Мошенники нашли новый способ хищения данных из банков: они рассылают сотрудникам кредитных организаций фишинговые письма с просьбой пройти аттестацию. В письмах работников просят предоставить логин и пароль от корпоративной почты. Об этом пишет газета «Известия» со ссылкой на «Лабораторию Касперского».
Новая схема фишинга связана с имитацией процесса аттестации сотрудников кредитной организации. Банки довольно часто проводят обучение и аттестации, поэтому такие письма не вызывают подозрений у сотрудников.
Злоумышленники заставляют жертву верить, что она действительно находится на HR-портале. Сотрудника просят авторизоваться на сайте, используя логин и пароль от рабочей почты. Полученные таким образом данные отправляются злоумышленнику.
Зная логин и пароль от рабочей почты, мошенник получает доступ к корпоративной переписке и, если логины и пароли для доступа к базам данных банка пересылаются в открытом виде, к личным данным клиентов кредитной организации. «Лаборатория Касперского» не исключает, что таким способом уже взломано несколько тысяч почтовых адресов.
Слабое звено
Информация «Лаборатории Касперского» еще раз подтверждает, что самым слабым звеном практически любой системы безопасности остается человек. Недаром практически 70% сложных целенаправленных атак против банков начинается с рассылкифишинговых писем.
По данным «Лаборатории Касперского», в 2018 году на банковский сектор пришлось 22% всех фишинговых атак. Чаще мошенники атаковали лишь интернет порталы (24,7%). В 2019 году число таких атак, возможно, увеличилось.
Для кражи личных данных клиентов банков злоумышленники все чаще используют социальную инженерию. Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере при ЦБ РФ (ФинЦЕРТ) считает, что это главный вектор проникновения в инфраструктуру банков — социальная инженерия используется в 49% атак на финансовые организации.
Стоит отметить, что сотрудникам финансовых организаций необходимо быть особенно бдительными — банки становятся жертвами хакерских атак гораздо чаще других компаний.
Ситуация отягощается тем, что специалисты по компьютерной безопасности уходят из банковского сектора. Происходит это из-за возросших требований Центробанка к информационной безопасности. Все силы службы информационной безопасности уходят на выполнение указаний регуляторов — специалисты попросту «перегорают» и уходят в более спокойные отрасли.
Банки зачастили с утечками
В последние месяцы в СМИ регулярно появляются новости об утечках данных клиентов российских банков. Например, журналисты дважды за октябрь сообщали об утечках персональных данных клиентов Сбербанка: в начале месяца в сеть попали данные 60 млн человек, в конце — от 11,5 тыс. до 1 млн человек.
На этой неделе отличился Альфа-Банк — в сети появилась база данным с информацией о 3,5 тыс. клиентов самого банка и 3 тыс. зарегистрированных пользователей «Альфастрахования». Клиенты кредитной организации жалуются на участившиеся звонки от представителей банка.
Специалисты Альфа-банка факт кражи данных не отрицают. По данным финансовой организации, в сеть утекла небольшая база. Сотрудникам службы безопасности банка удалось найти подтверждение распространения данных 15 клиентов.