Computerworld News Service: Datakriminaliteten undergår en stadig udvikling.
Det foretrukne mål i finanssektoren er ved at forandre sig fra bankkunderne til de bankansatte.
Det oplyser USA's forbundspoliti, FBI, der advarer om, at den seneste tendens hos it-kriminielle er at få fat på bankansattes loginoplysninger ved hjælp af spam og phishing, keylogging og værktøjer til fjernadgang, såkaldte remote access trojanere (RAT).
Sådan løser man problemet
Spørgsmålet om, hvordan man bedst bekæmper it-kriminaliteten, fører direkte ind i den igangværende debat om oplæring vs. teknologi.
De fleste sikkerhedseksperter vurderer, at det er nødvendigt at bruge begge tilgange, og FBI leverer da også en liste af anbefalinger angående oplæring og regelsæt, der bør afholde medarbejderne fra at forære nøglerne til skatkammeret væk.
Visse eksperter såsom George Tubin, der er seniorsikkerhedsstrateg hos Trusteer, mener dog, at forbedret teknologi er den eneste effektive løsning.
"En del af løsningen er oplæring," medgiver han.
"Men vi har talt om det her længe i forsøget på at oplære kunder og medarbejdere. Det er blevet en af de kampe, som jeg ikke tror, vi kan vinde."
Snedige fupnumre
"Nogle af fupnumrene er så snedige, at de næsten kunne narre enhver - meget avancerede planer med web-injektion og e-mails fra venner, der får dig til at åbne en vedhæftet fil. Den eneste løsning er automatiseret teknologi, der sørger for, at folk ikke får mulighed for at reagere på den slags," siger Tubin.
Han bemærker også, at det at medarbejdere for eksempel arbejder hjemmefra, bruger deres egne telefoner og tablets til arbejde eller har lov til at surfe på nettet fra virksomhedsnetværket, "gør dem ekstremt sårbare."
Det er Brian Berger, der er vice president hos Wave Systems, enig i.
"Brugerne vil altid være brugere, ligegyldigt hvor meget man oplærer dem i god sikkerhedspraksis, så det er afgørende, at organisationer har foranstaltninger på plads, der hjælper til at mindske sådanne trusler," siger han.
"Hardware-autentifikation gennem Trusted Platform Module (TPM) gør, at de kriminelle ikke kan trænge igennem, heller ikke selvom en medarbejder begår fejltrin."
Kevin Flynn, der er senior produktleder hos Fortinet, sammenligner oplæring af medarbejdere i god sikkerhedspraksis med køreundervisning af teenagere.
"Køreundervisning hjælper til at reducere antallet af ulykker, men det gør ikke nødvendigvis teenagere til gode chauffører," siger han. "Sikkerhed er et område, der hører til netværket."
Scott Greaux, der er produktchef hos PhishMe, kommenterer dog:
"Oplæring er en organisations bedste forsvar mod disse trusler, men sådanne initiativer er nødt til at bryde med den traditionelle model for sikkerhedsoplysning og anvende kreative og medrivende undervisningsteknikker såsom phishing-øvelser, hvilket både oplyser bedre om problemstillingerne og gør, at oplysningerne huskes bedre."
Greaux afviser dog ikke, at det kan være en god idé at forbedre den teknologiske side af sagen.
Men han holder fast i, at et menneskeligt element kan forbedre sikkerheden i processerne.
"Finansinstitutioner bør implementere en kombination af tilfældige og grænseværdi-baserede evalueringer af alle elektroniske overførsler," anbefaler han.
"Dette vil føje et ekstra lag af menneskelig interaktion til overførslerne, hvilket mindsker risikoen for, at ulovlige overførsler går ubemærket igennem," siger Scott Greaux, der er produktchef hos PhishMe
Det er åbenlyst, at det kan være til stor skade, hvis medarbejderes brugeroplysninger bliver stjålet. Med sådanne oplysninger - især hvis det drejer sig om brugeroplysningerne fra adskillige medarbejdere - kan kriminelle få adgang til enhver kundes konti. FBI nævner ingen specifikke banker, men understreger, at "små og mellemstore banker og kreditforeninger har været mål for de fleste af de beskrevne angreb."
Nogle få store banker har dog også været mål for angreb.
Stjålet millioner af kroner
I disse tilfælde har kriminelle været i stand til at gennemføre uautoriserede elektroniske overførsler ud af landet.
FBI oplyser, at det her drejer sig om beløb på mellem 2,3 og 5,2 millioner kroner.
I mindst ét tilfælde "hævede gerningsmanden beløbsgrænsen for elektroniske overførsler fra kundens konto, så det var muligt at overføre et større beløb."
Sådanne angreb medfører dog også andre end de umiddelbare økonomiske skadevirkninger.
Det er ifølge Tubin én ting, at en kunde bliver hacket eller falder for et svindelnummer, men det er noget "helt andet," hvis det er selve finansinstitutionen, der kompromitteres.
"Skaden mod en stor institutions omdømme kan være katastrofal. At blive kompromitteret er det sidste en bank har brug for."
Sådan kan banker og finans-verdenen sikre sig
Ligegyldig hvilken teknologi, man anvender, så anbefaler FBI adskillige grundlæggende forholdsregler, som pengeinstitutterne og finansvirksomheder bør følge.
Det drejer sig blandt andet om følgende:
- Oplær medarbejderne til ikke at åbne vedhæftede filer eller klikke på links i uopfordrede e-mails.
- Lad ikke medarbejderne få fri adgang til internettet eller personlig eller arbejdsrelateret e-mail på de samme computere, der har forbindelse til betalingssystemer.
- Giv ikke medarbejderne adgang til administrative brugerkonti fra hjemmecomputere eller bærbare forbundet til hjemmenetværk.
- Sørg for, at medarbejderne ikke efterlader USB-tokens i computere, der er forbundet til betalingssystemer.
- Overvåg, når medarbejdere logger ind uden for normal arbejdstid.
- Begræns på hvilke tidspunkter af døgnet, der kan logges ind på brugerkonti med adgang til betalingssystemer.
- Begræns adgangen til indstillingerne for beløbsgrænser for elektroniske overførsler.
Roger Thompson, der er chefanalytiker for nye trusler hos ICSA Labs, understreger, at både oplæring og teknologi er helt afgørende for sikkerheden: "Den bedste måde at forholde sig til sikkerheden på er at forestille sig en schweizerost. Ethvert lag har masser af huller, men hvis du arrangerer dine skiver af ost på den rigtige måde, så kan lagene dække hinandens huller. Med andre ord behøver hvert lag i sikkerheden ikke at være perfekt, så længe der er nok lag."
Oversat af Thomas Bøndergaard
