Autor: Miriama Podskubová

Finančné inštitúcie čelia bezprecedentnej vlne kybernetických útokov a to od ransomvérových vydieračov až po hacktivistov s politickou agendou – digitálny svet sa mení na bojisko, kde ide o miliardy EUR. Najnovšia správa ENISA (Európskej agentúry pre kybernetickú bezpečnosť) odhaľuje alarmujúce fakty: takmer 500 veľkých incidentov v priebehu roka a pol. Kto stojí za týmito útokmi? Ako fungujú? A čo môže finančný sektor urobiť, aby sa ubránil?

Najväčšie hrozby: Výpadok alebo krádeže dát

Správa ENISA podrobne mapuje hlavné typy kybernetických útokov, ktoré zasiahli finančný sektor medzi januárom 2023 a júnom 2024. Medzi najväčšie hrozby patrili:

1. Ransomvér:
   
   – hackerské skupiny ako Akira a LockBit, či NoEscape napádajú finančné inštitúcie a zašifrujú ich dáta a následne požadujú výkupné, často v kryptomenách;
   – 17 % útokov zasiahlo poisťovne, 16 % samotné banky a až 29 % útokov zasiahlo ostatných poskytovateľov finančných služieb;
   – Útok neovplyvní len samotného poskytovateľa služby (spracovateľa dát) vo výsledku v sebe spája ochromenie poskytovanej služby, finančné straty, ohrozenie sprístupnenia dát nepovolaným osobám, reputačné riziko, či prerušenie širšej prevádzky ako takej.
   
   
2. DDoS útoky: Keď banky skolabujú
   
   – politicky motivovaní hacktivisti, ako napr. NoName057(16), spôsobili masívne výpadky služieb najmä v bankovom sektore v Ukrajine a krajinách NATO;
   – najväčší nárast týchto útokov prišiel v období geopolitického napätia – napríklad v reakcii na podporu Ukrajiny zo strany EÚ.
   
   
3. Úniky dát: Zlato digitálnej éry
   
   – banky a poisťovne spravujú obrovské množstvo citlivých osobných a finančných údajov, ktoré sú tými najžiadanejšími v hľadáčiku hackerov;
   – 39 % prípadov únikov dát bolo zameraných na banky – ukradnuté údaje sa predávajú na dark webe alebo využívajú na podvody.
   
   
4. Sociálne inžinierstvo: Keď sa z Vás stane obeť
   
   – phishing, smishing a vishing aj napriek zvyšovaniu povedomia zamestnancov a zmluvných partnerov sú aj naďalej účinné formy kyberútokov;
   – najčastejší scenár je podvodník vydávajúci sa za zamestnanca banky, ktorý svojím konaním presvedčí klienta, aby prezradil svoje heslo alebo autorizoval platbu.
   

Kybernetické útoky už dávno nie sú len doménou osamelých hackerov. Za útokmi stoja organizované skupiny s jasnými cieľmi. Kto je útočníkom?

Medzi najnebezpečnejšie patria štátom podporované skupiny, ako napríklad APT (Advanced Persistent Threats), ktoré sa zameriavajú na špecifické ciele v rámci dlhodobých a sofistikovaných operácií. Príkladom takýchto skupín je Lazarus Group, ktorá je spojená s Kórejskou ľudovodemokratickou republikou a špecializuje sa na krádeže kryptomien a citlivých finančných dát. Ako taká je zároveň podporovaná politickým režimom.

Obdobne je tomu aj v prípade ďalších APT skupín, ktoré sa zameriavajú na priemyselnú špionáž, s cieľom získať cenné obchodné informácie.

Okrem štátom podporovaných skupín tu však existujú aj organizované kyberzločinecké gangy, ako sú Cl0p a TA505. Tieto skupiny využívajú ransomvér na vydieranie inštitúcii, pričom ich cieľom je získať miliónové výkupné alebo predať ukradnuté dáta na čiernom trhu.

