Кибербезопасность в цифровом банкинге: вызовы и решения для финансовых институтов США

Цифровая трансформация банковского сектора США открывает новые возможности, но одновременно создаёт беспрецедентные вызовы в сфере кибербезопасности. Финансовые учреждения являются одной из главных целей для киберпреступников из-за ценности хранимых данных и потенциальной финансовой выгоды от успешных атак. По данным Boston Consulting Group, банки сталкиваются с кибератаками в 300 раз чаще, чем компании из других секторов экономики.

В этой статье мы рассмотрим основные киберугрозы, с которыми сталкиваются американские банки, стратегии защиты, которые они внедряют, регуляторные требования в области кибербезопасности и будущие тенденции в защите цифрового банкинга.

Ландшафт киберугроз в банковском секторе США

1. Масштаб проблемы

Согласно отчёту IBM Security, финансовый сектор уже несколько лет подряд остаётся наиболее атакуемой отраслью. Средняя стоимость утечки данных в финансовом секторе США составляет около $5,85 миллиона — значительно выше, чем средний показатель по всем отраслям ($4,24 миллиона).

В 2022 году Федеральная корпорация по страхованию вкладов (FDIC) сообщила о более чем 800 успешных кибератаках на банки США, что на 20% больше, чем в предыдущем году. Это указывает на растущую интенсивность угроз, с которыми сталкиваются финансовые учреждения.

2. Основные типы киберугроз

a) Программы-вымогатели (Ransomware)

Атаки с использованием программ-вымогателей становятся всё более изощрёнными и разрушительными. В отличие от прошлых лет, когда атаки были в основном неизбирательными, современные киберпреступники часто целенаправленно атакуют финансовые учреждения после тщательной разведки.

Пример: В 2022 году несколько региональных банков США подверглись атакам программ-вымогателей группировки Conti, которая не только шифровала данные, но и угрожала публикацией конфиденциальной информации клиентов, если выкуп не будет выплачен (тактика "двойного вымогательства").

b) Атаки на цепочку поставок

Киберпреступники всё чаще атакуют не сами банки, а их поставщиков и партнёров, которые часто имеют менее защищённые системы, но при этом доступ к банковским сетям.

Пример: Инцидент с SolarWinds в 2020 году затронул несколько крупных финансовых учреждений США, включая части Министерства финансов. Атакующие внедрили вредоносный код в обновления программного обеспечения, которые затем были установлены клиентами компании.

c) Фишинг и социальная инженерия

Фишинговые атаки остаются одним из самых распространённых векторов проникновения в банковские системы. По данным Verizon Data Breach Investigations Report, около 36% всех утечек данных в финансовом секторе начинаются с фишинговых атак.

Современные фишинговые атаки становятся всё более таргетированными (спирфишинг) и часто используют информацию из социальных сетей для создания убедительных сообщений, нацеленных на конкретных сотрудников банка.

d) API-атаки

С ростом популярности открытого банкинга и использования API для интеграции с третьими сторонами, API становятся новой мишенью для атак. Уязвимости в API могут привести к несанкционированному доступу к данным клиентов или манипуляциям с транзакциями.

По данным Gartner, к 2022 году атаки на API стали наиболее распространённым вектором атак на приложения.

e) DDoS-атаки

Распределённые атаки типа "отказ в обслуживании" (DDoS) становятся всё более мощными. В 2022 году была зафиксирована DDoS-атака мощностью 3,47 Тбит/с — рекордная на тот момент. Банки часто становятся мишенями таких атак, которые могут привести к недоступности онлайн-сервисов для клиентов.

f) Мобильное мошенничество

С ростом популярности мобильного банкинга растёт и количество атак, нацеленных на мобильные приложения и устройства клиентов. Это включает фальшивые банковские приложения, атаки на процесс аутентификации и эксплуатацию уязвимостей в мобильных операционных системах.

3. Эволюция киберугроз

Киберугрозы постоянно эволюционируют, и банки сталкиваются с новыми вызовами:

• Автоматизация атак — использование искусственного интеллекта и машинного обучения для автоматизации и масштабирования атак
• Атаки "без файлов" — вредоносное ПО, которое действует полностью в памяти и не оставляет следов на диске, что затрудняет обнаружение традиционными антивирусами
• Угрозы со стороны инсайдеров — по данным Ponemon Institute, 60% финансовых организаций столкнулись с инцидентами, связанными с действиями инсайдеров (как злонамеренными, так и непреднамеренными)
• Атаки на новые технологии — по мере внедрения банками новых технологий, таких как квантовые вычисления, 5G и Интернет вещей, появляются и новые векторы атак

Стратегии защиты и лучшие практики

Для противодействия растущим киберугрозам американские банки внедряют комплексные стратегии защиты, основанные на принципе "глубокой обороны" (defense in depth) — многоуровневого подхода к безопасности.

