З розвитком технологій змінився образ успішного грабіжника цих організацій. Практично відійшли в минуле “ведмежатники” і розбійники, оскільки банківська служба безпеки готова дати відсіч на будь-якому рівні, а сейфи перетворилися на непереборні перешкоди.

Натомість виникли проблеми інформаційної безпеки у банків. Незважаючи на те, що хакери їх зламують майже кожен місяць, захист інформації банківських електронних систем залишає бажати кращого. Як правило, оновлення та апгрейд відбувається не до, а після візиту зломщика. Це чудово довів вірус PETYA.A у 2017 р., паралізувавши роботу найбільших українських фінзакладів: Приватбанк, Ощадбанк, Укргазбанк, Укрсоцбанк, ОТП Банк.

Не настільки масові і гучні зломи відбуваються набагато частіше, але їх вважають за краще приховувати, щоб не викликати паніку у вкладників. Хоча економічно вигідніше приділити більше уваги системі інформаційної безпеки. Комерційні банки втрачають мільярди, повертаючи вкрадені кошти своїм клієнтам, замість того, щоб оптимізувати захист.

Загрози інформаційній безпеці банку

Потрібно розуміти, що такі компанії є “ласою” здобиччю для зловмисників. Атаки на них проводяться з кількох причин:

• реальний фінансовий зиск;

• отримання доступу до персональних даних та різних таємниць;

• повне видалення файлів, що створюють проблеми для хакера чи його замовника;

• конкурентна боротьба.

Для цього використовуються як технічні, так і методи соціальної інженерії:

• дзвінки споживачам від імені банку з проханням назвати логін та пароль, оскільки була спроба несанкціонованого зняття коштів. Причому звертаються за ПІБ, що викликає у клієнтів сумніви щодо безпеки їх персональних даних;

• фішинг – розсилка кореспонденції або СМС від імені фінустанови з вимогою сплатити/підтвердити/продовжити послугу тощо, перейшовши по URL;

• прослуховування та перехоплення трафіку, зміна маршрутизації;

• цільова атака на співробітників, особливо працюючих віддалено, з метою заразити пристрої та отримати можливість підключення до КІС.

Нерідко винні й вкладники. Якщо телефон або комп’ютер слабко захищений, то зламавши його, кіберзлочинець дізнається все необхідне для отримання доступу до банківських рахунків. Для цього використовуються два підходи: зчитування з пам’яті електронного носія, якщо в ньому збережено пароль або підміна реквізитів оплати. В останньому випадку діє “троян”, що активізується лише при відкритті певної програми.

Щодо моделей загроз для інформаційної безпеки банківських систем, то до них належить:

• витік інформації;

• збій, зависання інформаційних систем із втратою даних;

• спотворення/підміна наявної інформації;

• крадіжка грошей з рахунків.

Принципи захисту інформації у банківській сфері

В основі має бути стратегічна програма, а не одноразова тактична дія. Тому:

• захищатися повинні всі ресурси та вузли, тобто весь шлях проходження будь-якого байта має бути безпечним;

• ранжування за ступенем важливості, миттєве переведення критичних матеріалів в найбільш охороняєму зону;

• 24/7 моніторинг інфосистеми для виявлення нестандартних дій, підключень та проникнення вірусних кодів.

Оптимальною вважається модульна конфігурація, коли всі підсистеми функціонують окремо, що забезпечується міжмережевими екранами:

• відомості спочатку надходять у Front-Office, де працюють операціоністи та відбувається взаємодія з відвідувачами;

• зібрані дані надсилаються до Back-Office, де обробляються, формуються звіти;

• їх аналіз проводиться у Head-Office.

Не всім модулям потрібен вихід у глобальну мережу, що помітно підвищує рівень захисту інформації банку і дає можливість швидкого реагування, оскільки файли залишаються не спотвореними.

Щоб ускладнити несанкціоноване втручання, використовуйте шифрування, потужні антивірусні програми та послуги з антифішингу. При роботі з клієнтами найкращі результати дає багатофакторна аутентифікація.

Як зрозуміло з вищевикладеного, ефективна організація системи банківської безпеки неможлива на застарілому устаткуванні та неліцензійних продуктах.

Найважче питання інформаційної безпеки банків – людський фактор

За статистикою, причиною 80% кіберзлочинів у банківській сфері стала відсутність цифрової грамотності в працівників. Мова не йде про правопорушення, а про просту людську недбалість:

• перехід за сумнівними посиланнями, розпакування невідомих архівів;

• передача паролів;

• розкриття особливостей конфігурації інфосистеми та засад її роботи;

• вхід до критично важливих підсистем з власних слабозахищених електронних пристроїв тощо.

Вихід із ситуації бачиться в якісному та регулярному навчанні персоналу, поясненні всіх ризиків та загроз. Можливе підписання окремих угод про нерозголошення, що діють навіть після звільнення.

Оптимальні засоби забезпечення інформаційної безпеки банківської системи

• Заохочувати користувачів оперативно повідомляти про спроби шахрайства. Так ви зможете заздалегідь дізнатися про майбутні проблеми або вкрадені дані, забезпечити адекватний рівень інформаційного захисту.

• Вчасно оновлювати програмне забезпечення, включаючи станції, що працюють віддалено. Впровадити використання VPN.

• Провести інвентаризацію паролів, замінивши на нові та максимально складні. Заборонити записувати їх на папері або іншому носії.

• Відмовитись від траншей на підозрілі сайти чи сервіси. Моментально сповіщати персонал та клієнтів про нові моделі шахрайства.

• Відстежувати реєстрацію платежу в інфосистемі, коли були списані гроші. Затримка або відсутність реєстраційної позначки – це привід насторожитися та сповістити охоронні структури.

• Завжди використовувати двофакторну ідентифікацію.

• Приділити максимум уваги мобільному банкінгу, оскільки саме він є “слабкою ланкою” багатьох інфосистем.

При впровадженні всіх ступенів захисту, банківську систему може і спробують зламати, але шанс успіху наближається до нуля. В іншому випадку – проблема не технічна, а людська.

Наша компанія пропонує провести аудит з інформаційної безпеки для виявлення можливих загроз на вашому ресурсі.