Кибербезопасность банков: незримое присутствие Тинькова или цифровое средневековье

Евгений Касперский, генеральный директор АО «Лаборатория Касперского», напомнил слова Олега Тинькова о том, что для него киберпреступления не являются проблемой, и предположил, что, «возможно, он просто не знает».

По мнению г-на Касперского, мы живем в эпоху цифрового средневековья: цифровые технологии уже пришли в нашу жизнь, мы без них жить не можем, но не научились их использовать правильно, чтобы они были безопасными.  В этом отношении мы похожи на алхимиков: смешивать элементы научились, но не знаем, что получится, и всё ждем появления золота.

Через 200 лет компьютерные системы будут безопасными, а сейчас ситуация иная. Он напомнил, что Лабораторией с 1986 по 2006 год был собрано1 млн вирусов, а за неделю в 2016 году 2,2 млн образцов – по 310 тыс. в день. Доля пользователей, подвергшихся атакам хотя бы один раз за год, составляла в 2013 году 56%, а в 2015 году – 63%. В бизнесе этот показатель 100%. Много это или мало? Евгений Касперский предложил сравнить с преступлениями на улице: если вы не живете в Рио-де-Жанейро, то доля тех, кто оказался пострадавшим от преступления, составляет примерно 3%.

По данным Лаборатории, ОС Windows остается лидером по числу вирусов, написанных под нее, но атак на Android становится все больше. Причина не только в росте числа мобильных сервисов, но и в том, что появляется категория мобильных преступников, которые работают непосредственно в смартфонах. Так что смартфоны сейчас в фокусе атак – это наблюдается с 2011 года, когда появились мобильные банковские сервисы – ведь преступники идут туда, где есть деньги. В Mac почти нет вирусов, потому что найти разработчиков под Mac сложно – это не значит, что данная ОС безопасна.

Убытки от киберпреступности, по данным двух независимых агентств, составляют $400-500 млрд в год, что больше ВВП Австралии. Стоимость адронного коллайдера – 9 млрд в год, т.е. киберпреступность стоит более 50 коллайдеров.

При этом атаки становятся все более профессиональными: они могут взламывать и те организации, которые много внимания уделяют безопасности – банки. Почти все высокопрофессиональные кибербанды говорят по-русски, потому что российские программисты – лучшие в мире, как сказал Канадализа Райс.

Как рассказал Евгений Касперский, обычно атака развивается так. Сначала взламывается фронт-енд – ПК менеджера по продажам, например, и т.д. Туда «залезают», ждут некоторое время, изучают обстановку и потихонечку, прощупывая уязвимости, проникают все дальше, получают контроль над ключевыми и «боевыми» частями организации. Увы, подобных инцидентов все больше, появляются новые банды. Правоохранительные органы работают, но, по словам г-на Касперского, отлавливают преступников медленнее, чем появляются новые.

Евгений Касперский рассказа, что на парковке «Лаборатории» стоят 5 банкоматов «мозгами наружу» для тестирования, а скоро там будут стоять холодильники, микроволновки. Для самолетов, как заметил спикер, места нет, хотя в авиации вопросы кибербезопасности тоже все более актуальны.

Кибертерроризм сегодня – это атаки на критическую инфраструктуру. В Америке атаковали дамбу, но без последствий. В прошлом году была проведена атака на электросеть на Украине. В 2014 год – атака на сталелитейное предприятие в Германии. И чем дальше – тем чаще они происходят.

Почему все так плохо? Евгений Касперский считает, что причина в примерно следующем цикле инноваций: изобрели – порадовались – выяснили, что небезопасно – докрутили и стало безопасно. Цифровые технологии сейчас находятся на 3-ей стадии. Но «пузырек» кибербезопасности в интересах компаний постепенно выплывает наверх – все больше организаций видят задачу обеспечения безопасности одним из приоритетов.

Касперский видит возможность справиться с проблемой. По его плану, надо защитить всё – от умной кофеварки до электросетей и интернет-сетей, от физического уровня до критической инфраструктуры на всех этапах – физическое оборудование, сети и связь. И главное – надо уже при проектировании новых продуктов встраивать системы безопасности.

