Кібербезпека фінансової установи: чому сьогодні це питання стійкості бізнесу
Ще кілька років тому кібербезпеку в багатьох компаніях сприймали переважно як технічне питання: встановити антивірус, налаштувати сервер, робити резервні копії — і цим має займатися системний адміністратор.
Сьогодні такий підхід небезпечний.
Для фінансової установи кібербезпека — це вже питання безперервності бізнесу, збереження грошей і даних клієнтів, репутації, відповідальності керівництва та виконання вимог регулятора.
Особливо це стосується України, де до звичайної кіберзлочинності додався ще один фактор — повномасштабна війна та цілеспрямовані атаки росії на державну, енергетичну, телекомунікаційну і фінансову інфраструктуру.
Чому саме фінансові установи є привабливою ціллю
Фінансова компанія, кредитна спілка, банк, ломбард чи інший надавач фінансових послуг концентрує одразу декілька цінних для зловмисника ресурсів:
- гроші та можливість здійснення фінансових операцій;
- персональні та фінансові дані клієнтів;
- облікові записи працівників;
- електронні ключі та засоби автентифікації;
- договори, бухгалтерську та управлінську інформацію;
- доступ до банківських, платіжних та інших зовнішніх систем;
- критично важливі для щоденної роботи бази даних та програмне забезпечення.
Тому метою атаки може бути не лише викрадення коштів.
Зловмисник може зашифрувати бази даних і вимагати викуп, викрасти інформацію, отримати доступ до корпоративної пошти, підмінити платіжні реквізити, заволодіти обліковим записом працівника або керівника, зупинити роботу інформаційної системи чи використати інфраструктуру компанії для подальшої атаки.
Національний банк прямо визначає кібербезпеку одним із важливих елементів стійкості фінансового сектору. В оновленій Стратегії розвитку фінансового сектору України кібербезпека та цифрова операційна стійкість є складовою його подальшого розвитку.
Які атаки трапляються найчастіше
1. Фішинг і соціальна інженерія
Працівник отримує електронного листа або повідомлення, яке виглядає цілком правдоподібно: від керівника, банку, контрагента, державного органу чи IT-служби.
Його просять відкрити документ, перейти за посиланням, повторно авторизуватися, терміново здійснити платіж або повідомити певні дані.
Іноді достатньо однієї помилки одного працівника.
Масштаб проблеми добре видно зі статистики НБУ: лише протягом 2024 року команда CSIRT-NBU виявила та ініціювала блокування близько 70 тисяч фішингових ресурсів, пов’язаних із фінансовим шахрайством. НБУ також звертав увагу на атаки з метою отримання доступу до облікових записів у месенджерах, зокрема із застосуванням соціальної інженерії та технік обходу двофакторної автентифікації.
2. Шкідливе програмне забезпечення та ransomware
Шкідлива програма може потрапити в корпоративну мережу через вкладення в листі, заражений комп’ютер, скомпрометований обліковий запис, віддалений доступ або вразливість програмного забезпечення.
Один із найнебезпечніших сценаріїв — ransomware: дані компанії шифруються, робота зупиняється, а за їх відновлення вимагають викуп.
Але справжня ціна такого інциденту значно більша за сам викуп. Це простій працівників, відновлення серверів і баз, залучення фахівців, можливий витік даних, проблеми з клієнтами та репутаційні втрати.
3. Викрадення облікових даних
Пароль працівника сьогодні може бути ключем одразу до електронної пошти, CRM, хмарного сховища, внутрішньої системи чи VPN.
Особливо небезпечними є скомпрометовані адміністраторські облікові записи.
Саме тому багатофакторна автентифікація, розмежування прав, окремі адміністраторські облікові записи та регулярний перегляд доступів — це вже не «додаткові налаштування», а базові елементи захисту.
4. Компрометація корпоративної пошти
Зловмисник отримує доступ до поштової скриньки та певний час просто спостерігає.
Він бачить контрагентів, рахунки, стиль листування, керівників та відповідальних працівників.
У потрібний момент може з’явитися майже справжній лист: «змінилися реквізити», «терміново оплатіть», «директор погодив».
Технічно система може продовжувати працювати абсолютно нормально — а гроші підуть не туди.
5. Атаки на доступність
DDoS та інші атаки можуть зробити недоступними сайт, особистий кабінет, API або інший сервіс.
Для фінансової установи навіть кілька годин недоступності критичної системи можуть означати неможливість обслуговувати клієнтів та виконувати операції.
«У нас є антивірус» — чому цього недостатньо
Кіберзахист — це не одна програма.
Уявімо просту ситуацію.
Компанія має хороший антивірус. Але працівник звільнився, а його обліковий запис залишився активним. Ніхто не визначив, хто і коли повинен його заблокувати.
Або резервні копії створюються щодня, але за два роки ніхто жодного разу не перевірив, чи можна з них реально відновити базу.
Або існує парольна політика, але керівники та адміністратори фактично користуються іншими правилами.
Тому принципово важливо не тільки мати правила, а й забезпечити їх виконання.
Навіщо компанії політики, положення, журнали та реєстри
Іноді внутрішні документи сприймають як бюрократію, необхідну лише для перевірки НБУ.
Це помилка.
Правильно побудована політика відповідає на дуже практичні питання:
Хто має доступ до чого? Хто цей доступ погоджує? Що відбувається при звільненні працівника? Хто відповідає за резервне копіювання? Як часто перевіряється відновлення? Що робити при підозрі на кібератаку? Кому працівник повинен повідомити про підозрілий лист? Хто має право використовувати зовнішні носії? Як реєструється інцидент? Хто приймає рішення під час критичної ситуації?
