Według raportu „Economic Impact of Cybercrime – No Slowing Down”, przygotowanego przez firmę McAfee oraz Centrum Studiów Strategicznych i Międzynarodowych (ang. Center for Strategic and International Studies, CSIS) w Waszyngtonie, cyberprzestępczość generuje dla światowej gospodarki koszt w wysokości prawie 600 mld USD, czyli 0,8% globalnego PKB. [1] Mamy do czynienia z istotnym wzrostem, ponieważ w roku 2014 CSIS oszacował ten koszt na prawie 500 mld USD, co stanowiło 0,7% globalnego dochodu. [2] Gdzie szukać przyczyn i co to oznacza?
Zdaniem CSIS istotne znaczenie ma tutaj pięć trendów, takich jak: (1) sponsorowane przez aktorów państwowych (sic!) rabunki bankowe; (2) ataki z użyciem oprogramowania wyłudzającego okupy (ang. ransomware); (3) oferta komercyjnych usług cyberprzestępczych (ang. Cybercrime-as-a-Service, CaaS); (4) postępująca popularność narzędzi służących do anonimizacji (np. oprogramowania ToR i walut cyfrowych); (5) kradzież danych osobowych i własności intelektualnej. [3]
Z kolei raport „The Cost of Cybercrime. Ninth Annual Cost of Cybercrime Study Unlocking the Value of Improved Cybersecurity Protection”, opracowany przez Ponemon Institute i firmę Accenture, podaje, że średnie roczne koszty ponoszone przez sektor bankowy z powodu działalności cyberprzestępców wzrosły z 16,55 mln USD w roku 2017 do 18,37 mln USD w roku 2018. [4]
Cyberprzestępcy rozwijają nowe metody przeprowadzania ataków, ale wciąż najchętniej celują w ludzkie podatności, przez co czynnik ludzki stanowi najsłabsze ogniwo każdego systemu bezpieczeństwa. Najskuteczniejsze są wciąż ataki typu phishing [5], a także wykorzystanie osób wprowadzanych do wewnątrz organizacji celem realizowania interesu wywiadowczego zewnętrznego podmiotu (ang. malicious insider). [6]
Z powodu braku ustalonego, polskiego odpowiednika terminu „malicious insider”, proponuję użycie określenia „złośliwy informator”, które można zdefiniować jako: obecny lub były pracownik, kontraktor lub partner biznesowy, który posiada dostęp do sieci komputerowej, systemów lub danych danej organizacji i wykorzystuje go do ujawniania informacji bez zgody tej organizacji. [7]
Istotne zagrożenia współczesnego biznesu
Dotykamy tutaj problematyki szpiegostwa przemysłowego, a więc: niejawnego i nielegalnego inwigilowania konkurencji w celu uzyskania przewagi rynkowej oraz wywiadu. [8] Inspiratorami tego typu działań mogą być aktorzy komercyjni (np. konkurencyjna firma – występuje tutaj przede wszystkim motywacja finansowa), jak i państwowi (reprezentujący interes obcych państw – najważniejsza jest tutaj motywacja polityczna, chociaż zdobycie środków finansowych może mieć istotne znaczenie). Niestety dzisiejsze uwarunkowania sprawiają, że za działaniem złośliwych informatorów pozornie pracujących na rzecz konkurencji (lub mszczących się na pracodawcy z przyczyn osobistych) ukrywać może się aktor państwowy – w rzeczywistości jedno nie wyklucza drugiego.
Istotną komplikacją jest natomiast fakt, że komercyjny biznes może stać się celem ataku aktorów państwowych, czyli służb specjalnych obcego państwa lub osób działających z ich inspiracji. Dotyczy to w szczególności tych przedsiębiorstw, które mają bezpośredni związek z infrastrukturą krytyczną danego państwa, a więc także przedstawicieli sektora finansowego.
Połączenie ogromnych budżetów, dostępu do utalentowanych przestępców i ochrona przed organami ścigania czyni z państw narodowych najbardziej niebezpieczne źródło cyberprzestępczości. CSIS uważa, że trzy kraje: Rosja, Korea Północna i Iran – są najbardziej aktywne w obszarze cyberprzestępczości związanej z instytucjami finansowymi; Chiny specjalizują się w szpiegostwie; a cele Iranu nastawione są na wywieranie presji, o czym świadczyć ma irański rozproszony atak typu „odmowa usługi” (ang. Distributed Denial of Service, DDoS) na wiodące banki amerykańskie. [9]
Możliwe konsekwencje ataków na banki
Bank jest atrakcyjnym celem ataku, ponieważ gromadzi dużą ilość danych i środków finansowych. Wyciek danych lub kradzież pieniędzy może zaspokoić nie tylko potrzeby ekonomiczne cyberprzestępców (chcących szybko się wzbogacić) lub terrorystów (szukających środków do finansowania swojej działalności), ale stanowi nie lada gratkę dla aktorów motywowanych politycznie, w tym służb specjalnych wrogo nastawionych państw. Poważnym zagrożeniem jest także atak na infrastrukturę techniczną banków, który może skutkować długotrwałą niedostępnością ich usług (np. atak typu DDoS). Każde udane i spektakularne w skutkach działanie cyberprzestępców skierowane przeciwko bankom może bowiem istotnie osłabić system finansowy danego państwa, co pozwoli osiągnąć właśnie tak zdefiniowany cel polityczny.
Źródło: https://pixabay.com/pl/illustrations/haker-atak-maska-internet-1872291/
Ponadto, powstaje tutaj problem związany z ubezpieczeniem na wypadek ataku. Jeżeli uda się udowodnić inspirację ze strony aktorów państwowych, firmy ubezpieczeniowe w uzasadniony sposób mogą klasyfikować dany incydent jako tzw. „akt wojny” [10], co niesie za sobą całą gamę komplikacji natury finansowej i prawnej.
