Современное общество не может обойтись без использования информационных технологий, и тем более без них не может обойтись финансовая сфера. Если раньше клиенты выбирали банк для обслуживания по принципу доступности его офисов, по величине тарифов на предлагаемые услуги, то теперь они все чаще обращают внимание на то, насколько эффективно работает ДБО, различные электронные сервисы и т.д. В свою очередь, использование ИТ в банковском обслуживании неразрывно связано с вопросами обеспечения высокого уровня информационной безопасности.

И поэтому все чаще возникают два очевидных вопроса: какие виды хакерских атак на банковские системы являются наиболее распространенными и как можно им противостоять с минимальными потерями для банков и клиентов, а лучше вообще без таковых.

Когда мобильник – не только удобный механизм, но и инструмент атаки

Эксперты отмечают и другие моменты: по мере развития ИТ растет не только уровень «избалованности» клиентов, но и профессионализм тех, кто играет на «темной стороне силы». Все чаще банки становятся объектами так называемых сетевых атак, которые охватывают все области создания, передачи, хранения и получения данных. Обычно речь идет о действиях, целью которых является захват контроля (повышение прав) над удаленной/локальной вычислительной системой, либо дестабилизация системы, либо отказ в обслуживании, а также получение данных клиентов, пользующихся этой удаленной/локальной вычислительной системой. На данный момент специалисты выделяют следующие виды атак: mailbombing (переполнение буфера), использование специализированных программ (вирусов, снифферов, троянских коней, почтовых червей, rootkit и т.д.), сетевая разведка, IP-спуфинг, man-in-the-middle, инъекции (SQL-инъекция, PHP-инъекция, межсайтовый скриптинг или XSS-атака, XPath-инъекция), отказ в обслуживании (DoS- и DDoS- атаки), phishing-атаки. 

По мере все большего проникновения в жизнь мобильных технологий очень опасными – и для пользователей, и для банков, обслуживающих этих пользователей, – становятся вредоносные программы, маскирующиеся под популярные мессенджеры, например, под WhatsApp. После загрузки мессенджера поддельная программа предлагает пользователю внести плату за использование приложения. Затем вирус, известный под названием TrojanSMS.Agent.ZS, опустошает мобильный счет пользователя, совершая рассылку СМС на платные номера. Помимо этого, вредоносная программа самостоятельно совершает звонки и отправляет на удаленный сервер данные об устройстве и системе. 

«Сейчас появилось новое направление – атака с помощью мобильного устройства. Если я начинаю запрашивать с мобильника какой-то веб-ресурс, то он «откликается», а если я направляю этот запрос с миллиона телефонных аппаратов, то речь уже следует вести о DDOS-атаке. Заражаются мобильники, смартфоны, планшеты, в основном «андроиды», значительно меньше телефоны, работающие на системе Windows. Как социальное явление подобные атаки появились осенью 2014 года, но технически они, конечно, были разработаны немного раньше. Кроме того, появились DDoS-атаки, которые даже не задействуют сильные бот-сети, а используют некоторые технические особенности обработки серверами запросов на доступ к информации, хранящейся на сервере», – рассказывает о хакерских «достижениях» начальник управления по информационной безопасности ОАО «Банк Москвы» Василий Окулесский.

Хорошо известно, что уже на сего-дняшний день многие люди активно пользуются приложениями, как мобильными, так и сетевыми, в том числе и для совершения операций со своими банковскими счетами. И число клиентов, которые предпочитают посещению «физического» офиса открытие мобильного приложения банка или его страницы на ПК, растет. Соответственно, увеличиваются и риски, связанные с проведением атак, описанных Василием Окулесским из Банка Москвы. Вирусы, проникнув в банковскую систему, могут получить доступ к серверу управления базами данных, содержащих персональные данные пользователей. Это способно причинить вред не только непосредственной жертве атаки в лице конкретного клиента, но и финансово-кредитной организации в целом. 

Борьба, которой нет конца

Все чаще эксперты говорят, что «есть у революции начало – нет у революции конца», то есть борьба за обеспечение защиты банковских систем и передовых информационных технологий, используемых в банковском бизнесе, будет постоянной.  При этом, как и в обычных сражениях, здесь тоже могут быть периоды затишья и периоды обострения – как раз сейчас, как считают специалисты, налицо период обострения, поскольку сошлось слишком много различных факторов: ухудшение общеэкономической обстановки, стремление банков сокращать расходы, повышение стоимости решений иностранных разработчиков в сфере ИТ и т.д.

«Обеспечение информационной безопасности банковских технологий является одним из наиболее актуальных вопросов при оказании банковских услуг, и актуальность этого вопроса все более и более возрастает с увеличением числа используемых в банках технологий. Повышение актуальности информационной защиты банковских технологий обусловлено в первую очередь большой привлекательностью финансовых учреждений для осуществления различного рода атак и мошеннических действий. Также определенную роль играют широкая доступность средств для  осуществления атак и сокрытия их следов, и плюс к этому сложность проведения расследований и наказания злоумышленников», – комментирует нынешнюю ситуацию директор департамента экономической и информационной защиты бизнеса РОСГОССТРАХ БАНКа Артем Гонта. 

«Одним из ключевых вопросов при внедрении новых банковских технологий является их защищенность от потенциальных атак.  Мы уделяем большое внимание тому, какие уязвимости и потенциальные угрозы несут в себе новые технологии, какие защитные средства они уже в себе содержат и какие дополнительные средства защиты необходимо использовать, чтобы внедрение новых технологий не снизило общую защищенность банковских информационных систем и информации», – добавляет эксперт. 

Руководитель службы информационных технологий Лето Банка Сергей Чиков солидарен с коллегой в том, что, с одной стороны, банки не могут отказываться от использования самых передовых информационных технологий, а с другой, они должны максимально защитить и их, и клиентов финансово-кредитных организаций, и сами эти организации. «Мы прежде всего будем акцентировать свое внимание на развитии ДБО-сервисов и повышении отказоустойчивости и доступности информационных систем, а также на повышении качества информационной безопасности и информационных технологий. Собственно говоря, это и есть те три кита, на которых мы будем выстраивать наши проекты в наступившем 2016 году, да и в более долгосрочной перспективе», – подчеркивает специалист Лето Банка.

Опыт показывает, что остановиться на достигнутом и в деле развития ИТ, и в деле обеспечения информационной безопасности инновационных технологий невозможно. В первом случае банк быстро утратит свои конкурентные преимущества, во втором – понесет огромные репутационные и финансовые издержки.