Medzi ďalšie nebezpečné skupiny patria hacktivisti s politickou agendou, ktorí sa snažia dosiahnuť konkrétne politické ciele prostredníctvom kybernetických útokov. Ruské pro-kremeľské skupiny, napríklad, útočia na západné finančné inštitúcie, aby destabilizovali ekonomiku. Cieľom DDoS útokov, ktoré vykonávajú, je ochromiť bankové služby a vyvolať paniku. Tieto útoky sú len malým zlomkom komplexného a čoraz sofistikovanejšieho sveta kybernetických hrozieb.

Ako sa ochrániť? Boj o digitálu bezpečnosť

Aby sa inštitúcie efektívne bránili, musia prijať niekoľko kľúčových opatrení, ktoré odporúča ENISA.

Prvým krokom je investícia do komplexných opatrení na zabezpečenie kybernetickej bezpečnosti. Banky musia posilniť monitoring nie len kybernetických hrozieb ale rovnako tak zaviesť silnejšie obranné mechanizmy. To znamená nielen implementáciu nových technológií na detekciu incidentov, ale aj pravidelnú aktualizáciu ochranných systémov, aby sa predišlo zneužitiu zraniteľností.

Ďalším kľúčovým opatrením je ochrana a zabezpečenie dodávateľského reťazca. Mnoho kybernetických útokov začína cez zraniteľnosti u tretích strán, ako sú napríklad cloudové služby alebo iní externí poskytovatelia. Preto je nevyhnutné zabezpečenie smerovať nielen na interné systémy, ale aj systémy dodávateľov a partnerov, ktorí môžu byť cieľom útokov.

Posilnenie školení a bezpečnostného povedomia zamestnancov je ďalším dôležitým krokom. Až 80 % úspešných kybernetických útokov využíva ľudskú chybu, ako je nepozornosť, slabé heslá alebo klikanie na phishingové odkazy. Školenia a osvetové kampane, ktoré zvyšujú povedomie o týchto hrozbách, sú kľúčové pre minimalizovanie rizika.

V neposlednom rade je nevyhnutné dodržiavať prísnejšie štandardy odporúčané aj prostredníctvom záväznej právnej úpravy, ako sú NIS 2 a jej národné transpozície, či  DORA, ktoré stanovujú prísnejšie pravidlá EÚ týkajúce sa bezpečnosti IT systémov vo finančnom sektore. Tieto regulácie posilňujú požiadavky na ochranu údajov a zabezpečenie technologických infraštruktúr aj vo vzťahu k dodávateľskému reťazcu, čím prispievajú k zvýšenej odolnosti finančných inštitúcií voči kybernetickým hrozbám.

Implementovaním týchto opatrení ako aj ďalších ISO štandardov môžu finančné subjekty znížiť riziko kybernetických útokov, byť pripravení na ich výskyt schopní reagovať a vo výsledku tak zabezpečiť nielen ochranu svojich systémov, záruku kontinuity poskytovanej služby, ale tiež dôveru svojich klientov v nimi proklamovanú kvalitu služieb.

Správa ENISA poukázala na to, že kybernetická vojna/hrozba hrá aj naďalej významnú úlohu v rámci finančného sektora. Útočníci využívajú sofistikované techniky na ochromenie inštitúcií, krádeže dát a vydieranie. Moderné kybernetické hrozby už nie sú len o kradnutí hesiel či jednoduchých podvodoch. Práve preto je na mieste otázka či bude finančný sektor ako celok, prípadne významní jednotlivci schopní zastaviť túto bezpečnostnú lavínu, ktorá sa na nich valí skôr ako bude neskoro.

Ak aj vy potrebujete poradiť ohľadom regulácie, či správneho zavedenia bezpečnostných opatrení na úseku kyberbezpečnosti finančného sektora, v HAVEL & PARTNERS s.r.o., advokátska kancelária Vám s tým radi pomôžeme.