Zmiana sposobu myślenia o cyberprzestępczości
Cyberprzestępczość stanowi dla instytucji bankowych coraz większe wyzwanie, co ma bezpośrednie odbicie w ponoszonych kosztach związanych z zarządzaniem ryzykiem. W najbliższych latach trend ten prawdopodobnie będzie się utrzymywał, ponieważ sprzyja mu transformacja cyfrowa bankowości.
Ciekawym spostrzeżeniem jest fakt, że pomimo dostępności coraz szerszej gamy środków technicznych, najczęstszymi i bardzo skutecznymi metodami działania są wciąż ataki socjotechniczne: różne odmiany phishingu i wprowadzanie do organizacji złośliwych informatorów. Istotną zmianą w myśleniu o cyberprzestępczości jest natomiast odejście od stereotypowego wyobrażenia, że jest to domena wyłącznie kryminalistów łaknących szybkiego zysku (motywacja finansowa) przy niskim ryzyku niepowodzenia ataków, na rzecz dostrzegania szerszego kontekstu, w którym realnym zagrożeniem są także ugrupowania o charakterze terrorystycznym i aktorzy państwowi, np. służby specjalne wrogich państw (motywacja polityczna). To bardzo istotne, jeżeli wziąć pod uwagę, że przynajmniej od ostatnich 10 lat banki są na celowniku wysoko wykwalifikowanych cyberprzestępców. [11]
Podsumowanie
Warto pamiętać, że cyberprzestrzeń jako piąty teatr działań wojennych jest polem aktywności służb obcych państw (np. prowadzenia działalności wywiadowczej), a także potencjalnym obszarem prowadzenia operacji wojskowych. Oczywistym celem ataków będzie więc infrastruktura krytyczna państwa, której istotną częścią są systemy finansowe, w tym bankowe. Jednocześnie, im bardziej postępuje cyfryzacja banków, tym większe jest ryzyko, że staną się one celem ataku. [12] Zakłada się nawet, że zagrożenia związane z działalnością terrorystyczną lub wojną cybernetyczną prawdopodobnie będą dotyczyć w mniejszym stopniu sieci rządowych lub wojskowych (w Polsce do 2024 roku mają zostać stworzone są wojska obrony cyberprzestrzeni [13]), niż np. rynku finansowego, w tym banków, giełd i izb rozrachunkowych, które z natury rzeczy wydają się łatwiejszymi celami. Sektor finansowy stoi na pierwszej linii ewentualnej wojny cybernetycznej. Udany atak może bowiem spowodować realne skutki socjo-ekonomiczne. [14]
Źródła:
[1] J. Lewis, „Economic Impact of Cybercrime – No Slowing Down”, https://csis-prod.s3.amazonaws.com/s3fs-public/publication/economic-impact-cybercrime.pdf?kab1HywrewRzH17N9wuE24soo1IdhuHd&utm_source=Press&utm_campaign=bb9303ae70-EMAIL_CAMPAIGN_2018_02_21&utm_medium=email&utm_term=0_7623d157be-bb9303ae70-1940938, s. 4, stan z dn. 22 września 2019.
[2] Ibidem, s. 4.
[3] Ibidem, s. 6.
[4] „The Cost of Cybercrime. Ninth Annual Cost of Cybercrime Study Unlocking the Value of Improved Cybersecurity Protection”, https://www.accenture.com/_acnmedia/pdf-96/accenture-2019-cost-of-cybercrime-study-final.pdf, s. 12, stan z dn. 22 września 2019.
[5] Ibidem, s. 6; „Internet Organised Crime Threat Assessment 2018”, https://www.europol.europa.eu/sites/default/files/documents/iocta2018.pdf, s. 55, stan z dn. 22 września 2019.
[6] „The Cost of Cybercrime…”, op. cit., s. 6.
[7] „What is Malicious Insiders”, https://www.igi-global.com/dictionary/cloud-security/44678, stan z dn. 22 września 2019.
[8] K. Surdyk, R. Nogacki, „Szpiegostwo przemysłowe w Polsce i na świecie”, https://www.wywiad-gospodarczy.pl/szpiegostwo-przemyslowe-polska-swiat.html, stan z dn. 22 września 2019.
[9] J. Lewis, „Economic Impact of Cybercrime…”, op. cit., s. 9.
[10] „The Cost of Cybercrime…”, op. cit., s. 6.
[11] J. Lewis, „Economic Impact of Cybercrime…”, op. cit., s. 9.
[12] P. Wawrzyniak, „Ewolucja problematyki przestępczości bankowej z uwzględnieniem ważniejszych zagrożeń”, w: „Przegląd prac konkursowych. Edycja VII (2016/2017)”, pod red. E. Dąbrowskiej, Agencja Bezpieczeństwa Wewnętrznego. Centralny Ośrodek Szkolenia i Edukacji im. gen. dyw. Stefana Roweckiego „Grota”, Emów 2019, s. 138.
[13] „Tworzymy wojska obrony cyberprzestrzeni”, https://www.cyber.mil.pl/articles/aktualnosci-y/2019-09-13l-tworzymy-wojska-obrony-cyberprzestrzeni/, stan z dn. 22 września 2019.
[14] „Beyond Security. Cyber Threats and the Financial Sector: Is anybody safe”, https://www.globalservices.bt.com/static/assets/pdf/financial_markets/Finance_sector_Cyber_final.pdf, s. 2., stan z dn. 22 września 2019.