Băncile sunt atacate pentru că acolo sunt banii. E un motiv simplu și de aceea nu dispare niciodată. Diferența față de acum câțiva ani e că atacatorul nu mai are nevoie să spargă un sistem complicat. De cele mai multe ori e mai ușor să sune un client speriat sau un angajat ocupat și să îi ceară frumos exact ce are nevoie.
Asta înseamnă că securitatea unei bănci nu mai e doar treaba echipei de IT. E și despre cum reacționează omul de la ghișeu, clientul din aplicație și directorul care aprobă o plată mare.
Cum arată atacurile azi
Aproape toate fraudele de azi se învârt în jurul unei singure idei: să te convingă să faci tu, cu mâna ta, ceea ce vrea atacatorul.
- Phishing — e-mailuri false care arată ca și cum ar veni de la bancă și te trimit pe un site fals unde îți ceri singur datele.
- Vishing — apeluri telefonice în care cineva se dă drept angajat al băncii și te grăbește să confirmi un cod sau o plată.
- Smishing — SMS-uri cu un link fals și un mesaj care te sperie: „card blocat", „plată suspectă", „confirmă acum".
- Fraudă cu transfer — atacatorul intră pe e-mailul unei firme, schimbă datele din factură și banii ajung în contul lui.
- Atac asupra angajatului — cineva se dă drept șef sau furnizor și cere o plată urgentă, „între patru ochi", până se închide programul.
Toate au în comun graba și frica. De aceea funcționează. Nimeni nu gândește limpede când i se spune că pierde bani în următoarele cinci minute.
Frauda e mai mult despre oameni decât despre calculatoare
Se cheamă inginerie socială, dar pe românește înseamnă pur și simplu păcălirea omului. Atacatorul nu caută o gaură în sistem, caută o persoană care are acces și o poate convinge să i-l dea.
Un exemplu pe care îl vedem des: cineva sună la suport, se dă drept client supărat, spune că nu mai are acces și are nevoie urgentă de o resetare. Dacă angajatul vrea să fie de ajutor și sare peste o verificare, atacatorul tocmai a intrat în cont. Nicio tehnologie nu prinde asta dacă omul nu e învățat să recunoască tiparul.
Ce spune legea
O bancă are reguli stricte și suprapuse, dar partea care contează la o fraudă cu date se rezumă la câteva lucruri.
- GDPR. Dacă datele clienților ajung unde nu trebuie, banca anunță autoritatea (ANSPDCP) în cel mult 72 de ore și, dacă riscul e mare, anunță și clienții. Amenzile pot ajunge la 4% din cifra de afaceri.
- Autentificarea clientului. Regulile de plăți cer ca o tranzacție online să fie confirmată cu mai mulți factori, nu doar cu o parolă, exact ca să nu fie de ajuns un cod furat.
- DORA și NIS2. Băncile trebuie să-și gestioneze riscul IT, să raporteze incidentele mari și să testeze cât de bine rezistă sistemele. Pe larg, am scris despre asta în articolul despre securitatea informației în sectorul financiar.
Ce poate face concret o bancă
Nicio măsură singură nu rezolvă totul. Dar câteva puse cap la cap blochează marea majoritate a fraudelor.
- Autentificare în doi pași, peste tot. Parola plus un cod sau o confirmare în aplicație. O parolă furată nu mai e de ajuns.
- Urmărirea tranzacțiilor. Sisteme care observă plățile ciudate, ora ciudată, suma ciudată, și le opresc până le verifică un om.
- Oameni instruiți. Angajații învățați să recunoască o păcăleală și să nu se grăbească. Un „mai sun eu înapoi pe numărul oficial" oprește multe fraude.
- Reguli clare pentru plăți. Confirmare dublă pentru sume mari, pe un canal separat, ca să nu poată un singur e-mail să miște bani.
- Plan pentru când se întâmplă. Cine sună pe cine, ce se oprește primul, cum se anunță clienții. Pus pe hârtie înainte, nu inventat în mijlocul crizei.
- Testare. Atacuri simulate pe propriii angajați și pe propriile sisteme, ca să vezi unde se rupe lanțul înainte să o facă un atacator real.
La INFOSHARE ajutăm băncile și firmele din finanțe să pună aceste lucruri la punct: de la securitatea informației și teste de securitate, până la instruirea oamenilor. Iar pentru partea de date personale, totul se vede și se demonstrează într-un singur loc, în platforma askGDPR.
Întrebări frecvente
Care sunt cele mai frecvente fraude bancare azi?
Cele mai multe pleacă de la phishing (e-mailuri false), vishing (apeluri false în care cineva se dă drept banca) și smishing (SMS-uri false). Scopul e mereu același: să convingă clientul sau un angajat să dea o parolă, un cod primit pe telefon sau să aprobe o plată. Frauda prin inginerie socială, adică păcălirea omului, e mai des întâlnită decât spargerea tehnică a sistemelor.
De ce sunt băncile o țintă atât de căutată?
Pentru că acolo sunt banii și datele care duc la bani: conturi, carduri, istoricul tranzacțiilor, datele de identificare. Un atac reușit se transformă imediat în câștig pentru atacator, așa că băncile sunt atacate constant și trebuie să se apere zi de zi, nu din când în când.
Ce trebuie să facă o bancă atunci când are o breșă de date?
Sub GDPR, banca trebuie să anunțe autoritatea (ANSPDCP) în cel mult 72 de ore de la momentul în care a aflat de breșă și, dacă riscul pentru clienți e mare, să îi anunțe și pe ei. În paralel, trebuie să oprească scurgerea, să strângă dovezile și să țină o evidență a incidentului.
Autentificarea în doi pași chiar ajută?
Da. Cere ceva ce omul știe (parola) plus ceva ce are (codul de pe telefon), așa că o parolă furată nu mai e de ajuns. Nu e perfectă, pentru că unii atacatori păcălesc clientul să dea și codul, dar reduce mult din fraude și e una dintre cele mai ieftine măsuri raportat la cât blochează.
Vrei să-ți aperi banca sau firma de fraudă și atacuri?
Facem o evaluare a riscurilor, testăm oamenii și sistemele și punem la punct un plan de apărare pe înțelesul tuturor, nu doar al echipei de IT.