האם הכסף שלנו בטוח?

זה זמן רב שאנו יודעים שמוסדות פיננסיים הם יעד מועדף לפושעי סייבר, ואכן בשבועות האחרונים אנו עדים לכמות אדירה של מתקפות כנגד בנקים ומוסדות פיננסיים בארצות הברית, יש לצפות שהמספר והתחכום של מתקפות זדוניות אלו ילך ויגדל בעתיד.

שר ההגנה של ארה"ב ליאון פאנטה הזהיר בסוף השבוע כי איראן יזמה בחודשים האחרונים סדרה של מתקפות סייבר נגד מטרות אמריקאיות וכי "התוצאה הכוללת של מתקפות כאלו עלולה להיות אסון פרל הארבור קיברנטי".  לדעת מומחים אירן משקיעה מאות מיליוני דולרים לאחרונה במטרה לפגוע במוסדות פיננסיים ותשתיות בארה"ב ואין ספק כי מגמה זו תלך ותגבר ככל שיוחמרו הסנקציות הכלכליות נגדה. בשבוע שעבר התבשרנו כי החל מדוחות 2012 יצטרכו הבנקים בישראל לדווח על תקריות קיברנטיות ולעדכן האם היו לכך השפעה על אחד ממגזרי הפעילות של הבנק. כמו כן ידרשו הבנקים לדווח על סיכוני אבטחה מהותיים והשלכותיהם. אכן יוזמה ברוכה של בנק ישראל שמביע חששותיו באשר לתוצאות מתקפה\חדירה למחשבי הבנקים.

האם לנו הלקוחות יש מקום לדאגה?

האימוץ של מערכות מסחר מבוססות אינטרנט, מגמת חסכון בעלויות ומתן גישה ללקוחות למערכות אופרטיביות מספקים לפושעים וטרוריסטים למיניהם הזדמנויות לגנוב גם כסף וגם מידע.

מחשבי לקוחות בנקים הפכו לנקודת התורפה אשר מנוצלות ע"י חבורות פושעים המדביקים אותם בזנים שונים של וירוסים (ואשר לעתים קרובות לא מתגלות על ידי אנטי וירוס) ההופכים לכלי נשק עם פוטנציאל הרסני. הנוכלים של המאה 21 לא דומים כלל  לקיד וקסידי או לג'סי ג'יימס, הם חבורה של פושעי אינטרנט מתוחכמים ששינו את  כללי המשחק. הם פועלים באנונימיות  מקילומטרים הרחק מהמטרות שלהם. פושעי אינטרנט אלה מסוגלים ואכן מוציאים לפועל התקפות מתוחכמות ביותר ופוגעים ישרות במוסדות פיננסים רבים ברחבי העולם. מומחי סייבר מובילים מסכימים כי פושעי אינטרנט מפתחים שיטות מתוחכמות מאי פעם וממוקדות יותר. היום זה ברור לכל שפשעי אינטרנט הוא מגיפה עולמית.

מוסדות פיננסיים והיועצים שלהם מנסים להבין את הסיבות לגידול באיומי המגזר, לזהות את המגמות וההשלכות של איומים אלה ובכך ללמוד כיצד להגן על עצמם בצורה מיטבית.

התחכום של ההתקפות ,מהירות הביצוע וההבנה  העמוקה של המערכות הבנקאיות מלמדות כי פושעים אילו לא חוסכים במשאבים בכדי להמשיך ולנצל פרצות במערכת. לדעת מומחי אבטחת מידע יש כבר היום מאות אלפי מחשבים שהודבקו ע"י קודים זדונים\וסוסים טרויאנים למיניהם. 

כמה סיכונים עיקרים אותם ניתן לזהות במוסדות פיננסים:

• השתלטות על חשבונות /Account takeover פריצות דרך מבצעי תשלום של צד שלישי ואו כספומטים.

כפי שהוזכר לעיל, פושעי האינטרנט נעשים מתוחכמים יותר בניצול פרצות במערכות בנקאיות המתחברות לאינטרנט. במקום לבצע ניסיונות לחדור ישירות למערכות המחשוב של המוסדות הפיננסיים המוגנים יותר פושעים אלו ממוקדים בחדירה והשתלטות על מחשבים של לקוחות הבנקאות המקוונת  וכך לקבל גישה יחסית קלה לחשבונות ולבצע העברות כספים במרמה. הדרכים לקבלת מידע הם שונים ומגוונים אך בדרך כלל דרך הפניה מתבצעת באמצעות דוא"ל או הודעות טקסט, והוא פונה ללקוחות המוסד הפיננסי במטרה להוציא מהם מידע קריטי זה. דו"ח של ה-FBI  בקשר עם אבטחת מידע במוסדות פיננסיים הצביע על נזקים למערכת הבנקאית בארצות הברית בלבד בסך של מאות מיליוני דולרים בשנה.. מומחים מניחים שמדובר בהערכה שמרנית וכי ההפסדים בפועל גבוהים הרבה יותר ומגיעים למספרים דמיוניים..

