Автори: Жанин Ал-Шаргаби, Атанас Киров – Фондация „Право и Интернет“
Банките, бидейки финансови институции, работещи с големи суми пари и активи, стават ключови мишени за кибератаки. Не е изненадващо, че подобни кибератаки водят до загуби на стойност, по-висока около 300 пъти спрямо загубите, търпени от който и да е друг сектор.i Някои данни твърдят, че атаките срещу средностатистически американски бизнес могат да възлязат около 4 милиона, докато тези срещу финансови институции достигат изумителното число от около 1 милиард долара.ii
Една от най-значимите атаки е дело на групата „Carbanak“. Тази кибератака успява да открадне около 1 милиард долара от повече от 100 финансови институции, разположени в над 40 държави.iii Членовете на тази група успяват да заразят системите на множество банки и техният софтуер успява да накара банкомати да пуснат неоторизирано големи парични суми.iv Освен това друг метод, който те използват, е заразяването на онлайн системите на банки, за да контролират платформите им за онлайн банкиране и да пренасочат пари от различни сметки.v Изглежда, че банковите обири вече не са свързани с реалните рискове на въоръжения грабеж, те могат да бъдат извършени дистанционно и всички следи могат да бъдат прикрити по начин, който би накарал властите да се чудят дори откъде да започнат разследването. Въпреки че членовете на групата „Carbanak“ в крайна сметка биват проследени, много атаки и удари срещу банки остават неразкрити.
Атаката на „Carbanak“ и други подобни атаки са изключително обезпокоителни, тъй като много финансови институции имат сходни, ако не и еднакви киберструктури и управление на сигурността.vi При тези обстоятелства злонамерени лица могат да използват тактиката си и да атакуват множество институции с висока степен на ефективност, докато звената за превенция на киберпрестъпността ще бъдат оставени да се борят да проследят атаките и да ограничат техните последици и обхват.
Това показва колко е важно финансовите институции да разполагат със съвременни и актуализирани структури за превенция на кибератаки, които да са адаптирани към най-новите рискове и които адекватно да защитават всички чувствителни банкови данни, информацията за сигурността и лични данни на клиентите. Един от начините да се гарантира това е регулаторният подход - държавите да приемат ясно законодателство, за да гарантират спазването на най-високите стандарти за безопасност. За да направят този процес още по-лесен, финансовите институции могат да се обърнат към „regtech“ - технологии, които имат за цел да подобрят процесите по регулиране и спазване на законовите изискванията. В този смисъл виртуалното банкиране може да бъде изцяло уредено с помощта на технологии.vii
Освен това финансовите институции трябва да спазват строги правила по сигурността при осъществяване на дейността си. Практиките им трябва да включват мониторинг, управление на риска, оценка на риска, контролни тестове и отговорно управление. Банките също така си сътрудничат и работят с много контрагенти и доставчици, които също са част от техния работен процес. Това може да породи безпокойство, когато осведомеността за сигурността и мерките, въведени от тези трети страни, не отговарят на същите стандарти като тези, приети от банките, или когато финансовите институции дори не са наясно какви практики са възприели техните контрагенти, за да осигурят адекватната превенция на кибератаките. Следователно е изключително важно финансовите институции внимателно да подбират третите страни, с които да работят, и да подчертават важността от това те да приемат мерки за осигуряване на сигурност и контрол на риска.viii
Освен това финансовите институции трябва да са наясно и с някои неочаквани обстоятелства, които могат да повлияят на мащаба, обхвата и последиците на кибератаките срещу тях. На първо място, може да се посочи, че изваждането на дадени валути или парични знаци от обръщение може да тласне лицата към онлайн банкиране и онлайн плащания, а това от своя страна да предизвика скок на кибератаките.ix Ако банките не са взели предвид подобно нарастване на онлайн натовареността и на свой ред не са подготвили адекватни мерки за сигурност и не са се застраховали, че системите им са в състояние да издържат на допълнителен натиск, те могат да се сблъскат с големи рискове, с които не са били готови да се справят адекватно.
С друг подобен неочакван и безпрецедентен натиск банките се сблъскаха по време на извънредното положение при COVID-19 пандемията. Там редица усложнения доведоха до големи и непредвидени рисковеx:
- Например имаше ръст на „фишинг“ имейлите със съдържание, свързано с кризата с коронавируса, които биваха изпращани на клиентите на банки. По подобен начин по време на пандемията се увеличиха и измамните обаждания от кол центрове. Тъй като хората бяха затворени вкъщи и изпитваха силно финансово безпокойство покрай кризата, те бяха лесна мишена за злонамерени лица, представящи се за банкови служители, за да ги манипулират и да получат чувствителните им банкови данни.
- Освен това друга лесна мишена бяха банковите служители, които понякога работеха от дома си. При тези безпрецедентни обстоятелства банките бяха принудени да разхлабят някои от протоколите си за безопасност. Например на някои служители може да им е било позволено да работят извън виртуалната частна мрежа (VPN) на банката или по друг начин да се отклоняват от мерките за сигурност, които биха спазвали в офиса на банката.
- Друго интересно наблюдение е, че финансовите институции трудно проследяваха за необичайна и подозрителна активност в онлайн системите, тъй като някои служители така или иначе работеха извън обичайното си работно време. В уединението на собствените си домове хората започнаха да променят графиците си в съответствие с това, което им е удобно, или поради това, че се намират в конфликтни часови зони.
Някои от тези събития можеха да бъдат предвидени, докато други бяха по-неочаквани. Във всеки случай финансовите институции трябва да гарантират, че разполагат с екипи за оценка на риска, които задълбочено анализират такива потенциални рискове, така че да могат да се справят с тях своевременно.
Настоящата публикация е създадена в рамките на проект GUARD, който се изпълнява в рамките на програма „Хоризонт 2020“ на Европейската комисия, Договор за безвъзмездно финансиране №833456. Всички публикации в рамките на проект GUARD са отговорност единствено на техните автори, като те по никакъв начин не изразяват и не влияят върху възгледите на Европейската комисия.
