Artikel top billede

Politi: Her er de it-kriminelles nye mål i finanssektoren

De skarpeste hackere har rettet blikket mod en helt ny indgang til bankerne. Se her, hvordan man kan forhindre hackerne adgang.

Computerworld News Service: Datakriminaliteten undergår en stadig udvikling.

Det foretrukne mål i finanssektoren er ved at forandre sig fra bankkunderne til de bankansatte.

Det oplyser USA's forbundspoliti, FBI, der advarer om, at den seneste tendens hos it-kriminielle er at få fat på bankansattes loginoplysninger ved hjælp af spam og phishing, keylogging og værktøjer til fjernadgang, såkaldte remote access trojanere (RAT).

Sådan løser man problemet

Spørgsmålet om, hvordan man bedst bekæmper it-kriminaliteten, fører direkte ind i den igangværende debat om oplæring vs. teknologi.

De fleste sikkerhedseksperter vurderer, at det er nødvendigt at bruge begge tilgange, og FBI leverer da også en liste af anbefalinger angående oplæring og regelsæt, der bør afholde medarbejderne fra at forære nøglerne til skatkammeret væk.

Visse eksperter såsom George Tubin, der er seniorsikkerhedsstrateg hos Trusteer, mener dog, at forbedret teknologi er den eneste effektive løsning.

"En del af løsningen er oplæring," medgiver han.

"Men vi har talt om det her længe i forsøget på at oplære kunder og medarbejdere. Det er blevet en af de kampe, som jeg ikke tror, vi kan vinde."

Snedige fupnumre

"Nogle af fupnumrene er så snedige, at de næsten kunne narre enhver - meget avancerede planer med web-injektion og e-mails fra venner, der får dig til at åbne en vedhæftet fil. Den eneste løsning er automatiseret teknologi, der sørger for, at folk ikke får mulighed for at reagere på den slags," siger Tubin.

Han bemærker også, at det at medarbejdere for eksempel arbejder hjemmefra, bruger deres egne telefoner og tablets til arbejde eller har lov til at surfe på nettet fra virksomhedsnetværket, "gør dem ekstremt sårbare."

Det er Brian Berger, der er vice president hos Wave Systems, enig i.

"Brugerne vil altid være brugere, ligegyldigt hvor meget man oplærer dem i god sikkerhedspraksis, så det er afgørende, at organisationer har foranstaltninger på plads, der hjælper til at mindske sådanne trusler," siger han.

"Hardware-autentifikation gennem Trusted Platform Module (TPM) gør, at de kriminelle ikke kan trænge igennem, heller ikke selvom en medarbejder begår fejltrin."

Kevin Flynn, der er senior produktleder hos Fortinet, sammenligner oplæring af medarbejdere i god sikkerhedspraksis med køreundervisning af teenagere.

"Køreundervisning hjælper til at reducere antallet af ulykker, men det gør ikke nødvendigvis teenagere til gode chauffører," siger han. "Sikkerhed er et område, der hører til netværket."

Scott Greaux, der er produktchef hos PhishMe, kommenterer dog:

"Oplæring er en organisations bedste forsvar mod disse trusler, men sådanne initiativer er nødt til at bryde med den traditionelle model for sikkerhedsoplysning og anvende kreative og medrivende undervisningsteknikker såsom phishing-øvelser, hvilket både oplyser bedre om problemstillingerne og gør, at oplysningerne huskes bedre."

Greaux afviser dog ikke, at det kan være en god idé at forbedre den teknologiske side af sagen.

Men han holder fast i, at et menneskeligt element kan forbedre sikkerheden i processerne.

"Finansinstitutioner bør implementere en kombination af tilfældige og grænseværdi-baserede evalueringer af alle elektroniske overførsler," anbefaler han.

"Dette vil føje et ekstra lag af menneskelig interaktion til overførslerne, hvilket mindsker risikoen for, at ulovlige overførsler går ubemærket igennem," siger Scott Greaux, der er produktchef hos PhishMe

Det er åbenlyst, at det kan være til stor skade, hvis medarbejderes brugeroplysninger bliver stjålet. Med sådanne oplysninger - især hvis det drejer sig om brugeroplysningerne fra adskillige medarbejdere - kan kriminelle få adgang til enhver kundes konti. FBI nævner ingen specifikke banker, men understreger, at "små og mellemstore banker og kreditforeninger har været mål for de fleste af de beskrevne angreb."

