Согласно данным ЦБ, за первые шесть месяцев 2023 года кибермошенники похитили около 4,5 млрд рублей с банковских счетов и карт россиян, украв на 30% больше у физических и юридических лиц по сравнению с показателями прошлого года. Эксперты в сфере ИT-безопасности утверждают, что в 2024 году снижения активности хакеров ждать не стоит. Наоборот, теперь к сохранности персональных данных компаниям в этой сфере следует относиться с особым вниманием. Подробнее на it-world.ru
1. Уязвимости в системе безопасности
Ошибки в кодировании, недочеты в системах аутентификации и авторизации, уязвимости в операционной системе — наиболее частые мишени для хакеров, стремящихся атаковать банковскую ИТ-инфраструктуру.
Согласно статистике, доля банковских приложений, в которых некорректно реализованы механизмы авторизации и разграничения доступа, составляет 57%. Поэтому злоумышленники без особого труда получают доступ ко всей персональной информации клиента, даже если она является банковской тайной.
Рекомендация
Установите надежные межсетевые экраны (файерволы, брандмауэры) для корректной работы системы ИT-безопасности банка. Помните, чем выше класс экрана, тем надежнее будет защищена ваша компания. Последними разработками в этой сфере являются ПО для enterprise-сегмента, позволяющие настроить высокоскоростной Интернет с антивирусной проверкой трафика, безопасным VPN и мощным контент-фильтром. Последний в идеале должен включать не менее 500 млн URL и обновлять все базы НКЦКИ в обновляемой базе данных.
2. Фишинг
Фишинг и социальная инженерия давно стали предпочтительными методами киберпреступников. Чаще всего хакеры отправляют фальшивые электронные письма, создают мошеннические веб-сайты или делают телефонные звонки с целью получения индивидуальных учетных данных или другой личной информации. Используя эти данные, они могут получить доступ к банковским счетам и корпоративным системам.
Рекомендация
Внимательно относитесь к получаемой в электронном формате корреспонденции — проверяйте адрес получателя и номер его телефона, не регистрируйтесь на подозрительных сайтах с корпоративной почты. Научив этим правилам сотрудников компании и регулярно обновляя программное обеспечение, вы убережете персональные данные каждого из вашей команды, а также не подвергните риску репутацию банка.
3. Низкая осведомленность кадров
Знание персоналом правил безопасности и основ кибербезопасности — это неизменный показатель эффективной и защищенной работы любой банковской системы.
Если персонал недостаточно подкован в вопросах хранения и защиты информации, то даже самые крепкие в системном и программном плане защитные меры могут оказаться бесполезными. По данным исследований, главной причиной 70% киберугроз остается человеческий фактор. Незнание базовых правил, нарушение политик и процедур по обеспечению информационной безопасности — распространенные причины утечек данных и успешных хакерских атак.
Данные о защищенности сотрудников в зависимости от отраслей на основе статистики поведения более чем 21 тысячи сотрудников более чем в 40 тысячах имитированных атак.
Рекомендация
Обучите сотрудников распознаванию тактик фишинга и защите от них: двухфакторная аутентификация, обучение распознаванию подозрительных писем и веб-сайтов, понимание того, что любая информация, предоставленная по телефону, должна быть проверена через другие, более надежные каналы — все это кратно увеличит уровень безопасности ИT-системы компании.
4. Простые пароли
Высокие стандарты в отношении паролей и их хранения чрезвычайно важны в банковской сфере, где пропускная способность сетей и доступ к пользовательским данным являются постоянной целью для киберпреступников. Они могут использовать слабые пароли или недостаточно защищенные хранилища паролей для получения доступа к аккаунтам пользователей, что может повлечь за собой утечку денежных средств или персональной информации. Примеры слабых паролей известны многим — qwert12345, parolparol, 12345678, unknown и прочие. Задача специалиста в области IИТ-безопасности — уделить особое внимание работе над методами защиты персональной информации, чтобы гарантировать пользователям надежное хранение их конфиденциальных данных, в том числе паролей, и тем самым обезопасив ИT-систему банков.
С другой стороны, слабые пароли могут быть легко угаданы или подобраны с использованием программ взлома. Яркий пример: последовательность цифр 123456 или слово password. Организации должны обучать своих пользователей созданию сложных паролей и применению методов двухфакторной аутентификации для повышения безопасности.
Рекомендация
Устанавливайте требования к корпоративным и пользовательским паролям и предлагайте воспользоваться двухэтапной аутентификацией, добавив второй способ входа, например код из СМС.
5. Несвоевременное обновление ПО
Несвоевременное обновление программного обеспечения (ПО) может стать реальной угрозой для безопасности банковской системы. К примеру, через уязвимости в операционной системе Windows программы-шифровальщики в 2016–2017 годах поразили сотни тысяч компьютеров во всем мире. Похожая ситуация может возникнуть и с браузером: если его вовремя не обновлять, то через него злоумышленники могут получить доступ к устройству. Например, они могут внедрить скрипт в код сайта, в таком случае достаточно открыть веб-страницу, чтобы поймать вредоносное ПО. А обнаружив такую лазейку, разработчики могут быстро выпустить новую версию с «заплаткой». Наиболее опасны случаи, когда с помощью этих уязвимостей осуществляется шифрование данных банка, что практически парализует работу учреждения.
Рекомендация
Следите за уведомлениями о выходе новых версий операционной системы или подключите автоматические обновления. Главное — сразу же обновлять ПО на всех используемых устройствах. По мере развития технологий, разработчики программ информационной безопасности выпускают обновления, которые включают в себя исправление уже известных уязвимостей, поэтому актуальность версий программного обеспечения является одним из ключевых моментов в поддержании системной безопасности банка.
В условиях возрастающего числа угроз кибербезопасности в банковском секторе особенно важно обеспечить безопасную работу с интернет-ресурсами организации. Именно деятельность по анализу и устранению слабых мест и уязвимостей банковских информационных систем позволит предотвратить как материальные, так и репутационные потери любой финансовой организации, став надежным партнером для своих клиентов.