Эксперты в области информационной безопасности делали прогнозы на изменение векторов атак – они стали целенаправленными. Сейчас под серьезной угрозой находятся не столько клиенты банка, как было раньше, сколько сами банки. Многие из них уже пострадали, и количество успешных целенаправленных атак будет только увеличиваться. О том, как следует защищаться финансовым учреждениям и что необходимо предпринимать, чтобы быть на шаг впереди мошенников, в интервью NBJ рассказал вице-президент – директор департамента информационной безопасности банка «Открытие» Дмитрий ГАДАРЬ.    

NBJ: Дмитрий, какие основные тенденции в сфере ИБ Вы можете отметить? 

Д. ГАДАРЬ: До 2015 года трендом в банковской области можно было назвать атаки на системы дистанционного банковского обслуживания на стороне клиента. Но и сейчас не теряет актуальности фишинг. Это когда после отправки СМС о якобы совершенной транзакции или блокировке карты злоумышленники вынуждают клиента перезвонить им и в ходе разговора получают конфиденциальные данные клиента, номер карты, одноразовый СМС-пароль, переподключают интернет-банк от имени клиента. По мере того как банки развивают системы антифрод и учатся защищаться от атак на своих клиентов, реализация атак усложняется, они становятся менее эффективными и менее прибыльными. Соответственно, злоумышленники логично переключаются на целенаправленные атаки на банки, так как потенциальная выгода от такой атаки в разы превышает множество атак на клиентов. 

Это направление будет активно развиваться и сейчас стало наиболее критичным для банковской системы Российской Федерации. Например, в феврале 2015 года была проведена успешная атака на брокера, которая вызвала волатильность курса рубля в диапазоне от 55 до 66 рублей. Атака была проведена преступной группой Corkow (Metel). В 2015–2016 годах выявлены успешные целенаправленные атаки на банки со стороны других, не менее известных групп: Anunak (Carbanak) и Buhtrap. 

С конца 2015 – начала 2016 года наблюдался существенный рост успешных целенаправленных атак на банки. 

К июню 2016 года наблюдается затишье в части целенаправленных атак на банки. Я связываю это с официальным сообщением МВД о задержании 50 подозреваемых в совершении хищении денежных средств со счетов юридических лиц, а также счетов банков. 

При этом 22 июня стало известно о краже 10 млн долларов из украинского банка через систему SWIFT. Кроме того, наблюдается рост массовых фишинговых рассылок по банкам, которые могут быть попыткой закрепиться в наименее защищенных банках. Но, учитывая невысокий уровень подготовки фишинга, я считаю, что это отвлекающий маневр от серьезной подготовки к будущим целенаправленным атакам на SWIFT и АРМ КБР банков. 
 
NBJ: Схемы атак усложняются? 

Д. ГАДАРЬ: Не могу сказать, что атаки становятся намного более сложными или злоумышленники выбирают принципиально новые методы. Это известные ранее типы атак, которые начали реализовываться.  

Целенаправленные атаки на банки схожи между собой по реализации, имеют одну и ту же цель. Если смотреть широко, то основными этапами атаки являются изучение объекта атаки, планирование и подготовка, проникновение в корпоративную сеть, закрепление, поиск платежных сервисов и шлюзов,  процессинга, SWIFT, АРМ КБР (автоматизированное рабочее место клиента Банка России. – Прим. ред.), вывод денежных средств, сокрытие факта атаки.

Методы реализации каждого из этапов атаки зачастую известны и банальны, но могут отличаться, например, в зависимости от готовности банка противостоять атакам и от используемых механизмов и средств защиты. Известен случай, когда в корпоративной среде банка для защиты рабочих станций использовались механизмы замкнутой программной среды. Злоумышленники, получив удаленный доступ к рабочей станции, не смогли запустить средства взлома учетных записей mimikatz и просто собрали аналог «с нуля» на скриптах, запуск которых не блокировался. 

NBJ: Можно ли оценить ущерб банка, в случае если мошенническая атака пройдет успешно?      
   