Nogle få store banker har dog også været mål for angreb.

Stjålet millioner af kroner

I disse tilfælde har kriminelle været i stand til at gennemføre uautoriserede elektroniske overførsler ud af landet.

FBI oplyser, at det her drejer sig om beløb på mellem 2,3 og 5,2 millioner kroner.

I mindst ét tilfælde "hævede gerningsmanden beløbsgrænsen for elektroniske overførsler fra kundens konto, så det var muligt at overføre et større beløb."

Sådanne angreb medfører dog også andre end de umiddelbare økonomiske skadevirkninger.

Det er ifølge Tubin én ting, at en kunde bliver hacket eller falder for et svindelnummer, men det er noget "helt andet," hvis det er selve finansinstitutionen, der kompromitteres.

"Skaden mod en stor institutions omdømme kan være katastrofal. At blive kompromitteret er det sidste en bank har brug for."

Sådan kan banker og finans-verdenen sikre sig

Ligegyldig hvilken teknologi, man anvender, så anbefaler FBI adskillige grundlæggende forholdsregler, som pengeinstitutterne og finansvirksomheder bør følge.

Det drejer sig blandt andet om følgende:

- Oplær medarbejderne til ikke at åbne vedhæftede filer eller klikke på links i uopfordrede e-mails.

- Lad ikke medarbejderne få fri adgang til internettet eller personlig eller arbejdsrelateret e-mail på de samme computere, der har forbindelse til betalingssystemer.

- Giv ikke medarbejderne adgang til administrative brugerkonti fra hjemmecomputere eller bærbare forbundet til hjemmenetværk.

- Sørg for, at medarbejderne ikke efterlader USB-tokens i computere, der er forbundet til betalingssystemer.

- Overvåg, når medarbejdere logger ind uden for normal arbejdstid.

- Begræns på hvilke tidspunkter af døgnet, der kan logges ind på brugerkonti med adgang til betalingssystemer.

- Begræns adgangen til indstillingerne for beløbsgrænser for elektroniske overførsler.

Roger Thompson, der er chefanalytiker for nye trusler hos ICSA Labs, understreger, at både oplæring og teknologi er helt afgørende for sikkerheden: "Den bedste måde at forholde sig til sikkerheden på er at forestille sig en schweizerost. Ethvert lag har masser af huller, men hvis du arrangerer dine skiver af ost på den rigtige måde, så kan lagene dække hinandens huller. Med andre ord behøver hvert lag i sikkerheden ikke at være perfekt, så længe der er nok lag."

Oversat af Thomas Bøndergaard




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Alfapeople Nordic A/S
Rådgivning, implementering, udvikling og support af software og it-løsninger indenfor CRM og ERP.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Strategisk IT-sikkerhedsdag 2022 - identificer, beskyt og forsvar

IT-sikkerhedstruslerne mod virksomhederne er i takt med tiden blevet større og værre, fordi virksomhederne er mere end nogensinde før afhængige af data og IT. Det stiller krav til de IT-ansvarlige, der konstant skal tage bestik af det skiftende trusselniveau. Det kræver blandt andet, at it-sikkerhed bliver sat på den strategiske dagsorden i virksomhederne – men hvordan?

25. januar 2022 | Læs mere


Hjemmearbejdets påvirkning på trivsel, helbred og arbejdsmiljø

Fremtidens arbejdsplads er hybrid, det er der ingen tvivl om. Men hvad fører det egentlig med sig? Og hvordan omstiller du og din arbejdsplads sig til det? Det kan du blive klogere på, på denne digitale konference.

02. februar 2022 | Læs mere


GDPR - persondatabeskyttelse i praksis

Håndteringen af persondata og GDPR er for længst blevet hverdag hos de danske organisationer, men derfor er det til stadighed vigtigt og altafgørende, at den løbende overholdelse af GDPR er på plads. Vær med og hør, hvordan du ved hjælp af processuelle greb, værktøjer og systemer kan sikre dette.

08. februar 2022 | Læs mere