Пентест платёжной системы

Что проверяет пентест платёжной системы

Платёжная платформа — цепочка: касса, шлюз, эквайринг, эмитент, бэк-офис, сверка. Серьёзная проверка проходит всю цепочку и атакует каждый узел.

✓ Платёжные шлюзы — вход в API, подпись запросов, вебхуки, защита от повторов
✓ Эквайринг — потоки 3-D Secure, списание и возвраты, частичные отмены
✓ Карточные данные — хранение PAN/CVV, токенизация, утечки в логи, дыры в зоне PCI DSS
✓ Одноразовые коды и 2FA — обход, повтор кода, гонки при проверке
✓ Бизнес-логика — подмена суммы и валюты, отрицательные суммы, двойная трата при выводе
✓ Бэк-офис — панели администратора и агентов, массовое присваивание, права на согласование платежей

Зачем это банкам и финтеху

Для банка дыра в платежах — прямая потеря денег, штрафы платёжных систем и разговор с регулятором. Сканеры не видят ваш конечный автомат: не заметят двойной возврат и согласование перевода самим сотрудником поддержки.

✓ Давление регулятора — аудиты PCI DSS и центробанка требуют доказательств, а не лога сканера
✓ Одна гонка на выводе может обнулить расчётный счёт за ночь
✓ Мерчанты и платёжные системы запрашивают независимые отчёты до интеграции

Услуги пентеста · Безопасность банков и финансов · Цены

Как проходит пентест платёжной системы

1 Картирование — потоки данных от кассы до расчёта, все роли, которые трогают деньги
2 Симуляция атаки — злоупотребление шлюзом, подмена параметров, обход OTP и 3-D Secure, гонки на финансовых операциях
3 Ручная проверка — каждая находка доказана рабочим запросом и отрицательным контролем
4 Отчёт — серьёзность, доказательство, исправление на уровне кода, привязка к PCI DSS

Что вы получаете

Отчёт, по которому чинят инженеры и который поймёт аудитор: каждая дыра с оценкой финансового ущерба, воспроизводимое доказательство для критических и высоких находок, исправления на уровне кода и настроек, перепроверка закрытого. Точечный платёжный контур — 1–2 недели; полная проверка шлюза, бэк-офиса и карточных данных — дольше.

Вопросы

Нужно ли давать доступ в продакшен?

Нет. Для большинства находок достаточно промежуточного окружения с платёжной логикой. Проверки на проде — в согласованное окно с аварийным выключателем.

Будут ли двигаться реальные деньги?

Только на согласованных тестовых счетах. Проверки гонок и двойной траты идут на изолированных данных, не на балансах клиентов.

Это покрывает PCI DSS?

Отчёт привязывает находки к требованиям PCI DSS и показывает, как сократить зону. Формальная сертификация — отдельный процесс с QSA.

Проверьте путь денег раньше, чем это сделает другой

Пришлите архитектуру платежей — предложение по объёму в течение 48 часов.

Заказать пентест платежей