Оружие массового заражения

По данным ЦБ, в 2017 году суммы потерь от кибератак сократились во всех категориях — при хищениях у банков, граждан и компаний. Впрочем, это обнадеживает лишь на первый взгляд: частота результативных атак выросла, а сами подходы к хищению средств усовершенствовались. В результате в зоне риска оказалось гораздо больше и банков, и их клиентов. Причём эксперты уверены, что ЦБ видит лишь верхушку айсберга, поскольку многие жертвы кибератак не склонны афишировать их.

Подводя итоги 2017 года, профильное подразделение Банка России по борьбе с киберугрозами — ФинЦЕРТ отчиталось об 11 успешных атаках на банки, в рамках которых было похищено в общей сложности 1,15 млрд руб. В целом было зафиксировано 240 попыток атак на кредитные организации. Годом ранее по результатам атак на девять банков злоумышленники вывели 1,5 млрд руб. Таким образом, атак стало больше, но средняя сумма хищения сократилась со 166 млн руб. в 2016 году до 104 млн руб. в 2017 году.

Казалось бы, эффективность атак на банки снизилась, но на самом деле это не так. Изменился сам вид атак — на смену хищениям через автоматизированное рабочее место клиента Банка России (АРМ КБР, отдельный компьютер в банке, с которого платежи уходят в ЦБ) пришли более сложные схемы.

Трендом 2017 года стало проникновение в инфраструктуру банка, преимущественно через рассылку фишинговых писем, поражение систем вредоносными программами и вывод средств через различные каналы. Отследить такие атаки сложнее, но главная неприятность в том, что, попав в информационную сеть банка, вредонос может сохраняться в ней и после завершения атаки, что приводит к рискам повторных хищений.

Упорство и промышленные масштабы

Самой известной группировкой хакеров, которой в ЦБ приписывают все успешные атаки на российские банки в 2017 году, является Cobalt. Группировка названа в честь используемой ею для атак вполне легальной программы Cobalt Strike. Залогом успеха этих хакеров стали упорство и промышленные масштабы атак. «Злоумышленники делают рассылки фишинговых писем, которые в среднем охватывают около сотни банков. Если им не удается нигде "зацепиться", через день-два идёт повторная рассылка,— рассказывает руководитель экспертного центра безопасности Positive Technologies Алексей Новиков.— Если же повторной рассылки не происходит, то атака удалась. Как правило, через неделю-две появлялась информация о хищениях». Потом ситуация повторяется, но уже с другой группой банков.

Наиболее известной и в то же время самой крупной атакой группировки Cobalt оказалась атака на банк «Союз» (73-е место в банковской системе по активам). Получив доступ к процессингу, злоумышленники «заменили» дебетовые карты на кредитные без лимита и сняли деньги через банкоматы, в том числе сторонних банков. Хакеры попали в систему с помощью рассылки фишинговых писем, одно из которых открыл операционист банка. По словам собеседника “Ъ”, близкого к правоохранительным органам, у банка похитили 400 млн руб.

Второй по сумме хищения стала атака на банк «Глобэкс» (53-е место по активам). В декабре 2017 года банк, по данным ЦБ, лишился 339,5 млн руб. При этом впервые для вывода денежных средств была использована международная межбанковская система передачи информации и совершения платежей SWIFT. По словам замначальника главного управления безопасности и защиты информации ЦБ Артёма Сычева, в результате заражения банка злоумышленники фактически захватили управление им, то есть могли вывести средства любым способом. Вероятно, SWIFT была выбрана лишь потому, что был интересен вывод средств именно за рубеж — деньги ушли в Европу, Азию, Америку.

Замыкает тройку лидеров по ущербу от хакерских атак Росгосстрахбанк (55-е место по активам). Сумма хищения, по информации источников “Ъ” в правоохранительных органах, составила около 200 млн руб. Деньги были выведены через карточный процессинг.

Остальные успешно атакованные в 2017 году кредитные организации — некрупные региональные игроки. Средняя сумма хищения на один банк не превысила 30 млн руб.

Последней успешной атакой группировки Cobalt, о которой известно на сегодня, стало хищение 11 млн руб. из крымского Севастопольского морского банка (291-е место по активам) в декабре 2017 года. Деньги были выведены через собственные банкоматы банка.

Однако это не означает, что группировка снизила активность и угроза миновала. «С начала года мы отметили аналогичную по сравнению с прошлым годом динамику фишинговых рассылок — две-три рассылки в месяц,— отмечает Алексей Новиков.— В последний раз эксперты Positive Technologies фиксировали рассылки вредоносного ПО, похожие на рассылки группировки Cobalt, в конце февраля». По словам эксперта, для затруднения выявления атак злоумышленники стали вкладывать в письма не сами вредоносы, а ссылки на них в сети.