• פגיעה בחברות וגורמים העוסקים במסחר בניירות ערך.

בנקים ובתי השקעות וכ"ו עוסקים יום יום בקניה ומכירה של ניירות ערך ולכן הפכו ליעד מועדף של פושעי אינטרנט. מניפולציה של השוק המניות. קניה ומכירה לא ע"י גורמים מורשים הם חלק מחשיפות שכבר היום אנו יודעים לזהות. .

• פריצות דרך בנקאות סלולריות

טלפונים חכמים והתקנים ניידים אחרים הפכו כלים פופולריים יותר ויותר לביצוע פעולות בנקאיות. לקוחות התרגלו לנגישות של המידע וקלות של העבודה דרך התקנים אילו. קברניטי המגזר הפיננסי מאמינים כי הם חייבים לספק את דרישת הלקוחות שלהם לקדמה ובכדי להישאר תחרותיים חייבים לספק ללקוח טכנולוגיה זו, התקנים אילו שבדרך כלל מוגנים פחות הפכו ליעד קל של פושעי אינטרנט.

• הפרעה לפעילות התקינה ואו הפלה של רשת התקשורת

רשתות התקשורת בבנקים הפכו ליעד מועדף להתקפות DDOS. כל הבנקים הגדולים בארה"ב עמדו תחת מתקפה כזו בחודש ספטמבר ונגרמו לבנקים נזקים משמעותיים. ההתקפות במקרים אילו היו של קבוצה המכנה עצמה "לוחמי הסייבר עזאדין אל-קסאם" " ולכן הוגדרו כפוליטיות בעיקרם בנוסף, יש כבר תיעוד על מקרים של קבוצות האקרים שהפעילו מתקפות כאילו למטרות סחיטה של כספים מהבנק.

אז מה לעשות? להחזיר את הכסף לבלטות…..??

לקוחות רבים התרגלו לבנקאות מקוונת וניידת. רבים מאתנו לא זוכרים מתי לאחרונה ביקרו בסניף הבנק שלהם פיזית ונראה כי אין דרך לעצור את המגמה. לכן מוסדות פיננסים חייבים לפעול תחת ההנחה שהמחשב האישי ואו כל התקן אחר ברשות הלקוחות הינו פגיע ויש אפילו אפשרות שהוא כבר נגוע. הבנקים כיום נוקטים בגישה אקטיבית כדי למנוע עסקאות הונאה ומקשיחים את היכולת לבצע  עסקות בסדרי גודל מסויימים בערוצים המקוונים. יותר ויותר נתבקש ע"י הבנק לאמת את  נתונינו האישיים אם באמצעות בדיקות כפולות כגון SMS , שיחת טלפון, קורא כרטיס חכם עצמאי ועוד. מאחר וחלק גדול מההונאות מתבצע עקב זליגה וגישה של גורמים פנים בנקאים למידע והדלפתו לגורמים פלילים ידרשו הבנקים להקשיח מאוד את הנוהליים הפנימים שלהם והנגישות למידע זה. תהליך ניהול סיכונים טכנולוגיה מתקדמת לאבטחת מידע ומניעת גישה כל אילו הם אתגרים לא קלים בפניהם תעמוד התעשייה הפיננסית בקרוב אך כולנו יודעים כי בסוף החמרת הענישה של  מי שמאחורי פשעי אילו היא חשובה ביותר במלחמה כנגד  פושעי הסייבר . התעשייה הפיננסית חייבת ללמוד לשתף מידע על איומים עם מוסדות אחרים ועם רשויות החוק שכן מידע זה הוא קריטי למאבק.

חשוב מאוד להתייעץ עם יועץ\סוכן ביטוח וניהול סיכונים: למרות כל פעולות המנע והמודעות הגוברות של סיכוני סייבר, מעט מאוד מהגורמים בתעשייה מבטחים סיכונים אילו. מוסדות פיננסיים צרכים לשקול ברצינות רכישת ביטוח ייעודי לפריצות לנתונים, הפרעות רשת, הפרת פרטיות ,גניבות וכ"ו. ישנן היום פוליסות עם כיסוי מקיף ביותר אשר נותנות מענה לא רק לעלויות הישירות  כגון אובדן הכנסה אלא גם עבור תביעות של צדדים שלישים הרואים עצמם ניזוקים מהאירוע, העלויות של ביטוחים אלו זניחים וודאי שלא ברי השוואה לפוטנציאל הנזק ההרסני של מתקפות סייבר.

ברור שהכלכלה השמרנית באופייה תצטרך להתאים עצמה לחיי היומיום ולטכנולוגיה המתפתחת במהירות, כך היה וכך יהיה, ניהול סיכונים מושכל והשקעה במערכות טכנולוגיות מתקדמות הם הדרכים היחידות להשגת שקט נפשי עבור הלקוחות ועבור התפתחות חיונית של הכלכלה.