Do tej pory w Polsce nie spotykaliśmy się z poważnymi przypadkami publicznie ujawnionych włamań do sieci komputerowych banków. Wydarzenia ostatnich dni mogą być dla polskich klientów szokiem. Ataki hakerów nie są jednak niczym niezwykłym – tę lekcję przerobiło już wiele renomowanych instytucji finansowych.
Od kilku dni jeden z polskich banków przeżywa poważny kryzys. Haker kryjący się za pseudonimem Razor twierdzi, że przez kilka tygodni był w stanie kontrolować serwer obsługujący bankowość internetową instytucji. W jego ręce wpadły dane osobowe, historie transakcji, numery kart i inne wrażliwe dane. Rzekomo był także w stanie samodzielnie podmieniać numery rachunków, na które były wykonywane przelewy i w ten sposób wyprowadzić z banku znaczącą sumę. Teraz żąda okupu w zamian za powstrzymanie się od ujawnienia skradzionych danych.
To pierwszy w historii bankowości w Polsce informatyczny kryzys takich rozmiarów, który rozgrywa się przy odsłoniętych zasłonach. Wiadomość o nim trafiła do mediów i stała się obiektem komentarzy oraz analiz. Nie wiemy jeszcze jak zakończy się sprawa, ale na pewno zapisze się w historii. Względny spokój panujący do tej pory na polskim rynku to jednak raczej sytuacja wyjątkowa. Instytucje finansowe na świecie od lat są na celowniku cyberprzestępców. Przypomnijmy najbardziej spektakularne przypadki informatycznych włamań.
Hakerskie „tournee” na miliard dolarów
Na początku 2015 r. świat obiegła wiadomość o największym do tej pory rabunku „w białych rękawiczkach". Firma Kaspersky Lab twierdziła, że gang cyberprzestępców w ciągu kilku lat zdołał wyprowadzić ze 100 banków na całym świecie równowartość około 1 mld dolarów. Rabusie wykorzystywali w wielu przypadkach tzw. spear phishing, czyli fałszywe wiadomości kierowane do konkretnych pracowników banków. Otwarcie załącznika powodowało infekcję komputera, a włamywaczom dawało punkt wejścia do systemu.
Złodzieje działając z wnętrza instytucji byli w stanie wprowadzać modyfikacje do oprogramowania i np. dokonywać wypłat z bankomatów. Co ciekawe, zazwyczaj ograniczali wysokość zdobywanego w ten sposób łupu i porzucali jedną ofiarę na rzecz kolejnej. Dzięki temu proceder był trudniejszy do wykrycia i mógł trwać latami.
JPMorgan – 83 miliony rachunków
Wiadomość o włamaniu do amerykańskiego banku JPMorgan wydostała się do mediów we wrześniu 2014 r. Instytucja stała się obiektem ataku jednak kilka miesięcy wcześniej, a przestępcy przez niemal kwartał swobodnie korzystali z nieuprawnionego dostępu do systemów banku. JPMorgan zorientował się, że padł ofiarą włamania w lipcu, a zagrożenie usunięto dopiero w połowie sierpnia.
Przestępcom nie zależało na szybkim zysku. Korzystając z nieudokumentowanych luk w oprogramowaniu byli w stanie umieścić w systemach JPMorgan narzędzia, które po cichu zbierały dane. Pod kontrolą włamywaczy znalazło się aż 90 serwerów kluczowych dla działalności instytucji. Szacuje się, że w ten sposób zdobyli informacje o 83 milionach rachunków należących do 76 mln gospodarstw domowych. Wyciek danych dotknął zatem ok. 2/3 Amerykanów.
Nieoficjalnie wiadomo, że ze słabym punktem w przypadku JPMorgan okazał się brak dwustopniowego zabezpieczenia w jednym z systemów banku. Dzięki pozyskaniu hasła pracownika przestępcy byli w stanie dostać się do środka, a później zdobywać kolejne cenne informacje.
Heartland Payment Systems – 130 milionów rachunków
Heartland to jedna z największych na amerykańsku firm zajmujących się przetwarzaniem transakcji kartowych. Włamywacze dobrali się do sieci korporacji w maju 2008 r. Zdołali zgromadzić dane około 130 mln kart płatniczych wydanych przez ponad 500 wydawców. Obrazy pasków magnetycznych kart posłużyły do tworzenia kopii-falsyfikatów, z użyciem których można było dokonywać płatności na konto niczego nie świadomych ofiar.
Przypadek Heartland to niechlubny, nie pobity do tej pory, „rekord” wycieku danych finansowych. Firma poniosła olbrzymie straty finansowe i wizerunkowe. Zmuszona była m.in. zwrócić wydawcom koszty ponownej emisji kart płatniczych.
Liczy się komunikacja
W przypadku włamania do systemu informatycznego instytucja finansowa może stracić nie tylko pieniądze i czas, ale także to, co najważniejsze – zaufanie klientów. Dlatego sposób poinformowania o incydencie jest szczególnie istotny. W przypadku Heartland Systems partnerzy firmy pierwsi wiedzieli o problemie, zanim sprawa trafiła do mediów. Klienci chcą także być pewni, że ewentualne straty wynikające z incydentu nie dotkną ich bezpośrednio.
Do tej pory polskie banki nie musiały w praktyce testować swojej gotowości do komunikacji kryzysowej. Sądząc po wydarzeniach z ostatnich dni, te dobre czasy właśnie się skończyły, a każdy bank, instytucja płatnicza czy ubezpieczyciel musi liczyć się z tym, że informatyczna katastrofa czai się za rogiem.
