Дмитрий Кузнецов, заместитель технического директора Positive Technologies, выступил на конференции «Уральский форум: информационная безопасность банков», которая проходила с 13 по 18 февраля в Магнитогорске. Он показал, какие слабые места в защите систем ДБО используют злоумышленники, продемонстрировал сценарии возможных хакерских атак и рассказал, что необходимо сделать для обеспечения полноценной защиты системы ДБО.
Positive Technologies проводит более 20 аудитов интернет-банкинга в год. Результаты анализа защищенности информационных систем крупнейших российских банков показывают, что от действий киберпреступников страдают уже не только клиенты, со счетов которых пропадают денежные средства. Сегодня хакеры способны получить полный контроль над ИТ-инфраструктурой даже самой серьезной финансовой организации.
Число преступлений, связанных с системами ДБО, за последние несколько лет выросло в несколько раз. При этом используемые банками меры защиты не являются непреодолимым препятствием для злоумышленников. Однократные пароли, привязка аккаунта к телефону, аппаратные средства верификации и даже системы фрод-мониторинга стали привычным делом для большинства банков. Тем не менее практика показывает, что кибермошенники могут вмешаться в процесс обработки платежных операций на любом этапе.
Данные, полученные Positive Technologies при проведении десятков тестов на проникновение, позволили выявить факторы, мешающие банкам добиться успеха в области защиты систем ДБО. Например, принято считать, что легче провести хакерскую атаку через компьютер пользователя, чем взломать систему ДБО. Тем не менее на практике оказывается, что добраться до счета клиента быстрее и проще как раз через уязвимости, находящиеся непосредственно в системах ДБО. Другая опасность заключается в том, что практически всегда хакеры играют на опережение, тогда как банки принимают меры для защиты в основном от уже известных угроз. В результате доходы киберпреступников продолжают расти, а проблема защищенности систем ДБО никуда не исчезает.
Ситуация изменится только в том случае, если банки будут комплексно подходить к вопросу выстраивания политики информационной безопасности. Ключевую роль в этом процессе играют автоматизированные системы контроля защищенности, которые последние несколько лет завоевывают популярность в корпоративном секторе рынка ИБ. Своевременно выявляя слабые места в безопасности банковских информационных систем, вполне реально затруднить жизнь преступникам и снизить остроту проблемы.<