По мнению большинства экспертов, в текущем году ключевыми проблемами информационной безопасности стали утечки данных и атаки, использующие методы социальной инженерии. В прошлом году только от самых громких утечек пострадало более полумиллиарда учетных записей. В России 80% атак на клиентов банков совершается по социотехническим сценариям. В большинстве таких случаев (79%) жертвы сами переводят злоумышленникам деньги, поддавшись на уловки вроде фальшивых объявлений о продаже. Мошенничество с помощью социальной инженерии в России продолжает рост – в среднем на 4-6% в месяц. В то же время успешных кибератак на банки стало меньше – не в последнюю очередь благодаря распространению инструментов обмена информацией о киберугрозах и введению отраслевых стандартов».

Человеческий фактор – по-прежнему самое слабое звено

Социальная инженерия – это зло, о необходимости и одновременно сложности борьбы с которым говорят очень многие эксперты. Если с техническими атаками или вредоносным ПО можно бороться и одерживать победы, то с социальной инженерией все обстоит сложнее.

«Сегодня социальная инженерия, как целенаправленная, так и широковещательная – наиболее часто используемый инструмент кибермошенников, – высказывает свою точку зрения на проблему Директор департамента информационной безопасности Московского кредитного банка Вячеслав Касимов. – Каждый месяц граждане сталкиваются с новыми и новыми схемами преступников: то они представляются сотрудниками служб безопасности банков, то банковскими аналитиками, представителями соцслужб, пенсионного фонда, используя все доступные им массивы данных, в том числе соцсети. И, думаю, в ближайший год активность «социальных инженеров» будет только нарастать».

По мнению начальника Управления технического контроля Департамента кибербезопасности Банка «Зенит» Игоря Кособурова, киберпреступники все чаще используют методы социальной инженерии для манипуляций поведением как клиентов банков, так и служащих финансовых организаций, с целью хищения денежных средств. «Проблема в настоящее время становится все более актуальной, а поскольку злоумышленники, управляя действиями пользователей информационных систем банков, фактически используют их легитимные права в этих системах, защищаться техническими средствами становится крайне сложно. Человеческий фактор по-прежнему остается самым слабым (уязвимым) звеном в любой системе защиты», – подчеркивает эксперт.

Осведомленность и информирование – главная защита

Большинство экспертов сходятся во мнении о том, какие методы и способы противодействия социальной инженерии являются наиболее действенными.

Так, директор департамента по информационной безопасности Ак Барс Банка Вячеслав Яшкин считает, что по вопросу противодействия мошенничеству методами социальной инженерии можно выделить два аспекта. Во-первых, повышение информированности клиентов по правилам безопасного использования банковских карт и дистанционных каналов обслуживания. «Мошенники очень умело используют методы психологического воздействия на клиентов, которым сложно отличить звонок настоящего сотрудника банка от мошенника. Поэтому клиентам необходимо в простой и запоминающейся форме донести главные признаки мошеннического поведения, такие, как требование назвать полные реквизиты карты и т.д. С этой целью мы регулярно размещаем посты по теме в социальных сетях банка, даем разъясняющие материалы на официальном сайте и онлайн-журнале Life.Profit, делаем email/push/смс-рассылки клиентам. Также мы разрабатываем на сайте отдельный раздел, где разместим памятки с информацией о том, как защитить себя от действий мошенников».

Во-вторых, для противодействия мошенникам банки должны создать эффективную систему обмена информацией, чтобы в результате мошеннических действий можно было в течение нескольких минут проследить всю цепочку переводов и заблокировать все задействованные в схеме вывода денежных средств карты и счета. Первые шаги в данном направлении проводит Банк России, внедряя систему сбора информации об инцидентах (АСОИ) ФинЦЕРТ Банка России.

По мнению Игоря Кособурова, наиболее эффективным методом противодействия социальной инженерии также является повышение осведомленности в области информационной безопасности, доведение информации по безопасному использованию услуг банков до клиентов в максимально доступной форме, проведение обучений основам информационной безопасности и противодействию методам социальной инженерии сотрудников финансовых организаций.

«Продуктивный способ научиться противостоять кибермошенникам – проведение учений, которые предполагают воспроизведение действий потенциального нарушителя без ущерба корпоративной инфраструктуре банка в условиях, максимально приближенных к реальным», – подчеркивает эксперт банка «Зенит».

Эффективность «бизнеса» мошенников, в первую очередь, зависит от бдительности людей, их информированности о том, какие данные может запросить банк, – считает Вячеслав Касимов. – Поэтому сами банки уже несколько лет всеми возможными способами информируют своих клиентов о подобных схемах: в буклетах, плакатах, смс и т. п., а также выступая на массовых радио, ТВ, в прессе и сетевых СМИ. И, безусловно, эффект есть: наиболее информированная часть общества научилась грамотно вести себя в ситуации, когда звонят мошенники. Вместе с тем есть еще граждане, кто плохо понимает, кто им звонит: киберпреступники или настоящий банк. Поэтому, если государство подключится к работе по информированию населения, то это даст значительный вклад в победу над «социальными инженерами».

Текст: Оксана Дяченко