Человек остаётся главным слабым звеном в инфбезе финтеха

Финансовая индустрия последние десять лет по всему миру (ну кроме Испании, ха-ха) переживает стремительное усложнение технологического ландшафта. Хотя ключевые уязвимости и тренды, о которых мы говорили ещё в 2017 году, остаются релевантными, степень зрелости как самих атак, так и оборонительных механизмов изменилась радикально. Уже тогда было понятно, что человеческий фактор становится основной точкой входа для киберпреступников, а традиционные средства защиты — многофакторная авторизация, SMS-коды, 3D-Secure — не способны противостоять вредоносным программам, контролирующим смартфоны пользователей. Тогда мы разработали и запатентовали не плохую систему видеофиксации процессов авторизации (продав её одному из цифровых банков), понимая, что безопасная идентификация должна быть вынесена за пределы заражённого устройства. Но последующее развитие отрасли сделало очевидным: не только технологии, но и сценарии злоупотреблений, инфраструктура атак и сама экономика киберкриминала прошли глубокую трансформацию.

Если в начале прошлого десятилетия основной акцент злоумышленников был на хищениях через электронные платёжные системы, то сегодня всё больший интерес у них именно к самой информации. Кража коммерческой и инсайдерской информации — значительно более безопасный и экономически выгодный бизнес. Сливы корпоративной переписки, информации о сделках, отчётности, стратегиях и инвестиционных планах продаются на теневых рынках и используются для операций, приносящих «очищенный» доход. Взлом банков как инфраструктурных объектов перестал быть массовым сценарием — слишком дорого, слишком рискованно, слишком маловероятно для успеха.

Но взлом пользователей — остался. Человеческий фактор за прошедшие годы не просто не исчез, а стал ещё более уязвимой поверхностью атаки. Объём фишинга вырос кратно, социальная инженерия достигла уровня профессиональных психологических манипуляций, а мошеннические центры (те самые колл-центры, представительства Сбера в колониях, ну и отделы фсб под Днепром или в районе Ваке в Тбилиси) превратились в индустрию с отделами аналитики, скриптами, KPI и возможностями имитировать легитимные коммуникации сервисов. Несмотря на то, что отдельные государства действительно нанесли по ним удар — закрыли крупные площадки, арестовали организаторов и ввели новые нормы противодействия (хотя РФ больше боролась против дронов, а не против жуликов, но эффективность против последних - очевидна) — индустрия адаптировалась и переместилась в новые юрисдикции.

Отдельно стоит отметить стремительный рост вредоносных мобильных приложений, имитирующих банковские сервисы. Маркетплейсы стараются очищать каталоги, но злоумышленники успевают распространять поддельные программы через рекламные сети, сайты-подделки и даже через переадресацию с взломанных популярных ресурсов. Заражённые браузеры, подменяющие страницы интернет-банков, также стали обыденностью: вредоносы пеленгуют переходы на банковские ресурсы и подменяют поля ввода, удостоверяясь, что пользователь сам вводит данные на фальшивую форму.

Все эти схемы построены не на разрушении банковской инфраструктуры, а на убеждении клиента совершить ошибку. Это дешёво, технологично и крайне эффективно.

Параллельно с ростом атак существенно изменилось государственное регулирование. Центральные банки разных стран, включая российский ЦБ, перешли от рекомендаций к полноценному формированию обязательных стандартов цифровой безопасности.

Появились и укрепились требования к:

Регуляторика превратилась из формального набора правил в инструмент, определяющий культуру безопасности.

Важную роль сыграло распространение обязательных стандартов центров мониторинга безопасности и систем корреляции событий. Если десять лет назад SIEM был скорее атрибутом крупных банков, то теперь это неотъемлемая часть инфраструктуры даже умеренно крупных игроков. Более того, банки обязаны обеспечивать интеграцию с центрами киберзащиты регулятора, передавать данные об инцидентах, участвовать в отраслевом обмене информацией о компрометациях и угрозах.

Главные тектонические сдвиги произошли в сфере активной безопасности. Современный банкий SOC — это несколько уровней обороны, объединённых в единую экосистему:

В совокупности эти механизмы сформировали эшелонированную оборону, которая делает успешную атаку на банк крайне маловероятной.

Технически банк можно было взломать и раньше, но это требовало огромных ресурсов, знаний, инфраструктуры и рисков. Сегодня же стоимость такой операции выросла настолько, что экономически она почти не оправдана. Чтобы обойти современные процессы мониторинга, противнику приходится иметь инструменты, сопоставимые по качеству и масштабам с государственными структурами. Финансовая отдача при этом стремится к нулю.

Если перевести кибератаку на язык денег, становится очевидно: полноценный взлом банка может стоить злоумышленникам дороже, чем то, что они в итоге смогут украсть и отмыть. Поэтому фокус сместился на клиентов — именно они обеспечивают преступникам предсказуемый, масштабируемый и малорисковый доход.

Основная уязвимость — это пользователь, который:

Банки пытаются компенсировать это, внедряя новые уровни защиты. Появились технологии, проверяющие «здоровье» устройства, на котором проводится авторизация: наличие рут-прав, вредоносов, подмены сертификатов. Активно применяется видеофиксация авторизаций и транзакций, позволяющая отделить легитимного пользователя от заражённого устройства. Распознавание лиц стало не опцией, а нормой. Появились системы, которые анализируют движения, касания и микроповеденческие паттерны пользователя.

Но, как ни парадоксально, всё это направлено не на защиту банка — он и так защищён, — а на защиту клиента от собственных ошибок.

Финтех продолжает интегрироваться с повседневной жизнью: платежи становятся невидимыми, авторизация — автоматизированной, кредитование — мгновенным. И чем меньше действий требуется от клиента, тем выше должен быть уровень автоматизированной защиты.

В ближайшие годы ожидаются следующие направления развития:

За десятилетие отрасль действительно пережила «тектонические» сдвиги. Мы получили многослойную архитектуру защиты, зрелую регуляторику, глобальные центры мониторинга, автоматизированные процессы и инструменты, о которых в 2017-м могли только говорить. Взлом банка стал почти невозможным и точно экономически бессмысленным.

Но главный парадокс заключается в том, что самая слабая точка — остаётся неизменной. Человеческий фактор, как был, так и остаётся самым дешёвым, быстрым и эффективным способом атаки. И пока пользователи не научатся базовой цифровой гигиене, а мошенники сохраняют возможность воздействовать психологически, любая самая развитая система безопасности будет вынуждена защищать клиентов… прежде всего от самих себя.