– Porównując wyniki badania Cyber-EXE Polska, które wykonaliśmy w zeszłym roku, z tymi sprzed dwóch lat, widzimy, że poszczególne banki czy firmy ubezpieczeniowe są lepiej przygotowane do walki z cyberprzestępcami. Można natomiast dyskutować, czy cały sektor współpracuje w stopniu dostatecznym. Moim zdaniem jest tu wciąż duży obszar do poprawy – ocenia w rozmowie z agencją Newseria Biznes Jakub Bojanowski, partner działu zarządzania ryzykiem w firmie Deloitte, współorganizującej z Fundacją Bezpieczna Cyberprzestrzeń ćwiczenia Cyber-EXE Polska.

Cyberprzestępcy coraz częściej wykorzystują luki w zabezpieczeniach systemów bankowych, tym samym rośnie liczba przeprowadzanych ataków. Instytucje finansowe zdają sobie jednak sprawę z tego, że znajdują się na celowniku przestępców. Wydają więcej na nowinki technologiczne, poprawiły też wdrażanie procedur, przede wszystkim działania kryzysowego.

– Wiadomo więcej na temat ataków, więc można się do tego precyzyjnie przygotować i odpowiednio wyszkolić ludzi. Z drugiej strony jest też pełna świadomość, że od czasu do czasu będą zdarzały się przypadki nieobjęte naszym wyobrażeniem na temat cyberataku i do tego potrzebna jest dobra wewnętrzna koordynacja w postaci np. powołania sztabu kryzysowego – wskazuje Mirosław Maj, prezes Fundacji Bezpieczna Cyberprzestrzeń.

Ćwiczenie Cyber-EXE Polska odbyło się w październiku 2015 roku i wzięło w nim udział pięć dużych polskich banków oraz dwie firmy ubezpieczeniowe. Scenariusz ćwiczenia zakładał zagrożenie dla klientów oraz dla instytucji finansowych, czyli najczęstsze kategorie cyberataków. Pierwszy, główny atak przewidywał dokonanie przez szantażystę nieautoryzowanej zmiany w kodzie aplikacji odpowiadającej za logikę jednej z funkcji biznesowych organizacji. Drugą fazą ćwiczeń był atak phishingowy nakierowany na personel, w efekcie nastąpiło zaszyfrowanie dużej części stacji roboczych, w tym komputerów administratorów.

– Najczęściej docierają do nas informacje o zagrożeniach dla klientów danych instytucji, którzy zostali zaatakowani, a z ich kont wypłynęły pieniądze. Dla organizacji finansowych to o tyle trudne, że do takich sytuacji dochodzi zazwyczaj w wyniku słabego zabezpieczenia komputerów klientów, na co bank tak naprawdę nie ma wpływu. Natomiast nie można zupełnie odsunąć na bok drugiego wektora ataku, czyli bezpośrednio na organizacje finansowe – przekonuje Maj.

Z danych Kaspersky Lab wynika, że na całym świecie na koniec III kw. 2015 roku zanotowano 5,6 mln prób ataków na konta bankowe online. Rośnie też liczba ataków w Polsce. W 2014 roku było ich ponad 2,5 tys. Komenda Główna Policji podaje, że na koniec września dokonano już ok. 4,1 tys. przestępstw o charakterze oszustw bankowych, z czego ponad 700 dotyczyło bankowości elektronicznej. Do 73 ataków doszło za pomocą phishingu. Coraz więcej ataków jest także na infrastrukturę i systemy zabezpieczeń banków.

– Okazuje się, że sama infrastruktura, serwery, sieci, które należą do banków i firm ubezpieczeniowych, również mogą być celem ataku, a to może doprowadzić do bardzo nieprzyjemnych konsekwencji. Ataki na organizacje finansowe zawsze kończą się stratami finansowymi – podkreśla prezes Fundacji Bezpieczna Cyberprzestrzeń.  

Jak pokazują wyniki ćwiczenia Cyber-EXE Polska 2015, sektor bankowy i ubezpieczeniowy zrobiły duży postęp w obronie przed cyberatakami. Działania były bardziej skoordynowane, a informacja o możliwości przeprowadzenia ataku szybciej trafiła do komórek, które powinny być zaangażowane w zarządzanie incydentem.

– Ćwiczenie Cyber-EXE Polska było ukierunkowane na badanie kwestii organizacyjnej, tego, w jaki sposób zapewniony jest przepływ informacji w banku, kto jest powiadamiany o ataku cyberprzestępców, kiedy angażowany jest zarząd, a kiedy rzecznik prasowy, w jaki sposób komunikujemy się z klientami czy instytucjami regulującymi rynek bankowy – tłumaczy Jakub Bojanowski.

Szacuje się, że 7–10 proc. wydatków na IT trafia na poprawę bezpieczeństwa. Polskie instytucje średnio wydają na ten cel mniej niż europejskie, ale coraz większy nacisk kładziony jest właśnie na zabezpieczenia. Jak jednak przekonuje Bojanowski, nowinki technologiczne to nie wszystko, ważne jest również inwestowanie w pracowników i wypracowanie odpowiednich zachowań.

– Konkretne rezultaty możemy osiągnąć, skupiając się na szkoleniu pracowników, zapewnieniu odpowiednich procedur, komunikowaniu zagrożeń. Najważniejsze, by pracownik w sytuacji, kiedy stanie się celem cyberprzestępcy wiedział, jak ma postąpić, kogo zawiadomić i żeby był w stanie taką sytuację odpowiednio szybko zdiagnozować – podkreśla Bojanowski.