Dla współczesnej firmy z branży finansowej internet stanowi zarówno istotne narzędzie komunikacji z klientami, jak i stałe źródło cyberzagrożeń.
Firmy z branży finansowej stosują różne metody w celu zabezpieczenia transakcji online przed aktywnością cyberprzestępczą. Z kolei cyberprzestępcy wymyślają nowe sposoby kradzieży środków z elektronicznych kont użytkowników. Dlatego też firmy potrzebują wyspecjalizowanego rozwiązania, które jest w stanie zapewnić im ochronę przed oszustwami online. Eksperci z Kaspersky Lab radzą, jak wybrać odpowiednie rozwiązanie.
Z globalnego badania przeprowadzonego przez Kaspersky Lab i B2B International w 2013 r. wynika, że 98% użytkowników sieci WWW zarządza swoimi kontami bankowymi za pośrednictwem internetu lub dokonuje zakupów online. Z drugiej strony – według ekspertów – zainteresowanie tą sferą rośnie również wśród cyberprzestępców: w 2013 r. produkty Kaspersky Lab ochroniły niemal 2 miliony użytkowników (na podstawie danych pochodzących z chmury Kaspersky Security Network) przed szkodliwym oprogramowaniem próbującym ukraść pieniądze z ich kont bankowych.
Oszuści stosują różne metody, aby zdobyć cudze dane finansowe. Jedna z nich polega na wykorzystaniu socjotechniki: tworzeniu kopii popularnych stron bankowych, wysyłaniu e-maili w imieniu banku, dzwonieniu do wybranych osób, a nawet odwiedzaniu ich domów w mundurze policyjnym. Do kradzieży informacji nie zawsze jest potrzebny kontakt osobisty: cyberprzestępcy mogą przechwycić informacje w publicznych sieciach Wi-Fi, wykorzystać trojany w celu gromadzenia poufnych danych z urządzeń użytkowników itd.
Konsekwencje takich incydentów, oprócz kosztów związanych z rekompensatą strat poniesionych przez klientów, kosztów prawnych, konieczności usunięcia luk oraz posprzątania bałaganu, obejmują również szkody na reputacji firmy. Cyberkradzieże mogą skłonić ekspertów do obniżenia oceny banku, natomiast historie ofiar mogą odstraszyć nowych klientów.
Aby chronić użytkowników przed cyberzagrożeniami finansowymi oraz zapobiegać szkodom na swojej reputacji, firmy z branży finansowej w coraz większym stopniu inwestują w wyspecjalizowane systemy ochrony przed oszustwami. Takie systemy oferują bankom wiele korzyści, w tym zmniejszenie kosztów, zwiększenie lojalności klientów, możliwość przyciągnięcia nowych klientów itd. Ważne jest jednak, aby system ochrony przed oszustwami został starannie wybrany. Jakie cechy powinno posiadać takie rozwiązanie?
Niezawodna ochrona. Chociaż wydaje się to oczywiste, poziom bezpieczeństwa powinien stanowić główne kryterium podczas wyboru systemu ochrony przed oszustwami. Ponieważ banki i firmy zajmujące się handlem elektronicznym są narażone na różne ataki cybernetyczne, produkt bezpieczeństwa nie może mieć żadnych słabych punktów: musi być skuteczny zarówno pod względem ochrony przed szkodliwymi programami, phishingiem, jak i przechwytywaniem danych. Dlatego najlepiej wybrać rozwiązanie oferowane przez uznanego lidera w dziedzinie bezpieczeństwa IT – w ten sposób uzyskamy gwarancję, że rozwiązanie potrafi odpierać aktualne i nowe zagrożenia online. Bank często nie dysponuje czasem ani odpowiednimi zasobami, aby we własnym zakresie przetestować wszystkie dostępne rozwiązania. W tej sytuacji warto zwrócić się do laboratoriów testowych, które regularnie sprawdzają działanie różnych produktów bezpieczeństwa, również za pomocą testów określających skuteczność rozwiązań w zakresie odpierania cyberataków finansowych.
Marka. Obecnie 20% użytkowników uważa, że ich bank nie stosuje odpowiednich środków w celu zabezpieczenia ich danych finansowych. Dlatego, jeśli bank postawi na oprogramowanie bezpieczeństwa oferowane przez znanego producenta, pomoże to promować jego usługi finansowe i sprawi, że jego oferta będzie atrakcyjniejsza dla użytkowników. Bank, który wykorzystuje rozpoznawalną markę, pokazuje, że poważnie traktuje kwestie bezpieczeństwa swoich klientów, i wzmacnia przekonanie, że klient dokonał dobrego wyboru.
