Artykuł „New York Times” o ataku Koreańczyków na dwadzieścia banków przestraszył polskich klientów. Bankier.pl postanowił sprawdzić, która instytucja, jak i czy na pewno ucierpiała.
W lutym z sieci zniknęła witryna Komisji Nadzoru Finansowego. Wkrótce okazało się, że serwis był jednym z punktów ataku na polskie banki, a autorami złośliwego oprogramowania była prawdopodobnie grupa powiązana z Koreą Północną. Banki nie informowały szczegółowo o skali problemów, więc zapytaliśmy polskie instytucje o to, czy odczuły efekty przestępczej kampanii i jakie wnioski wyciągnęły z tego incydentu.
Banki skąpią informacji
Doniesienia o atakach na polskie banki, a później o prawdopodobnym źródle złośliwego oprogramowania, zaniepokoiły czytelników Bankier.pl. Otrzymaliśmy wiele pytań, także za pośrednictwem Alertu Bankier.pl, dotyczących konsekwencji tego wydarzenia dla korzystających z usług rodzimych instytucji. Wprawdzie nadzorca rynku finansowego w Polsce informował, że środki klientów nie były w żaden sposób zagrożone, ale poszczególne instytucje nie komentowały szerzej sprawy. Rzecznik Komisji Nadzoru Finansowego w odpowiedzi na nasze pytanie wskazał, że instytucja nie komentuje doniesień o rzekomym źródle ataku, a śledztwo prowadzi Prokuratura Okręgowa w Warszawie i Agencja Bezpieczeństwa Wewnętrznego.
Zwróciliśmy się do banków z pytaniem o skutki ataku oraz podjęte środki zapobiegające powtórzeniu się sytuacji w przyszłości. Odzew był różny, bo różne są komunikacyjne strategie banków we wrażliwej kwestii cyberbezpieczeństwa. Spora grupa, w tym Bank Pekao, BOŚ, Alior Bank, Bank Zachodni WBK i Plus Bank nie odpowiedziała na naszą prośbę o komentarz. Wypowiedzi w tej sprawie stanowczo odmówił także mBank.
Część instytucji nie odniosła się wprost do pytania, o to, czy odczuła skutki ataków i ograniczyła się do uspokajającego komunikatu. Biuro prasowe PKO Banku Polskiego zapewniło, że bank na bieżąco monitoruje pojawiające się groźby, a bezpieczeństwo środków klientów nie jest zagrożone. Instytucja nie skomentowała doniesień medialnych dotyczących autorstwa ataków na witrynę KNF.
W podobnym, uspokajającym tonie wypowiedzieli się przedstawiciele Credit Agricole, Banku BGŻ BNP Paribas i Banku Millennium oraz Banku Pocztowego i Getin Banku. Banki podkreśliły, że stale podnoszą bezpieczeństwo swoich systemów i reagują na bieżąco na zagrożenia.
Kilka banków odpowiedziało, że atak nie dotknął ich bezpośrednio. Taką deklarację złożył ING Bank Śląski. Eurobank poinformował, że nie odnotował skutecznego ataku powiązanego z zarażoną witryną KNF. Janusz Nawrat, Dyrektor Departamentu Bezpieczeństwa Informacji i Systemów Informatycznych Raiffeisen Polbanku, wskazał, że mechanizmy detekcji w tej instytucji zadziałały prawidłowo i nie doszło do zewnętrznej ingerencji.
- Atakowane były praktycznie wszystkie banki polskiego sektora, jak również instytucje finansowe z zagranicy. Tego rodzaju ataki nie są niczym nowym. Wszystkie przedsiębiorstwa na całym świecie są codziennie atakowane z wykorzystaniem malware w tym ransomware i APT – podkreślił ekspert.