Однако таблетки-панацеи для победы вредоносов нет. Но есть возможность обеспечить 100-процентную безопасность: по мнению Касперского, нужно сделать так, чтобы атака оказалась дороже, чем потенциальный успех, т.е. атакующим придется проинвестировать больше, чем они получат. Достичь этого уровня не просто можно – необходимо, если речь идет о критической инфраструктуре, уверен г-н Касперский.

Сергей Поляков, управляющий директор по информационным технологиям ПАО «Московская биржа», подчеркнул, что для его организации сейчас атаки тех, кто просто «шарит» по сети через каналы и Интернет, не существенны. Они отлетают, с ними система защиты справляется. Проблемы начинаются, когда компания становится объектом специфического конкретного внимания и под нее строится вирус. В этом случае находят работника в баре, «снимают» показания и т,д. Такая атака длится месяцами. Данное проникновение могут не только сразу использовать или не использовать вовсе, но и продать. И классические средства защиты тут не работают: требуется глубокая эшелонированная оборона.

Г-н Поляков подчеркнул, что модель взаимодействия с клиентами сейчас меняется. Если раньше компании смотрели в глаза клиентам, то сейчас доминантным способом взаимодействия является программное. Биржа не знает, откуда приходит запрос, кто за ним стоит, вокруг растет экосистем взаимозависимых программных компонентов. Защищать периметр в этом случае недостаточно: надо защищать каждый элемент созданной экосистемы. В этом отношении требования регулятора, которые предъявляются к отдельным участникам экосистемы становятся важнее, чем отдельные средства защиты сети и конкретные действия.

Ситуация усугубляется по мере того, как процессы становятся трансграничными, ведь биржа не знает, что за клиент пришел. Нет сквозного идентификатора, впо которому можно определить клиента. Преступник ищет ту юрисдикцию, где он может работать без такого индентификатора – это источник опасности.

Мы много думаем об экономически мотивированных киберпреступлениях. Но финансовые учреждения становятся часто и целями не финансово мотивированных преступлений: есть кибертерроризм, хактивизм, атаки, которые совершаются подобными гражданами, молниеносны. Реагировать на них надо также молниеносно, что совсем непросто. 

Заместитель председателя правления ПАО «Сбербанк» Станислав Кузнецов заметил, что «Сбербанк» для многих хакеров и мошенников мишень номер один, и согласился с тем, что мы живем в киберсредневековье. Более того, именно Россия в худшем состоянии, если смотреть на мировой ландшафт – именно здесь возможны атаки.

Кузнецов выделил 7 пунктов, работа по которым может улучшить ситуацию. Прежде всего, надо понять, что нет координации ни между кредитными организациями, ни между госструктурами, ни между правоохранительными органами. Даже министр связи Николай Никифоров признал, что не ясно, кто лидирует в этой области – Минсвязи, Роскомнадзор, Совет безопасности, МВД, ФСБ или кто-то еще. Ясно только, что надо объединяться и координировать действия, необходимо создавать экосистему, которая объединит различные усилия.

Создание системы противодействия кибермошенничеству в масштабе России

Создание системы обмена информацией – одна из самых актуальных задач. Участники рынка должны помочь регулятору этого добиться.  По мнению Кузнецова, должна быть создана структура, похожая на Бюро кредитных историй.

Регулирование – еще одна важная тема. В нашей стране преступники благостно себя чувствуют, так как у нас нет соответствующего законодательства: нет понятия «киберпреступник», нет кражи с электронного счета – только мошенничество.  

«Нам кажется, что регулирование должно применяться и в обмене информации, и в правилах, которые должны устанавливаться», - подчеркнул г-н Кузнецов. Если у нас начинают воровать банкоматы, то нужны стандарты для банкоматов на автоматические системы защиты, при этом принимать решения нужно быстрее.

Также необходимо работать в области образования. Надо признать, что сегодня 35% должностей в мировых компаниях вакантны – кадров нет. Надо готовить людей в вузах. Сбербанк пытается это делать: в июле были заключены соглашения с 6 вузами, где теперь читаются лекции по субботам.

Еще одно направление – это международное сотрудничество. По мнению представителя Сбербанка, мы спрятались в своей скорлупе, а у преступников нет границ. Бессмысленно считать количество кибергрупп в России – надо объединяться в ассоциации, обмениваться информацией, занимать проактивную позицию.