Zorientowanie na użytkownika. Nie da się zaprzeczyć, że czynnikiem ryzyka są również klienci – wielu z nich ignoruje podstawowe środki bezpieczeństwa podczas korzystania z internetu. 28% użytkowników nie sprawdza, czy strona internetowa jest autentyczna, zanim poda na niej swoje poufne dane, a 34% łączy się z publicznymi sieciami Wi-Fi, chociaż nie posiada żadnego rozwiązania bezpieczeństwa zainstalowanego na swoim urządzeniu. Ważne jest również, aby wykorzystywany system potrafił skutecznie działać niezależnie od rodzaju urządzenia, które wykorzystuje użytkownik. To z kolei prowadzi do kolejnego punktu…
Wszechstronne podejście. Skuteczne zabezpieczenie przed oszustami wymaga ochrony na różnych etapach płatności. Lokalna wersja produktu (zainstalowana na urządzeniu klienta) „czuwa” nad płatnością do momentu, gdy znajdzie się ona w systemie banku. W przypadku gdy taka wersja lokalna nie jest zainstalowana na komputerze, użytkownik nadal potrzebuje ochrony na pewnym poziomie. System serwerów banku pomaga zapewnić odpowiedni poziom bezpieczeństwa, sprawdzając typowe zachowanie użytkownika podczas dokonywania płatności, czas i miejsce łączenia się z kontem online oraz inne czynniki. Elementy takiego systemu muszą być skuteczne zarówno oddzielnie, jak i w połączeniu oraz zapewniać maksymalną ochronę. Ponadto, rozwiązanie musi działać równie skutecznie na urządzeniach mobilnych. Warto wspomnieć, że urządzenia mobilne zyskują coraz większą popularność: aż 38% użytkowników wykorzystuje smartfon lub tablet w celu zarządzania swoim kontem bankowym i/lub dokonywania płatności online. Cyberprzestępcy nigdy nie zaprzestają swojej aktywności, dlatego liczba szkodliwych programów dla urządzeń mobilnych zwiększa się każdego dnia – eksperci z Kaspersky Lab zidentyfikowali dotychczas ponad 10 milionów szkodliwych aplikacji dla Androida.
Zgodność ze standardami branżowymi. Banki działają pod ścisłym nadzorem organów regulacyjnych, które nakładają standardy biznesowe w tej sferze. Rosnąca popularność płatności elektronicznych skłoniła organy regulacyjne do opracowania zaleceń dotyczących zapewnienia bezpiecznego działania serwisów online. Taki dokument opublikowała na przykład w 2005 r. organizacja Federal Financial Institutions Examination Council (FFIEC), amerykański organ regulacyjny nadzorujący instytucje finansowe. W 2011 r. FFIEC zaktualizowała swoją listę wymogów, tak aby odzwierciedlała rosnące zagrożenie dla bankowości online ze strony cyberprzestępców. Systemy zabezpieczające przed oszustwami opracowane przez czołowych producentów spełniają wszystkie te standardy w zakresie ochrony transakcji online i są zgodne z obowiązującymi regulacjami.
Pomoc w rozwoju działalności. Wybierając producenta rozwiązań bezpieczeństwa, bank wybiera jednocześnie partnera biznesowego, który może pomóc mu rozwinąć jego działalność. Producent nie powinien poprzestać na zainstalowaniu produktu czy zapewnieniu obsługi technicznej. Dobrze jest, jeżeli przedstawiciele producenta ściśle współpracują z personelem instytucji finansowej i szkolą go w zakresie przeciwdziałania zagrożeniom online, w tym najnowszych metod stosowanych przez cyberprzestępców. Taka współpraca pomaga utrzymać najwyższy poziom bezpieczeństwa w instytucji finansowej. Jeżeli mimo tego bank padnie ofiarą ataku, producent musi być w stanie zapewnić mu pomoc w zbadaniu incydentu.
Wdrożenie systemu bezpieczeństwa transakcji online to bez wątpienia poważna inwestycja dla banku. Jednak wybierając odpowiednie rozwiązanie oferowane przez godnego zaufania producenta, bank może zapewnić sobie szybki zwrot tej inwestycji. Odpowiedni produkt obniża koszty związane ze skutkami cyberataków, takie jak: rekompensatę dla klientów, którzy ucierpieli na skutek incydentu, dochodzenie dotyczące incydentu itd. Nie wolno też zapominać o korzyściach niematerialnych: dbając o bezpieczeństwo klientów i zapobiegając kradzieżom pieniędzy z ich kont, bank zachowuje swoją reputację, która jest jednym z jego najcenniejszych zasobów.
Kaspersky Lab
Wojciech Boczoń