Д. ГАДАРЬ: Общая статистика по атакам на банки раскрывается в отчетности ЦБ. Среди специалистов информационной безопасности данные атаки активно обсуждаются, и ущерб от них серьезный. Здесь, скорее всего, вопрос, насколько быстро злоумышленники могут вывести украденные деньги. По данным компании Group-IB, с августа 2015 года по февраль 2016-го одна только группа Buhtrap совершила 13 успешных атак на банки России на общую сумму 1,8 миллиарда рублей с максимальной суммой хищения 600 миллионов рублей. Средняя сумма хищения группой Buhtrap составляет 143 миллиона рублей. А средняя сумма хищения на территории России и постсоветского пространства группой Anunak составляет 2 миллиона долларов США.

Одна из наиболее крупных хакерских атак была совершена 5 февраля 2016 года на Центральный банк Бангладеш. Преступники пытались похитить 1 млрд долларов через систему SWIFT, отправив сообщения в Федеральный резервный банк Нью-Йорка. Четыре транша на общую сумму порядка $81 млн прошли успешно.

NBJ: Как Вы относитесь к инициативе о создании центра обмена информацией об инцидентах в сфере ИБ FinCert при Банке России?

Д. ГАДАРЬ: Отношусь очень положительно. Более того, мы используем результаты работы FinCert. Очень важно иметь канал взаимодействия между банками. Естественно, это не единственная точка контакта, и пока речь не идет о том, что FinCert покроет все направления межбанковского взаимодействия в области информационной безопасности, но то, что они делают, – это работа в правильном направлении. Коллеги слышат обратную связь, дорабатывают свои сервисы, и, в целом, они молодцы. Кроме того, на уральском форуме по информационной безопасности обсуждалось то, что одним из направлений развития, в том числе и Центробанка, будет формирование антифрод-системы. Данная система предназначается для того, чтобы контролировать платежи, которые приходят через автоматизированную банковскую систему, через АРМ КБР. Это очень хорошая инициатива, которая соответствует стратегии развития информационной безопасности «Открытия». Лично я считаю, что при существующем уровне зрелости информационной безопасности это единственный эффективный способ снизить потери банков и дать им время на развитие информационной безопасности, достаточной для своевременного обнаружения целенаправленных атак.

NBJ: То есть Вы готовы обмениваться данными?

Д. ГАДАРЬ: Да, мы обмениваемся информацией с FinCert. Они нам сообщают о фишинговых рассылках, которые уже совершены, о новых троянских программах, маркерах компрометации АРМ КБР, по которым были выявлены атаки. Благодаря этой информации и у банка есть возможность своевременно проверить наличие маркеров и отреагировать в случае их нахождения, а также заблокировать отправителей фишинговых писем, зараженные интернет-ресурсы, которые могут быть использованы при атаке. 

NBJ: Насколько безопасно происходит обмен информации с FinCert?

Д. ГАДАРЬ: Сейчас обмен информацией преимущественно происходит по e-mail. 15 марта 2016 года это привело к отправке фишингового письма от имени FinCert по доступному списку получателей межбанковского обмена antidrop. Насколько мне известно, часть получателей открыли зараженное вложение. Но, учитывая количество служб безопасности, стоявших в получателях данного письма, реагирование произошло довольно быстро, в том числе и со стороны FinCert. Стоит отметить, что уже с 29 марта FinCert начал переходить на использование электронной цифровой подписи для защиты рассылок от фишинга.

NBJ: Какие банковские системы наиболее подвержены атакам? 

