Artikel top billede

Politi: Her er de it-kriminelles nye mål i finanssektoren

De skarpeste hackere har rettet blikket mod en helt ny indgang til bankerne. Se her, hvordan man kan forhindre hackerne adgang.

Computerworld News Service: Datakriminaliteten undergår en stadig udvikling.

Det foretrukne mål i finanssektoren er ved at forandre sig fra bankkunderne til de bankansatte.

Det oplyser USA's forbundspoliti, FBI, der advarer om, at den seneste tendens hos it-kriminielle er at få fat på bankansattes loginoplysninger ved hjælp af spam og phishing, keylogging og værktøjer til fjernadgang, såkaldte remote access trojanere (RAT).

Sådan løser man problemet

Spørgsmålet om, hvordan man bedst bekæmper it-kriminaliteten, fører direkte ind i den igangværende debat om oplæring vs. teknologi.

De fleste sikkerhedseksperter vurderer, at det er nødvendigt at bruge begge tilgange, og FBI leverer da også en liste af anbefalinger angående oplæring og regelsæt, der bør afholde medarbejderne fra at forære nøglerne til skatkammeret væk.

Visse eksperter såsom George Tubin, der er seniorsikkerhedsstrateg hos Trusteer, mener dog, at forbedret teknologi er den eneste effektive løsning.

"En del af løsningen er oplæring," medgiver han.

"Men vi har talt om det her længe i forsøget på at oplære kunder og medarbejdere. Det er blevet en af de kampe, som jeg ikke tror, vi kan vinde."

Snedige fupnumre

"Nogle af fupnumrene er så snedige, at de næsten kunne narre enhver - meget avancerede planer med web-injektion og e-mails fra venner, der får dig til at åbne en vedhæftet fil. Den eneste løsning er automatiseret teknologi, der sørger for, at folk ikke får mulighed for at reagere på den slags," siger Tubin.

Han bemærker også, at det at medarbejdere for eksempel arbejder hjemmefra, bruger deres egne telefoner og tablets til arbejde eller har lov til at surfe på nettet fra virksomhedsnetværket, "gør dem ekstremt sårbare."

Det er Brian Berger, der er vice president hos Wave Systems, enig i.

"Brugerne vil altid være brugere, ligegyldigt hvor meget man oplærer dem i god sikkerhedspraksis, så det er afgørende, at organisationer har foranstaltninger på plads, der hjælper til at mindske sådanne trusler," siger han.

"Hardware-autentifikation gennem Trusted Platform Module (TPM) gør, at de kriminelle ikke kan trænge igennem, heller ikke selvom en medarbejder begår fejltrin."

Kevin Flynn, der er senior produktleder hos Fortinet, sammenligner oplæring af medarbejdere i god sikkerhedspraksis med køreundervisning af teenagere.

"Køreundervisning hjælper til at reducere antallet af ulykker, men det gør ikke nødvendigvis teenagere til gode chauffører," siger han. "Sikkerhed er et område, der hører til netværket."

Scott Greaux, der er produktchef hos PhishMe, kommenterer dog:

"Oplæring er en organisations bedste forsvar mod disse trusler, men sådanne initiativer er nødt til at bryde med den traditionelle model for sikkerhedsoplysning og anvende kreative og medrivende undervisningsteknikker såsom phishing-øvelser, hvilket både oplyser bedre om problemstillingerne og gør, at oplysningerne huskes bedre."

Greaux afviser dog ikke, at det kan være en god idé at forbedre den teknologiske side af sagen.

Men han holder fast i, at et menneskeligt element kan forbedre sikkerheden i processerne.

"Finansinstitutioner bør implementere en kombination af tilfældige og grænseværdi-baserede evalueringer af alle elektroniske overførsler," anbefaler han.

"Dette vil føje et ekstra lag af menneskelig interaktion til overførslerne, hvilket mindsker risikoen for, at ulovlige overførsler går ubemærket igennem," siger Scott Greaux, der er produktchef hos PhishMe

Det er åbenlyst, at det kan være til stor skade, hvis medarbejderes brugeroplysninger bliver stjålet. Med sådanne oplysninger - især hvis det drejer sig om brugeroplysningerne fra adskillige medarbejdere - kan kriminelle få adgang til enhver kundes konti. FBI nævner ingen specifikke banker, men understreger, at "små og mellemstore banker og kreditforeninger har været mål for de fleste af de beskrevne angreb."

Nogle få store banker har dog også været mål for angreb.

Stjålet millioner af kroner

I disse tilfælde har kriminelle været i stand til at gennemføre uautoriserede elektroniske overførsler ud af landet.

FBI oplyser, at det her drejer sig om beløb på mellem 2,3 og 5,2 millioner kroner.

I mindst ét tilfælde "hævede gerningsmanden beløbsgrænsen for elektroniske overførsler fra kundens konto, så det var muligt at overføre et større beløb."

Sådanne angreb medfører dog også andre end de umiddelbare økonomiske skadevirkninger.

Det er ifølge Tubin én ting, at en kunde bliver hacket eller falder for et svindelnummer, men det er noget "helt andet," hvis det er selve finansinstitutionen, der kompromitteres.

"Skaden mod en stor institutions omdømme kan være katastrofal. At blive kompromitteret er det sidste en bank har brug for."

Sådan kan banker og finans-verdenen sikre sig

Ligegyldig hvilken teknologi, man anvender, så anbefaler FBI adskillige grundlæggende forholdsregler, som pengeinstitutterne og finansvirksomheder bør følge.

Det drejer sig blandt andet om følgende:

- Oplær medarbejderne til ikke at åbne vedhæftede filer eller klikke på links i uopfordrede e-mails.

- Lad ikke medarbejderne få fri adgang til internettet eller personlig eller arbejdsrelateret e-mail på de samme computere, der har forbindelse til betalingssystemer.

- Giv ikke medarbejderne adgang til administrative brugerkonti fra hjemmecomputere eller bærbare forbundet til hjemmenetværk.

- Sørg for, at medarbejderne ikke efterlader USB-tokens i computere, der er forbundet til betalingssystemer.

- Overvåg, når medarbejdere logger ind uden for normal arbejdstid.

- Begræns på hvilke tidspunkter af døgnet, der kan logges ind på brugerkonti med adgang til betalingssystemer.

- Begræns adgangen til indstillingerne for beløbsgrænser for elektroniske overførsler.

Roger Thompson, der er chefanalytiker for nye trusler hos ICSA Labs, understreger, at både oplæring og teknologi er helt afgørende for sikkerheden: "Den bedste måde at forholde sig til sikkerheden på er at forestille sig en schweizerost. Ethvert lag har masser af huller, men hvis du arrangerer dine skiver af ost på den rigtige måde, så kan lagene dække hinandens huller. Med andre ord behøver hvert lag i sikkerheden ikke at være perfekt, så længe der er nok lag."

Oversat af Thomas Bøndergaard




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Jobindex Media A/S
Salg af telemarketing og research for it-branchen, it-kurser og konferencer

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere