Предположительная попытка инсайдера продать учётные данные для доступа к банку вновь привлекла внимание к одной из самых сложных проблем кибербезопасности в финансовой отрасли: как остановить людей, знающих внутренние системы, до того, как они нанесут ущерб. Инцидент с First City Monument Bank (FCMB) в некоторых публикациях описывался как успешный «взлом сервера за 25 000 долларов», однако имеющаяся информация указывает на иной ход событий.

Речь идёт о попытке несанкционированного входа с использованием легитимных учётных данных. Активность была обнаружена и остановлена до того, как злоумышленник добрался до сервера или базы данных банка. Средства клиентов не пострадали, и нет свидетельств того, что данные клиентов были доступны или скомпрометированы.

Упомянутая в сообщениях сумма в 25 000 долларов — это предположительно плата, предложенная в обмен на учётные данные, а не деньги, похищенные у FCMB или его клиентов. Серверный администратор и бывший сотрудник привлечены к ответственности перед Федеральным высшим судом в Лагосе в связи с этим делом. Обвинения не доказаны, и подсудимые имеют право на презумпцию невиновности.

Помимо уголовного разбирательства, этот случай показывает, чем внутренние угрозы отличаются от обычных кибератак. Банки должны защищать свои системы не только от внешних хакеров, но и от сотрудников, подрядчиков и бывших работников, которые могут разбираться во внутренних процессах или обладать легитимными учётными данными. Это делает раннее обнаружение критически важным.

Злоумышленника, пытающегося пробить внешнюю защитную границу, возможно, выявить проще, чем того, кто пытается войти в систему с действительными или недавно скомпрометированными учётными данными. Поэтому системы безопасности должны оценивать как личность пользователя, так и соответствие его действий назначенной роли.

Такой подход опирается на многоуровневую защиту. Доступ следует ограничивать информацией и системами, необходимыми для конкретной работы. Чувствительные операции могут требовать дополнительного согласования или аутентификации. Обязанности следует разделять так, чтобы ни один человек не мог завершить высокорисковый процесс без контроля. Кроме того, необходим постоянный мониторинг для выявления необычного поведения, включая попытки входа в ограниченные системы, доступ к данным вне обычных полномочий или активность в неожиданное время. Эти меры соответствуют широко используемым фреймворкам безопасности, таким как принцип минимальных привилегий и разделение обязанностей, которые банки по всему миру применяют для снижения инсайдерских рисков.

Инцидент с FCMB не перерос в состоявшееся нарушение защиты. Банк обнаружил предполагаемую компрометацию, локализовал попытку и передал подозреваемых в Комиссию по экономическим и финансовым преступлениям (EFCC) для расследования и уголовного преследования. Эта последовательность важна, поскольку попытка атаки не обязательно означает провал системы безопасности.

На финансовые учреждения постоянно совершаются атаки. Кибероустойчивость отчасти измеряется тем, насколько быстро учреждение обнаруживает подозрительную активность и способно ли остановить угрозу до потери денег или информации. Для нигерийских банков, работающих под надзором Центрального банка Нигерии и в последние годы расширивших цифровые банковские каналы, поддержание такой устойчивости имеет ключевое значение для доверия клиентов.

Этот случай также поднимает более широкий вопрос о том, как сообщается о киберпреступлениях. Термины «взлом» (hack), «нарушение защиты» (breach) и «мошенничество» (fraud) иногда используются как взаимозаменяемые, хотя описывают разные события. Попытка вторжения означает, что кто-то пытался получить доступ. Нарушение защиты означает, что лицо успешно проникло в охраняемую систему или получило информацию. Финансовый ущерб требует доказательств того, что деньги были фактически похищены. Эти различия влияют на то, как клиенты, регуляторы и инвесторы оценивают серьёзность инцидента.

Институциональная проверка заключается в том, что происходит дальше: выявляют ли системы мониторинга активность, блокируется ли доступ, локализуется ли угроза и передаётся ли дело на расследование. В данном деле исход определит разбирательство в Федеральном высшем суде в Лагосе, и процесс продолжается.

Решение FCMB сообщить о подозреваемых в EFCC подчёркивает ещё один аспект управления киберрисками: необходимость сотрудничества между финансовыми учреждениями и правоохранительными органами. Внутренний контроль может предотвратить немедленный ущерб, но судебное преследование способно установить ответственность и помочь удержать других от подобных действий.

Банкам также необходимо сохранять доказательства и обмениваться актуальной разведывательной информацией о методах получения учётных данных или обхода средств защиты. Такое сотрудничество может укрепить оборону всей финансовой системы, особенно с учётом того, что преступные сети всё чаще сочетают социальную инженерию, инсайдерские знания и цифровые инструменты.

Поэтому дело FCMB точнее понимать как предположительную попытку инсайдерского доступа, обнаруженную до того, как она превратилась в нарушение защиты. Успешное вторжение на сервер или финансовый ущерб не установлены, влияние на клиентов не выявлено. Более широкий урок состоит в том, что внутренние угрозы не всегда можно предотвратить на этапе зарождения замысла: сотрудников могут подкупить, учётные данные могут быть скомпрометированы, а доверенный доступ — использован во зло. Более надёжная защита — это система, которая ограничивает доступ, отслеживает поведение и вмешивается до того, как попытка превратится в потерю.

Источник: TechNext24, FCMB