Все больше клиентов в зоне риска

Страдают от кибератак не только банки, но и их клиенты, на счета которых злоумышленники также совершают нападения. В случае с физлицами основной канал потерь — банковские карты. По статистике ФинЦЕРТ, сформированной на основании отчетности банков, количество несанкционированных транзакций с использованием банковских карт в 2017 году составило 317,1 тыс., похищено 961 млн руб. В 2016 году сумма была сопоставимой с 1 млрд руб., число несанкционированных транзакций — 296,7 тыс. То есть и в случае с хищениями у граждан «средний» чек снизился — по сравнению с 2016 годом на 17,2%, до 3 тыс. руб.

По словам эксперта по информационной безопасности Cisco Алексея Лукацкого, динамика связана с активным применением кредитными организациями систем, предназначенных для оценки финансовых транзакций на предмет подозрительности с точки зрения мошенничества (антифрод-системы). Он считает, что тенденцию можно считать положительной. «Отчасти потому, что антифрод "рубит" более высокие суммы,— отметил господин Лукацкий.— В итоге хакерам надо больше усилий прилагать для получения той же маржи».

Но для граждан последствия могут оказаться сомнительными. «Снижение среднего чека хищений чревато тем, что в зоне риска оказывается большее количество банковских клиентов, атаки станут более массовыми,— предупреждает начальник управления информационной безопасности Златкомбанка Александр Виноградов.— Следовательно, говорить однозначно о положительной динамике было бы неверно».

Банки молчат, что их ограбили

Возникают проблемы и у корпоративных клиентов банков. Объём хищений денежных средств со счетов юридических лиц с использованием систем дистанционного банковского обслуживания (ДБО) в 2017 году составил 1,57 млрд руб., свидетельствуют данные ФинЦЕРТ. Число несанкционированных транзакций — 841. Для сравнения, в 2016 году подобных транзакций было 717, а суммарный ущерб составлял 1,89 млрд руб. То есть и в этой категории отмечается снижение среднего размера потерь, приходящегося на одну транзакцию,— с 2,6 млрд руб. в 2016 году до 1,87 млрд руб. в 2017 году.

Если в случае с гражданами основная часть хищений происходит из-за неосторожности или доверчивости клиента, то у компаний ситуация несколько иная. В хищениях средств у корпоративных клиентов отчасти виновны сами банки.

Согласно исследованию Positive Technologies, в 2017 году большинство онлайн-банков (71%) имели недостатки в реализации двухфакторной системы аутентификации (используется для проверки подлинности пользователя). Каждый третий онлайн-банк содержал уязвимости, позволяющие украсть деньги. В кредитных организациях, использующих онлайн-банки собственной разработки, преобладали уязвимости, связанные с недостатками реализации механизмов защиты. Кроме того, в каждом втором онлайн-банке собственной разработки использовалось устаревшее ПО.

У кредитных организаций, прибегающих к готовым решениям, было выявлено большое количество уязвимостей в программном коде (эта ошибка позволяет злоумышленникам получить конфиденциальную информацию, которая может быть использована для хищений). Двухфакторная аутентификация при входе в личный кабинет присутствовала лишь в 71% финансовых веб-приложений, а подтверждение транзакций одноразовым паролем требовалось и вовсе только в половине систем. «В отдельных банках СМС-подтверждение есть лишь при входе в онлайн-банк, транзакции же идут без подтверждения,— отмечают в компании.— В ряде случаев в качестве логина для входа в онлайн-банк использовался номер телефона клиента банка, а его дата рождения являлась паролем, чем также могли бы воспользоваться злоумышленники».

Впрочем, уязвимости в ДБО не помешали в 2017 году останавливать несанкционированные транзакции. Как отмечается в отчете ФинЦЕРТ, приостановлена была половина несанкционированных транзакций, что свидетельствует «об эффективности использования систем антифрод и высоком уровне межбанковского взаимодействия».

Между тем эксперты полагают, что в Банке России могут недооценивать общий масштаб проблем. Далеко не все банки сообщают регулятору об инцидентах с успешным хищением денежных средств. Собеседник “Ъ”, близкий к правоохранительным органам, утверждает, что реальный ущерб, нанесенный только банкам кибератаками в 2017 году, примерно в 1,5 раза больше озвученного ЦБ. По словам зампреда правления Сбербанка Станислава Кузнецова, анализ банка показывает, что официальные данные могут не соответствовать истинному размеру ущерба от 10 до 20 раз. Он подтверждает, что проблема в скрытности кредитных организаций, но «вряд ли кто-то сможет посчитать убытки от хакеров, когда банки молчат, что их ограбили».