Політика перетворює безпеку з набору побажань на керований процес.
Але документ, який лежить у папці і не виконується, майже нічого не дає.
Тому правильна модель виглядає так:
вимога → правило → відповідальний → виконання → доказ → контроль.
Саме наявність цього ланцюжка відрізняє реальну систему інформаційної безпеки від формального комплекту документів.
Кілька випадків, які змінили ставлення до кібербезпеки
Bangladesh Bank: $81 млн через кіберзлочин
У 2016 році зловмисники атакували інфраструктуру центрального банку Бангладеш, пов’язану з проведенням міжнародних платежів.
Вони намагалися викрасти близько 1 млрд доларів, а фактично змогли вивести 81 млн доларів. Після цього випадку SWIFT розгорнула окрему Customer Security Programme для посилення безпеки фінансової спільноти.
Цей випадок показовий ще й тому, що проблема була не в компрометації самої мережі SWIFT. Зловмисники використали слабкі місця у локальному середовищі фінансової установи.
Change Healthcare: один інцидент — наслідки для величезної системи
У 2024 році масштабна кібератака на Change Healthcare у США порушила роботу систем, пов’язаних із медичними заявками та платежами.
Наслідки виявилися настільки масштабними, що UnitedHealth Group була змушена надавати мільярди доларів фінансової підтримки постачальникам медичних послуг, грошові потоки яких постраждали через зупинку сервісів.
Урок тут важливий для будь-якої фінансової компанії: кіберінцидент одного ключового постачальника може зупинити процеси сотень або тисяч інших організацій.
Отже, кіберризик — це не лише ваші комп’ютери. Це також ваші дата-центри, хмарні сервіси, програмні продукти, зовнішні IT-підрядники та інші постачальники.
Україна: кібербезпека під час війни має інший вимір
Для українського бізнесу ситуація особлива.
Ми маємо справу одночасно зі звичайними кіберзлочинцями, фінансовими шахраями та з кіберзагрозами, що існують у контексті російської агресії.
Метою атаки не обов’язково є гроші. Це може бути знищення інформації, порушення роботи, дестабілізація, отримання розвідувальних даних або створення недовіри до українських інституцій.
Саме тому НБУ у своїй стратегії говорить про фінансовий ринок як про «цифрову фортецю» та окремо визначає необхідність посилення кіберстійкості фінансового сектору в умовах війни.
У 2024 році CSIRT-NBU проаналізувала понад 3 тисячі зразків шкідливого програмного забезпечення, інформувала банки про інциденти та спроби атак, а Центр кіберзахисту НБУ здійснював постійний моніторинг загроз для фінансового сектору.
Тому сьогодні резервна копія, план аварійного відновлення, контроль доступів чи навчений працівник — це не формальність.
Це елементи стійкості установи в умовах війни.
Найслабшою ланкою часто залишається людина
Можна придбати сучасний firewall, EDR, систему резервування та дорогі сервери.
А потім один працівник відкриє вкладення з листа «від директора».
Саме тому навчання персоналу повинно бути частиною системи кіберзахисту.
Працівник має вміти розпізнати фішинговий лист, знати правила роботи з паролями та КЕП, розуміти небезпеку невідомих вкладень і посилань та, найважливіше, знати, що саме він повинен зробити, якщо помітив щось підозріле.
Навчання без перевірки знань також недостатньо. Компанії важливо мати підтвердження: хто пройшов навчання, коли, з яким результатом і кому необхідне повторне навчання.
З чого почати керівнику фінансової установи
Не обов’язково починати із закупівлі дорогого обладнання.
Починати варто з розуміння свого реального стану:
Що ми захищаємо? Де знаходяться наші критичні дані? Хто має до них доступ? Що станеться, якщо завтра зникне сервер? Чи зможемо ми відновитися? За який час? Хто керуватиме діями під час інциденту? Чи знають це наші працівники? Чи можемо ми документально підтвердити, що встановлені процедури реально виконуються?
Відповіді на ці питання і є початком побудови системи кібербезпеки.
Чим може допомогти ТОВ «АЛЬФА-ОМЕГА ПЛЮС»
Дізнайтеся більше про наші послуги з кібербезпеки
ТОВ «АЛЬФА-ОМЕГА ПЛЮС» пропонує фінансовим установам комплексний підхід до інформаційної безпеки та кіберзахисту: від первинної оцінки стану установи та аудиту — до розроблення документів, практичного впровадження процедур, постійного супроводу та навчання працівників.
Ми не встановлюємо однакову вартість для всіх установ, адже обсяг робіт залежить від кількості робочих місць, серверів, інформаційних систем, офісів, хмарних сервісів, організації доступів, резервного копіювання та фактичного стану захисту.
Тому перший крок — коротка анкета попередньої оцінки. На її основі ми визначаємо IT-периметр установи, рекомендований перелік робіт та готуємо індивідуальну пропозицію.
Детальніше про аудит, впровадження, постійний супровід та навчання працівників — у розділі «Інформаційна безпека та кіберзахист» на сайті ТОВ «АЛЬФА-ОМЕГА ПЛЮС»:
softcu.com → Інформаційна безпека та кіберзахист «Послуги з кібербезпеки»
Кібербезпека починається не тоді, коли стався інцидент. Вона починається з розуміння власних ризиків і готовності діяти до того, як ними скористається хтось інший.
ТОВ «АЛЬФА-ОМЕГА ПЛЮС»
Інформаційна безпека та кіберзахист фінансових установ
Аудит • Документація • Впровадження • Супровід • Навчання