Skala ataków hakerskich na banki może się zwiększyć

Komisja Nadzoru Finansowego wraz z przekazaniem ostrzeżenia o możliwości ataków zarekomendowała pilne wdrożenie zaleceń Rządowego Zespołu Reagowania na Incydenty Komputerowe CERT.GOV.PL, m.in. dotyczące ataków DDoS polegających na blokowaniu serwerów. Ale jednocześnie przypomina, że wcześniej nadzór wydawał wiele zaleceń wzmacniających bezpieczeństwo IT w bankach i innych instytucjach finansowych.

– Pierwsza rekomendacja D dotycząca IT została skierowana do banków w 1997 r., a najnowsza wersja – dostosowująca zalecenia do postępu technologicznego – została wydana przez KNF w 2013 r. Również w 2013 r. KNF wystąpiła do banków o wdrożenie szczególnych zabezpieczeń przed atakami DDoS, których stosowanie weryfikujemy na bieżąco w czasie inspekcji – mówi Łukasz Dajnowicz, rzecznik KNF.

Dobre zabezpieczenia

Banki zapewniają, że mają dobre zabezpieczenia, ale nie chcą kusić losu i żaden nie chce złożyć takiej deklaracji publicznie. – Jesteśmy przygotowani na odpieranie tego typu ataków, ale nie złożę takiej deklaracji publicznie, bo nie chce się wystawić na sprawdzenie tego przez hakerów – mówi  przedstawiciel dużego banku. Podobne opinie usłyszeliśmy w innych instytucjach.

– Dobrze, że dostajemy takie ostrzeżenia, bo to oznacza, że rządowe agencje monitorują zagrożenia – mówi inny bankowiec. Najczęstsze są ataki DDoS, które polegają na tym, że w tym samym czasie ogromna liczba komputerów chce wejść na stronę internetową czy zalogować się do systemu i w ten sposób go blokuje. Wiosną ubiegłego roku ofiarą takiego ataku padł serwis Allegro i kilka banków.

Cyberprzestępczość to coraz poważniejszy problem dla światowej gospodarki. Dostrzega to również Komisja Europejska, która w ostatnich dniach przeprowadziła całodzienne ćwiczenia, w których ponad 200 organizacji i 400 specjalistów z 29 krajów sprawdzało swoją gotowość do zwalczania ataków.

Cel: administracja

Hakerzy atakują głównie administrację publiczną. Jak jednak wynika z analiz firmy FireEye zajmującej się bezpieczeństwem IT w naszej części świata już co szósty atak skierowany jest na banki, fundusze lub instytucje związane z rynkiem finansowym, np. giełdy. Ich liczba szybko rośnie.

Według firmy Kaspersky Lab, jednego z wiodących producentów oprogramowania antywirusowego, liczba ataków na instytucje finansowe rośnie w bieżącym roku w tempie 15 proc. miesięcznie. Problem ten, co pokazał poniedziałkowy komunikat KNF, dotyka też naszego kraju. – Mamy informacje o możliwych zagrożeniach i atakach na infrastrukturę teleinformatyczną instytucji sektora finansowego. Przesłaliśmy je do KNF – mówi ppłk Maciej Karczyński, rzecznik prasowy Agencji Bezpieczeństwa Wewnętrznego.

Dla przedstawicieli sektora IT rekomendacje zawarte w komunikacie nie są niczym nowym. – Wszystkie instytucje finansowe powinny najpierw rzetelnie ocenić ryzyko ataku na ich infrastrukturę teleinformatyczną, a potem wybrać te narzędzia rekomendowane przez KNF, które rzeczywiście mogą szybko i skutecznie je zabezpieczyć. Nie wszystkie obszary funkcjonowania wymagają takiego samego stopnia zabezpieczenia – uważa Marek Gnoiński z pionu banków komercyjnych Asseco Poland. Jego zdaniem najbardziej rozwinięty pod kątem bezpieczeństwa IT jest właśnie sektor bankowy.

Robert Żelazo, dyrektor generalny firmy FireEye w Polsce,  przyznaje, że najwięcej instytucji pyta o to, jak istotne zagrożenie w cyberprzestrzeni stanowi Rosja. – Od 2013 r. nasze urządzenia zainstalowane w krajach Europy Wschodniej wykryły ataki grupy rosyjskich hakerów, którą nazwaliśmy APT28. Charakterystyczne dla niej ataki wykorzystują mocno spersonalizowane, złośliwe oprogramowanie, działające w wielu językach oraz strefach czasowych, co jednoznacznie wskazuje na jego długotrwały szpiegowski charakter – opowiada.

Żelazo twierdzi, że celem ataków tej grupy są instytucje rządowe krajów Europy Wschodniej, Gruzji, NATO czy KE. Uważa, że architektura bezpieczeństwa większości organizacji nie jest niestety gotowa do obrony. – Konieczna będzie w ich przypadku szybka modernizacja zabezpieczeń informatycznych i procedur, zgodnie z rekomendacjami przedstawionymi przez KNF – stwierdza.

Klienci muszą być czujni

Celem ataków hakerskich są nie tylko instytucje, ale także bezpośrednio ich klienci. Padają m.in. ofiarami phishingu, czyli próby wyłudzenia danych, np. za pomocą podstawiania linków do fałszywych stron. Hakerzy rozsyłają e-maile z podrobioną stroną banku i linkiem do serwisu transakcyjnego, z komunikatem, że klient powinien się do niego zalogować. Wprawdzie użytkownicy internetu od dawna wiedzą o tych zagrożeniach, ale wciąż wpadają w pułapki. Hakerzy działają coraz bardziej profesjonalnie i fałszywe strony są łudząco podobne do tych prawdziwych. Do tego coraz częściej wybierają moment, w którym wprowadzane są jakieś zmiany, np. nowy system transakcyjny. Dlatego banki wciąż przypominają, że nigdy nie rozsyłają klientom tego typu komunikatów e-mailem. Na stronę serwisu transakcyjnego można się logować wyłącznie przez stronę banku, zwracając uwagę na poprawny adres i sprawdzając, czy strona jest szyfrowana.