1. Инвестиции в кибербезопасность

Крупнейшие банки США инвестируют беспрецедентные суммы в кибербезопасность:

• JPMorgan Chase ежегодно тратит около $600 миллионов на кибербезопасность
• Bank of America инвестирует более $1 миллиарда в год
• Wells Fargo увеличил бюджет на кибербезопасность на 35% за последние три года

Эти инвестиции направляются на наём квалифицированных специалистов, внедрение передовых технологий и разработку новых методов защиты.

2. Передовые технологии защиты

a) Искусственный интеллект и машинное обучение

Банки активно внедряют решения на основе ИИ и машинного обучения для выявления аномального поведения, которое может указывать на киберугрозы. Эти системы могут анализировать огромные объёмы данных и выявлять подозрительные паттерны, которые могут остаться незамеченными традиционными системами безопасности.

Пример: Citigroup использует платформу Darktrace, которая применяет алгоритмы машинного обучения для создания "образа нормального поведения" для каждого пользователя и устройства в сети, что позволяет обнаруживать отклонения, указывающие на потенциальные угрозы.

b) Биометрическая аутентификация

Многие банки внедряют многофакторную аутентификацию с использованием биометрических данных, таких как отпечатки пальцев, распознавание лица или голоса. Это повышает безопасность по сравнению с традиционными паролями.

Bank of America, Chase и Wells Fargo включили биометрическую аутентификацию в свои мобильные приложения, что значительно повысило безопасность доступа к счетам.

c) Квантовостойкая криптография

С учётом развития квантовых вычислений, которые потенциально могут взломать многие существующие криптографические алгоритмы, банки начинают инвестировать в квантовостойкую криптографию.

JPMorgan Chase сотрудничает с исследователями в области квантовых вычислений для разработки алгоритмов, устойчивых к атакам квантовых компьютеров.

d) Технологии "нулевого доверия" (Zero Trust)

Архитектура "нулевого доверия" основана на принципе "никогда не доверяй, всегда проверяй" и требует строгой аутентификации для всех пользователей и устройств, независимо от их местоположения или сети.

Goldman Sachs и Morgan Stanley публично заявили о переходе к модели "нулевого доверия" для защиты своих сетей.

3. Организационные меры

a) Формирование культуры кибербезопасности

Банки осознают, что технологии — это только часть решения, и активно работают над формированием культуры кибербезопасности внутри организации:

• Регулярные тренинги для всех сотрудников по распознаванию фишинговых атак и других угроз
• Симуляции фишинговых атак для тестирования готовности сотрудников
• Программы поощрения за выявление и сообщение о подозрительных действиях

b) Центры операционной безопасности (SOC)

Крупные банки создают круглосуточные центры операционной безопасности для мониторинга сетевой активности и реагирования на инциденты. Эти центры оснащены передовыми системами обнаружения и предотвращения вторжений и укомплектованы высококвалифицированными специалистами.

c) Совместные усилия отрасли

Банки США осознали, что кибербезопасность — это не поле для конкуренции, а общая задача, и активно сотрудничают в этой области:

• Financial Services Information Sharing and Analysis Center (FS-ISAC) — платформа для обмена информацией об угрозах между финансовыми учреждениями
• Sheltered Harbor — инициатива по созданию резервных копий данных клиентов для обеспечения непрерывности бизнеса в случае катастрофических кибератак
• Финансирование исследований в области кибербезопасности через Cyber Risk Institute и другие организации

4. Управление рисками третьих сторон

Осознавая риски, связанные с поставщиками и партнёрами, банки внедряют строгие процессы оценки и мониторинга кибербезопасности третьих сторон:

• Детальные оценки безопасности перед заключением контрактов
• Непрерывный мониторинг безопасности поставщиков
• Строгие договорные требования к защите данных и уведомлению об инцидентах
• Ограничение доступа третьих сторон к минимально необходимому уровню

Регуляторные требования и соответствие

Банковский сектор США является одним из наиболее регулируемых в мире, и кибербезопасность становится всё более важным аспектом регуляторного надзора.