Д. ГАДАРЬ: Атакам подвержены любые системы, в которых могут происходить платежи. В первую очередь атакам подвержены АРМ КБР, SWIFT, а также TELEX. Просто потому, что они точно присутствуют в каждом банке, их работа стандартизирована, и злоумышленник, изучив работу одной системы, может атаковать практически любой банк. Далее по уровню риска идут платежные шлюзы, через которые проходят платежи в разные платежные системы, системы дистанционного банковского обслуживания, используемые банком для управления своим корреспондентским счетом в других кредитных учреждениях. Примерно под тем же уровнем риска находится процессинг (и подключенная к нему банкоматная сеть), но он несколько ниже ввиду прохождения банками сертификации по стандарту PCI DSS и реализации мер защиты процессингового сегмента. Следующим этапом будет распространение целенаправленных атак на автоматизированные банковские системы. Данные системы, на мой взгляд, наиболее интересны злоумышленникам, но временно уровень риска по ним ниже ввиду технологической сложности атаки по сравнению с атаками на АРМ КБР или SWIFT. Это дает банкам некоторое время для повышения защищенности этой области и подготовки к реагированию на атаки на АБС.

NBJ: Cпециалисты утверждают, что у киберпреступников существуют коробочные версии для атак. Действительно ли это так?

Д. ГАДАРЬ: Коробочные версии для атак существуют, но используются скорее для массовых атак, например, на систему дистанционного банковского обслуживания на стороне клиентов банков. Когда специально сформирована троянская программа с очень красивым дружественным интерфейсом, которая распространяется через различные интернет-ресурсы и массово заражает клиентов банков. Сложностью для злоумышленников в данной ситуации является вопрос обхода антифрод-систем банков и вывода/обналичивания украденных денег. Целенаправленная атака подразумевает, что это не коробочное решение, а сформированное специально под атакуемую жертву. Обычно целенаправленная атака требует существенного времени на сбор информации об атакуемом, подготовку и тестирование атаки. Выбирается и изучается цель атаки, анализируется работа информационных систем, средств защиты. Под эти средства защиты формируется специальное вредоносное программное обеспечение. Далее подготавливаются способы обналичивания денег, счета, на которые будут выводиться деньги, электронные кошельки. Это сложно назвать коробочным решением. 

NBJ: Можно ли говорить о том, что причиной успешных атак является человеческий фактор?

Д. ГАДАРЬ: Одна из причин – да. Я предлагаю рассмотреть простой пример атаки, точнее, один из наиболее распространенных сейчас векторов атак. Сотруднику отделения по электронной почте приходит письмо от клиента, который две минуты назад позвонил и сказал, что хочет перевести депозит на 15 млн рублей, в связи с чем ему необходимо проверить реквизиты. Сотрудник открывает вложение в письме, в котором действительно есть реквизиты и те данные, которые ожидает увидеть операционист. При этом вложение заражено, и в скрытом режиме на рабочую станцию пользователя догружается троянская программа, которая отключает антивирусное программное обеспечение и предоставляет удаленный доступ к рабочей станции злоумышленнику. В этом случае пользователь может обратить внимание, например, на то, что у него отключился антивирус и что-то пошло не так. Но рассказать о каких-то четких критериях, при выполнении которых можно быть на 100% уверенным, что атака не пройдет, достаточно сложно. Здесь большую роль играют здравый смысл и осмотрительность, так как целенаправленные атаки очень индивидуальны. И еще раз подчеркну, что они хорошо планируются. При этом, конечно, необходимо повышать уровень осведомленности сотрудников в области информационной безопасности: это важный и неотъемлемый элемент комплексной защиты банка. 

NBJ: И сколько времени уходит на подготовку атаки?

Д. ГАДАРЬ: Это сильно зависит от уровня квалификации атакующих и от готовнос-ти атакуемого противостоять нападению. Совершенно точно сложно сказать, но подготовка требует существенного времени на сбор и анализ информации, создание способа вывода средств, программного обеспечения и пр. 

NBJ: В последнее время участились случаи атак на банкоматы. Злоумышленники подключают свое оборудование с целью хищения средств. Банк «Открытие» что-то делает для защиты от нового типа атак?

