ukazuje existence velkého množství závažných bezpečnostních chyb.
Android i iOS jsou pro bankovnictví dostatečně bezpečné systémy. Ani existence závažných bezpečnostních chyb sama o sobě neznamená, že by ty systémy nebyly použitelné pro elektronické bankovnictví (např. pokud by systém umožnil bez vědomí uživatele aktivovat kameru, je to závažná bezpečnostní chyba, ale bankovnictví to nijak neohrozí). Statistika historických CVE navíc existenci velkého množství závažných bezpečnostních chyb neukazuje.
Třeba tady jsou nějaké vypsané:
https://www.tomsguide.com/news/dangerous-android-trojan-can-drain-your-bank-accounts-how-to-stay-safe
Nějak tam postrádám informaci o tom, jaké bezpečnostní chyby v systému ta aplikace zneužila. Naopak tam vidím zneužití funkce zobrazení překryvných oken, což je přesně to, před čím bankovní aplikace varují (a pak si tu někdo stěžuje, že nejdou používat na rootnotých telefonech – tohle je právě ten důvod).
Narušení soukromí, třeba posíláním seznamu aktivit na telefonu, kontaktů, zpráv, jmen souborů na disku apod.
Jak by se k těm datům aplikace dostala, když jí nedáte oprávnění? K čemu by bance takové informace byly?
Už si nevzpomínám co tam všechno bylo, ale nic podezřelého jsem tam neviděl, byly to velmi krátké zprávy. To mi stačilo na to, abych věřil Fio, že se nesnaží dolovat data ze všeho kde by to šlo a nahradil tou jejich aplikací SMS jako druhý faktor.
Takové práce to dalo a přitom taková blbost…