Что касается развития новых технологий, то приоритетны биометрия, идентификация по голосу, лицу – это может решить почти все проблемы на уровне построения системы противодействия преступлениям.

Кроме того, отдельное внимание надо уделять культуре пользования технологиями: пришло новое время, нужно приучить себя менять пароли, иначе сами отдаем преступникам 99 % информации. Социальная инженерия работает – люди сами все отдают. Как заметил г-н Кузнецов, Тиньков прав: банки не теряют – теряет клиент, причем он сам виноват в этом. Правда, есть и другая точка зрения: банки должны разделять ответственность, так как их продукт не совершенен. Но тут регулятор должен сказать, что в каждом банке должна появиться своя система мониторинга, центр фрод-противодействия. Сбербанк является сторонником второго подхода.

Артем Сычев, заместитель начальника Главного управления безопасности и защиты информации Банка России, рассказал о динамике инцидентов, связанных с переводом денежных средств. Так, в III квартале 2015 года был резкий рост в сегменте юрлиц, а потом – резкое сокращение. Причина была в том, что на этот период пришёлся пик внедрений систем антифрода в большинстве крупных коммерческих банков.

Сведения об инцидентах, связанных с обеспечением защиты информации при осуществлении переводов денежных средств

Банк России

Дело в том, что около трех лет назад Центробанк инициировал обсуждение этого вопроса на Уральском форуме и процедура реализации технологии к концу 2015 года уже прошла обкатку и заработала. «Да, мы не имеем пока законодательного закрепления по антифроду, но работаем в этом направлении», - заметил Артем Сычев.

Что касается физических лиц, то на конец 2015 года пришелся пик реализации некоторых инновационных технологий в ряде кредитных организаций. Поэтому в начале 2016 года зафиксирован всплеск проблем. Преступники за это время успели их «пощупать» и начали активно реализовывать новые мошеннические схемы по извлечению клиентских денег. Но кредитные организации не сидят на месте, поэтому во втором квартале всплеска нет.  

Реализация безопасности не должна быть наложенной, считает г-н Сычев, но должна быть вплетена в ту технологию, которая сейчас используется. С учетом того, что любая банковская технология обращается либо к кредитованию, либо к депозитам, т.е. к финансам, это является очень важным.

Сегодня преступность – это индустрия, а не отдельные банды, подчеркнул Сычев. Их цель – извлечение прибыли. В этой индустрии есть распределение полномочий, теневые площадки. Те, кто пишет вредоносное ПО, не получают всех денег, которые исчезают из банков. Бороться с бандами можно, а с индустрией – очень сложно. Даже поймав группу, исключить хождение их инструментов по рынку невозможно.

«Объединяться нужно, но делать это в рамках единой госструктуры, которая получила бы все полномочия, в наших условиях это не реально», - уверен Сычев. Банк России еще год назад создал центр мониторинга и реагирования на компьютерные инциденты. Его работа направлена на взаимодействие и решение коллективным разумом проблем.

Законодательство, по мнению г-на Сычева, менять необходимо. Первая инициатива – изменение уголовного кодекса с точки зрения переквалификации преступных деяний и увеличения наказания. «Если воруют миллиардами и за это дают три года условно, то возникает вопрос, может, что-то надо поменять? Мы поддерживаем эту инициативу», - заявил Сычев.

Вторая инициатива связана с антифродом. Это должно стать обязанностью каждого банка. Деньги путешествую быстро и оказываются в других банках моментально. «Тиньков не видит проблемы, так как воруют не у его клиентов: через его клиентов выводят ворованные деньги – именно поэтому он и не замечает. Как только у этого банка будут серьезные остатки по счетам клиентов, сразу он станет объектом мошенничества и почувствует это», - отметил Артем Сычев.

Остро стоит и вопрос с кадрами. Банк России предложил проект рекомендаций по квалификационным требованиям к специалистам безопасности. Проект обсуждается в техническом комитете. Можно пойти по пути сертификации хотя бы одного сотрудника, который понимает суть безопасности финансовых технологий, как в некоторых других государствах.

По данным Банка России, объем средств, на которые покушались киберпреступники, составляет порядка 5 млрд, но это лишь 0,005% (пять тысячных процента) от общего объема платежей в РФ. «Но пугает не абсолютная цифра, а темпы роста, а они приличные», -резюмировал Сычев.