Позорный топ-10: какие банки самые небезопасные
Компания Gemalto, специализирующаяся на программном обеспечении в области цифровой безопасности, опубликовала отчёт по Индексу критичности утечек данных (Breach Level Index) за 2014 год.
По данным исследователей, в прошлом году в мире было зафиксировано более 1500 инцидентов безопасности, в результате которых был скомпрометирован почти 1 млрд персональных записей. Рост числа утечек составил 49% по сравнению с 2013 годом. Количество похищенных записей возросло на 78%.
В 2014 году киберпреступников интересовали персональные данные (54% всех нарушений), особенно доступ к финансовым данным. Кражи персональных данных составили треть самых грубых нарушений данных, классифицированных BLI либо как катастрофические (со счетом BLI в пределах от 9,0 до 10) или тяжкие (7,0 до 8,9). С 1 до 4% увеличилось число нарушений периметра безопасности, когда под угрозой оказывались данные, зашифрованные частично или в полном объеме. Для сектора финансовых услуг, количество нарушений остается относительно постоянным, однако число скомпрометированных данных выросло в 10 раз, с 112 000 до 1,1 млн записей. По оценкам экспертов, в большинстве инцидентов в банковской сфере виноваты сотрудники финансовых организаций. Портал Bankir.Ru и Роман Идов, ведущий аналитик аналитического центра компании SearchInform, специализирующейся на защите от утечек данных, составили Top-9 утечек банковской информации за 2014 год, о которых писали СМИ:
1. Сбербанк России в Ижевске. В начале 2014 года в Ижевске на свалке были обнаружены конфиденциальные документы из местного отделения Сбербанка, в том числе анкеты с паспортными данными клиентов, выписки со счетов, заявления на выдачу кредитов, сведения о банковских ячейках, внутренние служебные записки. Как выяснилось позже, в здании банка производились масштабные ремонтные работы, во время которых указанные документы и покинули стены отделения. Аналогичные случаи в отделениях Сбербанка случались и ранее, но руководство не сделало из них никаких выводов.
2. Банк «Первомайский», в одном из отделений которого на Кубани сотрудники, пользуясь своим служебным доступом к конфиденциальной информации, оформляли кредиты на бывших клиентов банка, а также умерших людей. В общей сложности преступная группа нанесла банку ущерб в размере 2 млн рублей. В январе 2014 года от действий мошенников пострадали клиенты сразу нескольких российских банков, напоминает портал 3DNews. Участники преступной группировки вывели со счетов вкладчиков более 70 млн рублей. В используемой схеме значительная роль принадлежала подкупленным сотрудникам банков, которые передавали злоумышленникам сведения о крупных вкладчиках, а также копии их паспортов. Используя имеющуюся информацию, мошенники изготавливали поддельные паспорта, заводили счета, на которые впоследствии переводили средства с основных счетов вкладчиков и через которые обналичивали деньги. Утечки информации не были своевременно обнаружены службами безопасности банков, а пострадавшие клиенты не реагировали на необоснованные списания со счетов.
3. Королевский банк Шотландии (Royal Bank of Scotland Group Plc, RBS) понес убыток в размере более 100 млн фунтов стерлингов из-за утечки в интернет информации о планах финансового учреждения. Банк планировал перенести головное отделение в Лондон, в случае, если шотландцы проголосуют за выход из состава Соединенного королевства.
4. Банк Нигерии в сентябре 2014 года в результате утечки данных потерял более $40 млн. Как выяснилось в ходе следствия, инцидент был организован бывшим сотрудником организации — уволенным системным администратором. Подобные случаи часто случаются и в странах СНГ. По статистике SearchInform, с системными администраторами связан каждый пятый случай, потому они нуждаются в повышенном контроле отдела ИБ.
5. Британский банк Barclays пострадал от утечки персональных данных в феврале 2014 года. В числе пострадавших оказались сотни тысяч клиентов банка. Данная утечка конфиденциальной информации не была случайной: сотрудники банка намеренно копировали данные клиентов для последующей продажи на «черном рынке».
6. Российскому «Альфа-банку» нанесён ущерб в Краснодаре. 7 000 данных банковских карт оказались украденными через систему банкоматов банка. Инцидент был вовремя обнаружен сотрудниками банка, скомпрометированные карты были заблокированы.
7. Крупным скандалом года стал майский случай с утратой Ситибанком данных более 200 000 банковских карт, хотя в данном случае клиенты не понесли финансовых затрат.
8. Утечка данных банковских карт, которые использовались при покупке железнодорожных билетов онлайн на сайте РЖД. Причиной послужило предупреждение Ассоциации участников MasterCard о подозрительных картах, которые использовали при покупке железнодорожных билетов. Среди пострадавших оказались клиенты банка «Авангард», Транскапиталбанка, «Альфа-банка».
9. Корейский Кредитный Банк допустил утечку персональных данных 20 млн клиентов. Как отметил Роман Идов, количество утечек данных в финансовой сфере остается достаточно высоким, поскольку платежные данные, с одной стороны, пользуются высоким спросом на «черном рынке», а с другой, сами банки зачастую недостаточно внимательно относятся к сохранности информации о своих клиентах и партнерах. По мнению Идова, в связи с ухудшением экономической ситуации спрос на утечки будет только возрастать, поэтому банкам следует заранее готовиться к увеличению числа информационных угроз.
10. И чтобы рейтинг был полным, BIS Journal напомнит об ещё одном банковском инциденте, не вошедшем в Тор коллег. По данным Forbes, в 2014 году атакам хакеров группировки Anunak, костяк которой составляют выходцы из разгромленной в России группировки Carberp, подвергались Интерактивный банк, Инвестторгбанк, OTП Банк. Преступники пользовались уязвимостями в системах информационной безопасности банков и невнимательностью рядовых сотрудников, открывавших фишинговые письма. Всего же от действий этих хакеров за неполные два года пострадали более 50 банков и 5 платежных систем на территории России и стран бывшего СССР, преступникам удалось похитить около 1 млрд рублей.
Автор: Марина Бродская
Источник: Информационная безопасность банков