Jedyną instytucją, która zdecydowała się udzielić szerszego komentarza w tej sprawie, jest Nest Bank. Potwierdził on, że w lutym wykryto zarażenie dwóch stacji roboczych nieznanym wcześniej typem złośliwego oprogramowania, ale wirus nie był w stanie rozprzestrzenić się ze względu na odpowiednio niski poziom uprawnień użytkowników.
- Nie stwierdzono przeniesienia się infekcji ze stacji użytkowników na systemy banku, w związku z tym nie wpłynął na funkcjonowanie banku jako całości, ani tym bardziej na przechowywane dane klientów banku – wskazała Grażyna Musiatowicz-Podbiał, członek zarządu banku.
Jednocześnie instytucja wdraża mechanizmy, które mają wzmocnić zabezpieczenia, m.in. poprzez dodatkową kontrolę ruchu wychodzącego i zwiększenie ilości „pułapek” wyłapujących nietypowe zachowania użytkowników stacji roboczych.
Informować czy zachować milczenie?
Do opinii publicznej dociera niewielka część informacji o różnego rodzaju informatycznych incydentach, z którymi zmagają się banki. Sytuacji, w których doniesienia o zagrożeniach przedostają się do mediów będzie jednak zapewne przybywać. Jak pokazuje świeży przykład z polskiego rynku, banki nie wypracowały jeszcze standardów postępowania w takich przypadkach. Część troszczy się przede wszystkim o dyskrecję i nie chce niepokoić klienteli, część przyjmuje bardziej transparentną postawę i gotowa jest przyznać się do kłopotów.
Dyrektywa PSD2, regulująca rynek usług płatniczych, która wkrótce ma zostać włączona do polskiego systemu prawnego, nakłada na dostawców obowiązek powiadamiania nadzorców o poważnych incydentach związanych z bezpieczeństwem. Użytkownicy usług mają być jednak powiadamiani przede wszystkim, gdy incydent ma lub może mieć wpływ na ich interesy finansowe. Można powiedzieć, że sytuacja, której byliśmy świadkami w ostatnich miesiącach leży w „szarej”, nieuregulowanej strefie – klienci nie stracili pieniędzy, ale jednocześnie dowiedzieli się o poważnym zagrożeniu.
Korea Północna w akcji
Ataki na infrastrukturę to dla instytucji finansowych chleb powszedni, jednak od czasu do czasu banki stykają się z bardziej wyrafinowanymi i lepiej zaplanowanymi próbami wniknięcia do swoich systemów. O tym, że sektor może znaleźć się na celowniku cyberprzestępców KNF ostrzegał wielokrotnie w poprzednich latach.
Na początku lutego serwis „Zaufana Trzecia Strona” poinformował, że banki od kilku tygodni zmagają się z falą skomplikowanych ataków. Punktem dystrybucji złośliwego oprogramowania miała być witryna Komisji Nadzoru Finansowego. Sprytnie wykorzystano w ten sposób technikę „zatrutego wodopoju” – potencjalne ofiary same odwiedzały zaufaną stronę, na której osadzono kod pobierający dodatkowe oprogramowanie.
Wkrótce specjaliści z firmy zajmujących się bezpieczeństwem IT analizujący incydent dostrzegli, że celem ataku były nie tylko banki w Polsce. Po raz pierwszy pojawiła się hipoteza, że „sponsorem” akcji mógł być północnokoreański reżim. Sprawę powiązano m.in. z wcześniejszym atakiem na bank centralny w Bangladeszu, gdzie rabusie korzystając z systemu SWIFT zdołali wyprowadzić ponad 80 mln dolarów.
W tym tygodniu o fali ataków przypomniał „The New York Times”. Przywoływani w artykule eksperci firmy Symantec twierdzą, że mają mocne poszlaki wskazujące na autorów przestępczej kampanii, która miała dotknąć nawet 20 instytucji w Polsce. Korea Północna dysponując pokaźną grupą cyberżołnierzy demonstruje światu swoją siłę – wskazują komentatorzy.
Michał Kisiel
