Schlaglicht: Cybersicherheit im Banken- und Finanzwesen

Herr Kolesnikov, wie schätzen Sie den gegenwärtigen Stand der Cybersicherheit im Banken- und Finanzwesen ein? Und daran anschließend gleich eine zweite Frage. Wie hoch ist das Risiko bei potenziell gefährdeten Mitarbeiterkonten oder seitens eines Innentäters innerhalb der Bank selbst?

Wenn man sich nur die jüngste Serie von Datenschutzverletzungen im Banken- und Finanzwesen ansieht – nehmen wir Cosmos, FastCash, Moneytaker, Lazarus und andere als Beispiel – dann kann man derzeit von einem signifikanten Risiko ausgehen. Einem Risiko, das gleichermaßen leicht zu hackende Konten von Angestellten betrifft wie auch potenzielle Insiderbedrohungen.

Dazu kommen zielgerichtete Spear-Phishing-Angriffe und mehrstufige Malware-Kampagnen. Wir beobachten schon länger den Trend, dass Angreifer inzwischen ein tieferes Verständnis für die IT-Infrastruktur in Banken und für deren einzelne Komponenten entwickelt haben wie etwa das SWIFT-Netz, quasi das Herzstück des Bankennetzwerks, oder ATM-Maschinen. Der Cosmos-Angriff basiert beispielsweise auf einem eigens entwickelten fortschrittlichen ATM-Switch. Über die implantierte Malware waren die Angreifer in der Lage auf die fünfstellige Nummer des kartenausgebenden Instituts im internationalen Kundenzahlungsverkehr PAN (PAN = Primary Account Number) und Kundendaten zuzugreifen. Bei diesem kombinierten SWIFT/ATM-Angriff wurden umgerechnet 13.5 Millionen Dollar bei der größten Genossenschaftsbank Indiens gestohlen.

Wir konnten ebenfalls beobachten, dass Angreifer Malware und Cybersicherheitsmethoden dazu nutzen, Bankenangestellte von ihrer Tätigkeit an Zahlungs-, Clearing- und Abrechnungssystemen abzulenken. Alles Systeme auf die Hacker es abgesehen haben. Ein Beispiel für einen solchen Vorfall war KillDisk, eine destruktive Wiper-Malware, die bei einem SWIFT-basierten Angriff auf die Banco de Chile im letzten Jahr benutzt wurde. Auch die Ryuk/Hermes-Ransomware und der Banking-Trojaner Trickbot haben es nicht mehr nur auf Bankdaten selbst abgesehen, sondern auch auf Passwörter, Cookies, Browser-Verläufe und Autofill-Informationen.

Diese Angriffe haben direkt den Bankkunden im Visier und richten sich gegen den Akquirer/CNP-Prozess. Dazu nutzen die Angreifer Schwachstellen innerhalb der Lieferkette von Kreditkarten. Ein ganz ähnliches Verfahren wie es übrigens auch bei dem schlagzeilenträchtigen Angriff auf die Kundendaten von British Airways verwendet wurde.

Und dann gibt es natürlich noch die von Ihnen bereits angesprochenen Insider-Attacken. Sie stellen ebenfalls ein nicht zu unterschätzendes Risiko dar. Ein Beispiel aus dem Februar des letzten Jahres: der SWIFT-basierte Angriff auf die PNB-Bank, bei dem ein Schaden von rund 1.8 Milliarden Dollar durch betrügerische Transaktionen entstanden ist. Ausgangspunkt: zwei Beschäftigte der Bank, ein Loan Manager und ein weiterer Angestellter arbeiteten mit dem Kreditempfänger (einem angeblichen Komplizen) zusammen um dessen SWIFT-Zugang zu missbrauchen. Innerhalb von nur einem Jahr wurden mehr als 150 betrügerische Transaktionen veranlasst. Technisch möglich wurden die ambitionierten Betrügereien durch eine Lücke innerhalb der internen Kontrollen (CBS). Weder gab es ein automatisiertes Monitoring noch eine Integration zwischen den SWIFT- und den CBS-Protokollen. Mitarbeiter waren gezwungen sämtliche Log-Aktivitäten manuell zu überwachen. Effektiv haben die Angestellten sich also selbst überwacht. Das Ganze ging wie gesagt über einen Zeitraum von über einem Jahr. Die STR/FIR-Berichte wurden erst angefordert als bereits annähernd 2 Milliarden Dollar gestohlen worden waren. In beiden Fällen hätten Cybersicherheitskontrollen einiges dazu beigetragen, den Schaden in Grenzen zu halten. Eine der wichtigsten Komponenten um Risiken zu begrenzen ist die Fähigkeit eine Bankenumgebung umfassend zu überwachen.