Д. ГАДАРЬ: Такой вид атаки называется black box и в мире известен давно: еще в июне 2014 года компания NCR уведомляла о black box-атаках в Бразилии и давала рекомендации по защите от них. Для России это действительно новый тип атак, который появился в прошлом году. Для защиты есть два эффективных направления. Первое – это надежная аутентификация устройств и «головы» банкомата, второе – онлайн-мониторинг этого спе-цифического типа атаки. Была попытка атаковать Банк «Открытие» таким способом, но благодаря внедренным мерам защиты, оперативному реагированию и взаимодействию с полицией злоумышленников удалось поймать на месте преступления.

NBJ: Какова Ваша позиция по поводу аутсорсинга в сфере ИБ? Какие сферы и задачи в Вашем банке отданы на аутсорсинг (если таковые есть)?

Д. ГАДАРЬ: Мы используем аутсорсинг информационной безопасности. Это практикуют многие международные организации. Тут есть как свои плюсы, так и минусы. На мой взгляд, на аутсорсинг в сфере информационной безопасности можно отдавать хорошо выстроенные операционные процессы. У организации должно быть четкое понимание, что конкретно она отдает и какой результат от этого будет получать. Ожидаемый результат должен быть измеримым, и его необходимо описать до того, как организация что-то собралась передать на аутсорсинг. 

NBJ: Возросло ли внимание к проблемам обеспечения ИБ со стороны руководства и акционеров банка?

Д. ГАДАРЬ: Да, возросло. В целом руководство банка должно быть вовлечено в процессы информационной безопасности и принимать решения относительно рисков информационной безопасности, которые есть в банке. Часто информационная безопасность находится отдельно от бизнеса, но это неправильно, когда информационная безопасность является только IT security (безопасность серверов, ПО). Информационная безопасность должна рассматриваться с точки зрения управления рисками, она не может быть сервисом, который находится отдельно от бизнеса. Степень участия информационной безопасности зависит от аппетита конкретной организации и ее готовности идти на определенный риск. Необходимо вовлечение информационной безопасности в бизнес, в процессы внутри банка. Без этого в современных реалиях невозможно эффективное управление рисками. Грубо говоря, есть проект, риск по которому с точки зрения информационной безопасности оценивается в 1 млн рублей. Бизнес может сказать, что принимает эти риски, потому что на этом проекте банк заработает 10 млн рублей. Вопрос принятия этих рисков лежит на стороне бизнеса. Поэтому информационная безопасность должна быть интегрирована в бизнес и заниматься в том числе безопасностью бизнес-процессов. Я помню случаи, когда незначительные изменения со стороны информационной безопасности в бизнес-процессе на этапе формирования требований к нему позволяли избежать сложных механизмов и затрат на его защиту уже по факту реализации.

NBJ: Какие задачи в области обеспечения ИБ предстоит решить Вашему банку в 2016 году?

Д. ГАДАРЬ: По моему мнению, с учетом тенденций в области информационной безопасности большинству кредитных организаций сложно предотвратить целенаправленную атаку. Поэтому я бы определил следующие ключевые приоритеты для банковских организаций на 2016 год.

1. Инвентаризировать и отделить от остальной инфраструктуры все, что связано с платежами (АБС, АРМ КБР, SWIFT, платежные шлюзы и интеграции между ними). Приоритизировать эффективность мер защиты и их реализацию (включая механизмы противодействия мошенничеству, выявления аномалий в платежах на разных этапах).

2. Развивать сбор и корреляцию критичных событий информационной безопасности. Научиться максимально быстро реагировать на инциденты, уменьшать время обнаружения атаки после ее начала (по некоторым оценкам, среднее время обнаружения атаки после ее начала – 200 дней). 

3. Инвентаризировать периметр и регулярно тестировать его защищенность. Проводить тестирования на проникновение, контролируя при этом скорость и качество реагирования на инциденты информационной безопасности.

Кроме того, реализация системы противодействия мошенничеству на стороне ЦБ РФ, а также крупных платежных систем дала бы банкам некоторую фору и дополнительное время на реализацию первоочередных мер по защите своих платежных инфраструктур и построению операционных центров по реагированию на инциденты.