1. Ключевые регуляторы и их требования

a) Федеральная резервная система (ФРС)

ФРС выпустила руководство по управлению рисками информационной безопасности для финансовых учреждений. Банки, находящиеся под надзором ФРС, должны проходить регулярные проверки безопасности и демонстрировать соответствие требованиям.

b) Управление контролера денежного обращения (OCC)

OCC выпустило Руководство по управлению рисками третьих сторон, которое включает требования по оценке и мониторингу кибербезопасности поставщиков и партнёров.

c) Федеральная корпорация по страхованию вкладов (FDIC)

FDIC требует от застрахованных банков разработки и внедрения программ информационной безопасности, соответствующих размеру и сложности банка.

d) Бюро финансовой защиты потребителей (CFPB)

CFPB сосредоточено на защите персональных данных потребителей и может предпринимать действия против финансовых учреждений, которые не обеспечивают адекватную защиту этих данных.

2. Ключевые законодательные и нормативные акты

a) Закон Грэмма-Лича-Блайли (GLBA)

GLBA требует от финансовых учреждений защищать конфиденциальную информацию клиентов и уведомлять клиентов о своих практиках обмена информацией. Закон включает Правило защиты, которое устанавливает стандарты безопасности для финансовых учреждений.

b) Законы штатов о защите данных

Многие штаты приняли собственные законы о защите данных, такие как Закон о конфиденциальности потребителей Калифорнии (CCPA) и Закон о кибербезопасности финансовых услуг штата Нью-Йорк. Банки, работающие в нескольких штатах, должны соответствовать требованиям каждого из них.

c) Стандарты Национального института стандартов и технологий (NIST)

Хотя стандарты NIST не являются обязательными для частных банков, многие регуляторы рекомендуют их использование. Основы кибербезопасности NIST и специальные публикации, такие как SP 800-53, часто используются банками как руководство для разработки программ безопасности.

3. Стресс-тесты по кибербезопасности

Регуляторы всё чаще включают сценарии кибератак в стресс-тесты для банков. Например, ФРС включила сценарий крупномасштабной кибератаки в свои стресс-тесты 2022 года, чтобы оценить способность банков поддерживать критически важные функции во время такого события.

4. Глобальный контекст

Американские банки с международным присутствием также должны соответствовать требованиям других юрисдикций, таким как Общий регламент по защите данных (GDPR) в Европейском Союзе, что создаёт дополнительную сложность для обеспечения соответствия.

Будущие тенденции и вызовы

Кибербезопасность в банковском секторе продолжит эволюционировать в ответ на новые технологии и меняющиеся угрозы.

1. Растущая роль искусственного интеллекта

ИИ будет играть всё более важную роль как в атаках, так и в защите:

• Атаки с использованием ИИ — киберпреступники используют ИИ для автоматизации атак, обхода защиты и создания более убедительных фишинговых сообщений
• Защита на основе ИИ — банки внедряют более продвинутые системы на основе ИИ для предсказания, обнаружения и реагирования на угрозы в реальном времени

2. Квантовые вычисления: угроза и возможность

Развитие квантовых вычислений представляет как угрозу (потенциальное взламывание существующих криптографических алгоритмов), так и возможность (более мощные системы обнаружения угроз) для банковской кибербезопасности.

Банки начинают планировать переход к постквантовой криптографии, чтобы защитить данные от будущих угроз.

3. Безопасность в эпоху открытого банкинга

С развитием открытого банкинга и API-интеграций банки сталкиваются с новыми вызовами в области безопасности. Им необходимо обеспечить безопасный обмен данными с третьими сторонами, сохраняя при этом контроль над доступом к чувствительной информации.

4. Угрозы со стороны национальных государств

Кибератаки, спонсируемые государствами, становятся всё более изощрёнными и представляют серьёзную угрозу для финансовой системы США. Банки должны быть готовы к противодействию атакам, обладающим ресурсами и возможностями на уровне государств.

5. Регуляторные изменения

Ожидается усиление регулирования в области кибербезопасности для финансовых учреждений, особенно в отношении отчётности об инцидентах, управления рисками третьих сторон и защиты персональных данных клиентов.

Заключение

Кибербезопасность стала критически важным аспектом деятельности банков в цифровую эпоху. Американские финансовые учреждения инвестируют беспрецедентные ресурсы в защиту своих систем и данных клиентов, но киберугрозы продолжают эволюционировать и требуют постоянной бдительности и адаптации.

Успешная стратегия кибербезопасности для банков включает сочетание передовых технологий, эффективных организационных мер, соответствия регуляторным требованиям и сотрудничества внутри отрасли. Банки, которые смогут эффективно управлять киберрисками, не только защитят себя и своих клиентов, но и получат конкурентное преимущество в мире, где доверие клиентов становится всё более зависимым от обеспечения безопасности их данных и средств.

По мере того, как цифровой банкинг продолжает развиваться, кибербезопасность останется динамичным и критически важным аспектом банковской деятельности, требующим постоянного внимания, инноваций и инвестиций со стороны руководства финансовых учреждений.