ФинЦЕРТ при участии Positive Technologies выпустил отчет об атаках: киберпреступники могут преодолеть периметр 75% банков
На Международном финансовом конгрессе в Санкт-Петербурге заместитель генерального директора компании Positive Technologies Борис Симис представил сводные данные по основным типам компьютерных атак в кредитно-финансовой сфере за 2018 год. Документ подготовлен специалистами ФинЦЕРТ Банка России совместно с ведущими российскими компаниями в области расследования инцидентов информационной безопасности .
Оценивая защищенность отрасли, эксперты Positive Technologies отметили, что три четверти банков уязвимы для атак методами социальной инженерии. В 75% банков сотрудники переходят по ссылкам, указываемых в фишинговых письмах, в 25% — вводят свои учетные данные в ложную форму аутентификации; также в 25% финансовых организаций хотя бы один сотрудник запускает на своем рабочем компьютере вредоносное вложение. При этом фишинг на этапе проникновения используют девять из десяти APT-группировок.
Далека от совершенства и безопасность внутренней сети банков. Наиболее частые проблемы в конфигурации серверов — несвоевременное обновление ПО (67% банков) и хранение чувствительных данных в открытом виде (58% банков). Более чем в половине обследованных банков используются словарные пароли. Специалистам Positive Technologies при проведении тестов на проникновение доступ к управлению банкоматами из внутренней сети удалось получить в 25% банков.
Низким остается уровень защищенности мобильных приложений: уязвимости высокого уровня риска обнаружены в 38% приложений для iOS и в 43% приложений для платформ под управлением Android. В 76% мобильных приложений выявлено небезопасное хранение данных, которое может привести к утечкам паролей, финансовой информации и персональных данных пользователей.
Эксперты Positive Technologies подчеркивают оперативность APT-группировок, которые быстро применяют новые возможности в своей деятельности. Так, группа Cobalt провела вредоносную рассылку через 34 часа с момента публикации информации об уязвимости нулевого дня CVE-2018-15982. Всего эта группировка за 2018 год выполнила 61 рассылку по кредитно-финансовым организациям в России и странах СНГ.
Другая APT-группа — RTM, на счету которой 59 рассылок в 2018 году, — использовала в качестве одного из центров управления домены в защищенной от цензуры децентрализованной зоне .bit. Однако особенности архитектуры блокчейна сыграли против злоумышленников. Специалисты PT Expert Security Center разработали алгоритм отслеживания регистрации новых доменов группировки RTM (или смены их IP-адресов), что позволяет уведомлять банки о новых управляющих серверах через несколько минут после начала их использования злоумышленниками (а иногда и до вредоносной рассылки).
Несмотря на общий рост числа атак в 2018 году, финансовый ущерб значительно снизился по сравнению с предыдущим годом. Этому во многом способствует информационный обмен внутри отрасли, в частности запуск автоматизированной системы обработки инцидентов (АСОИ) ФинЦЕРТ. Согласно данным ФинЦЕРТ, ущерб российских организаций кредитно-финансовой сферы от атак группы Cobalt в 2018 году составил не менее 44 млн рублей, а от атак группы Silence — не менее 14,4 млн рублей. Всего за год ФинЦЕРТ получил сведения о 590 атаках на кредитно-финансовые организации, в том числе о 177 целевых атаках.
«Несмотря на то, что система информационного обмена ФинЦЕРТ позволила снизить суммы потерь банков, опасность целевых атак по-прежнему высока, — отметил Борис Симис. — APT-группировки постоянно совершенствуют техники атак, улучшают качество рассылок, следят за публикацией уязвимостей, приобретают уязвимости нулевого дня и вводят их в свой арсенал за считаные часы. Кредитно-финансовым организациям сегодня нельзя больше ставить во главу угла традиционное возведение защитных барьеров. Ситуация изменилась: преступники научились обходить антивирусы, песочницы, системы IDS. Банкам следует исходить из того, что гипотетический злоумышленник уже находится внутри их периметра; главная задача — максимально сократить время его присутствия в инфраструктуре и лишить его возможности действовать».
