Компьютерные атаки в кредитно-финансовой сфереСтатистика и отчеты

– Артем, вы возглавляете ФинЦЕРТ с 2017 г. За это время центр проделал масштабную работу по взаимодействию с банками. Сколько кибератак вы обнаружили за прошедший год?
– С начала 2019 г. было обнаружено порядка 116 атак, а за все время функционирования центра – больше 400. Окончательные цифры представлены в нашем годовом отчете о работе центра. О случаях выявления кибератак уведомляются все участники обмена – как адресно, так и широковещательно. Если мы понимаем, что атака имеет масштаб не только кредитных организаций, то первоначальная цель такого оповещения – уведомить организации финансовой сферы о том, что действительно есть угроза, она актуальна и распространяется.

Интересно, что уведомления в некоторых случаях получают и производители банковского программного обеспечения, чтобы знать, в каком направлении развивать системы, и выпускать вовремя доработки. И соответственно, антивирусные лаборатории, поскольку мы с ними тоже тесно сотрудничаем в части того, какие вещи сейчас не определяются их программными продуктами, и помогаем в анализе программного обеспечения. Благодаря этому мы успешно предотвратили очень много атак.

– Какие кибепреступления встречаются чаще всего?
– Основные тренды, такие как атаки на инфраструктуру отдельных организаций и пользователей финансовых услуг, остались. Но сейчас фокус сместился в сторону так называемой социальной инженерии – это атаки на клиентов и сотрудников кредитных организаций. Здесь в основном ситуации связаны со звонками. СМС мы уже отодвигаем на второй план. Главную проблему в звонках представляет собой подмена номеров, эта технология в последнее время активно распространяется. Мы принимаем меры совместно с Министерством развития связи и коммуникаций, операторами связи и кредитными организациями на предмет того, чтобы на техническом уровне такие звонки пресекать.

– В связи с возросшим количеством рисков, связанных с социальной инженерией, разрабатываете ли вы рекомендации, чтобы помочь банкам повысить ИБ-грамотность их клиентов?
– Да. Сюда можно включить мероприятия, связанные с контролем действий сотрудников кредитных организаций. Например, в обязанность кредитной организации входит любым способом информировать клиентов об угрозе. Мы совместно прорабатываем материалы по выработке рекомендаций: как клиентам банка обращаться со звонками и информацией, которую от них требуют, что может требовать банк, а что не может. Здесь важен комплексный подход. ФинЦЕРТ Банка России работает не один, стараясь повышать финансовую грамотность клиентов организаций кредитно-финансовой сферы.

– Как вы оцениваете общий уровень безопасности кредитно-финансовой системы в России?
– Важно отметить повышение общего уровня информационной безопасности в организациях. Огромную роль сыграли и сами кредитные организации, которые поняли, что это не второстепенная задача и решать ее односторонними методами только со стороны регулятора неэффективно. За счет того что вся кредитно-финансовая сфера в этом вопросе смогла консолидироваться, мы сейчас видим, что уровень ИБ вырос. В том числе по этой причине фокус атак, о котором мы говорили в начале, смещается в сторону клиентов организаций. Это видно из статистики.

– Какие самые распространенные типы атак на организации кредитно-финансовой сферы?
– Атаки на инфраструктуру все еще есть, но они менее успешны, так как спокойно детектируются. Основную угрозу представляют звонки клиентам кредитных организаций. Здесь важную роль играет психологический фактор, поэтому таких случаев больше, если сравнивать с количеством атак на инфраструктуру. Тренд атак на клиентов сохраняется, и изменить ситуацию можно только объединением усилий всех заинтересованных сторон: регулятора, кредитных организаций и всех смежных ведомств, которые имеют к этому отношение.

– Что такое "Фид-Антиод" и какие результаты он показывает?
– "Фид-Антифрод" – это творческое название. Антифрод – уже устоявшийся термин, а приставка "Фид" – указание на то, что мы распространяем информацию о несанкционированных операциях среди кредитных организаций. Цель всего этого – создание реестра несанкционированных операций, в котором фиксируются признаки операции, ее консолидация, аналитика и передача информации всем кредитным организациям для оперативного предупреждения подобных атак. На последних возлагается целевая функция отслеживания ситуации и работы с клиентами на предмет определения санкционированности или несанкционированности операции. Благодаря этому мы видим эффект уменьшения количества успешных несанкционированных операций. Попытки таких операций могут быть, но, по крайней мере, безуспешные.

В данный момент наша система одновременно обрабатывает 116 запросов от кредитных организаций. В перспективе ожидается повышение этой цифры – сообщений выявляется очень много, их нужно обрабатывать и оперативно отправлять о них информацию. Например, сейчас в системе порядка 30 тыс. сообщений. Но здесь есть такой нюанс – не обо всех случаях сообщают. Происходит это по разным причинам: иногда клиент не приходит в банк, считая, что сумма небольшая и не стоит внимания, или банки могут не сообщать из-за большого количества запросов (у крупных организаций их может быть очень много), полуручной ввод сообщений также затормаживает процесс обработки, поэтому мы стараемся его автоматизировать и предоставляем участникам обмена определенные сервисы.

В целом эта система эффективна. Были случаи, когда в сообщениях находили совпадения, по этим операциям проводилась работа, зачисление средств приостанавливалось и часть денег удавалось вернуть клиентам или же удавалось предотвратить списание средств.

– Как вы контролируете исполнение ваших рекомендаций кредитно-финансовыми организациями?
– Методы у нас есть. В первую очередь это дистанционный контроль. В рамках функционала ФинЦЕРТ есть направление надзорной деятельности, состоящей из двух частей:

1. отчетность, которая предписана банкам, в том числе их сообщения в систему "Фид-Антифрод";
2. непосредственно контактные проверки, которые осуществляются совместно с надзорным блоком, при которых выявляются проблемы применения ИТ-технологий.

Кроме того, мы отслеживаем публикации в СМИ в отношении деятельности кредитных организаций. Здесь наша задача заключается в получении дополнительной информации. Например, если банк не сообщил нам напрямую о каких-то случаях несанкционированных операций, но информация о них появилась в СМИ, то такие примеры мы тоже рассматриваем.

В ближайшем будущем мы планируем автоматизировать наши сервисы и повысить их оперативность, а значит увеличить скорость и объем информации, обрабатываемой системой "Фид-Антифрод".