Obwohl die Gefahr von Cyberangriffen steigt, werden Banken laut einem Penetrationsspezialisten dazu gedrängt, zu den Grundlagen der Cybersicherheit zurückzukehren.

Am 31.Dezember 2019 startete eine Gruppe von Hackern namens Sodinokibi einen Cyberangriff auf das Travelex-Netzwerk. Die Gruppe hielt die Devisengesellschaft für £ 4.6m Lösegeld der Telegraph berichtet. Der Angriff führte zu Störungen bei Lloyds, Barclays und Royal Bank of Scotland.

Da ein Cyberangriff einen Welleneffekt auf die Finanzdienstleistungen ausübte, wollte ich herausfinden, welche Cybersicherheitsbedrohungen für die Branche spezifisch sind, und führte ein Gespräch mit Andrew Mabbitt, Mitbegründer und Direktor von Fidus Information Security, einem britischen Unternehmen, das sich auf Penetrationstests spezialisiert hat.

Um einen Penetrationstest durchzuführen, ist es wichtig, die Größe der Bank zu kennen, sagt Mabbitt.

„Es gibt ein paar Dinge, die sofort aus dem Fenster gehen. In der Regel wird die externe Infrastruktur, alles, was sie öffentlich hosten, relativ sicher sein. Auch hier geben Banken viel Geld für Sicherheit aus, so dass Sie sofort wissen, dass dies zu Tode getestet wurde, und statistisch gesehen werden Sie dort nichts Wichtiges finden.

„Wir würden uns nicht einmal die Mühe machen, uns die physische Sicherheit der Banken anzusehen, weil sie all diese Kameras haben, sie haben viel Personal, sie haben Sicherheitspersonal. Was wir anfangen würden, ist, haben sie irgendwelche Satellitenbüros? Haben sie ein großes Hauptquartier? Normalerweise werden sie weniger Sicherheit haben, weil sie nicht das ganze Geld bewachen, aber was versuchen wir hier zu erreichen?

„Wir versuchen nicht, Zugang zum Safe und den großen Schrauben in den Banken zu bekommen, wir versuchen, Zugang zum Netzwerk zu bekommen. Wo wäre also der schwächste Punkt im Netzwerk? In der Regel befinden sie sich entweder in Hauptbüros, in denen so viele Personen arbeiten, oder in Satellitenbüros.

„Wenn wir uns körperlich engagieren, können wir draußen stehen oder sogar in einem örtlichen Café sitzen und beobachten, wie Leute, die für die Bank arbeiten, ein- und ausgehen. In der Regel tragen sie immer die gleichen Lanyards usw. Und wenn sie generisch sind wie ein rotes Schlüsselband, können wir einfach ein rotes Schlüsselband unter unseren Pullover legen, hineingehen und normalerweise, wenn jemand ein Schlüsselband sieht, werden sie dir vertrauen.

„Das andere, was wir normalerweise tun, ist auch, Leute zu filmen und zu fotografieren, wenn sie bei der Bank arbeiten und versuchen, einen Ausweis zu klonen. Machen Sie sich also ein Bild, verspotten Sie es in Photoshop, drucken Sie es auf unser eigenes Abzeichen, und dann haben wir den plausiblen Versuch, in das Gebäude zu gehen, und unser Abzeichen funktioniert nicht am Scanner, und bitten Sie die Sicherheit, es zu öffnen, weil wieder Leute wollen helfen.

„Wenn wir den Einbruch nicht machen können, werden wir nach Leuten suchen, von denen wir denken, dass wir sie ansprechen können, also weichen wir vom Finanzteam ab, wir weichen vom IT-Team ab und wir schauen uns Leute an, die in sehr unterschiedlichen Rollen sind, von denen die Leute nicht annehmen würden, dass sie ständig auf Phishing-Angriffe abzielen. Die Leute in den Medien zum Beispiel würden nicht erwarten, dass sie so zielgerichtet sind wie die Leute im Finanzteam, also würden wir versuchen, das auszunutzen.“

Das Wartespiel

Im November 2018 informierte HSBC seine Kunden über eine Datenverletzung, die im Monat zuvor aufgetreten war. Ein nicht autorisierter Login hat die persönlichen Daten einiger Kunden zugänglich gemacht.

Aber wie lange ein Hacker unentdeckt bleiben kann, hängt ganz davon ab, was er erreichen will, sagt Mabbitt.

„Ich würde sagen, normalerweise sind die Leute, die das Talent und die Unterstützung haben, eine kritische Bank in einem Land anzugreifen, ziemlich raffiniert. Sie würden erwarten, dass sie sich auf einem hohen Niveau organisierter Kriminalität oder nationalstaatlicher Bankangriffe befinden, bei denen sie nicht nur versuchen, einzusteigen und das Geld zu stehlen, sondern auch so viele Daten wie möglich zu erhalten. Sie sind also die Art von Hacks, bei denen Menschen mindestens sechs Monate und länger in Netzwerken sitzen.

„Eines der größten Probleme beim Übertragen von Daten ist, dass die Leute sie immer noch über eine normale E-Mail senden. In ihren Gedanken senden sie es von ihrer E-Mail und die einzige andere Person, die das sehen wird, ist die andere Person am anderen Ende dieser E-Mail. Wenn Ihr E-Mail-Posteingang kompromittiert ist, haben Sie möglicherweise keine Ahnung, und jemand könnte einfach jede einzelne E-Mail beobachten, die Sie senden. Eine andere Sache zu beachten ist, dass E–Mails standardmäßig keine Verschlüsselung enthalten, was bedeutet, dass jeder, der in der Lage ist, die Verbindung in der Mitte zu kompromittieren und den Verkehrsfluss zu beobachten – zugegeben, es würde viel Mühe kosten, so etwas zu tun – wenn sich jemand im selben WiFi-Netzwerk befindet, wenn jemand Daten während der Übertragung über die Leitung abfangen kann, kann er den gesamten Inhalt dieser E-Mail problemlos lesen.

„Eines der Dinge, die implementiert werden müssen, ist die obligatorische Verschlüsselung beim Senden von Daten. Ich weiß, dass die britische Regierung ein Klassifizierungsschema für Daten verwendet – es gibt keine vertraulichen, offiziellen, wesentlichen, sensiblen, streng geheimen usw. Und es gibt keine Richtlinien, wie jeder von ihnen behandelt werden muss.“

Gehen Phishing

Finanzdienstleistungsunternehmen werden aufgrund der kritischen Daten, die sie speichern, weiterhin am stärksten von Hackern angegriffen, sagt Mabbitt. Ein mangelndes Bewusstsein der Mitarbeiter und die physische Gebäudesicherheit sind jedoch weiterhin die beiden größten Fallstricke für die Sicherheit von Unternehmen.

„Ich sage physisch und die Leute gehen davon aus, dass James Bond über einen Zaun springt, aber im Wesentlichen steht er oft nur draußen in einem Raucherbereich und folgt jemandem, weil er die Tür für Sie offen hält. Der Grund dafür ist, dass Menschen von Natur aus nett sind und helfen wollen. Niemand möchte sich umdrehen und diese Person sein, die sagt: ‚Hallo, wer bist du?“

„Sobald Sie Millionen für Ihre Sicherheitsfunktionen und all die Dinge ausgegeben haben, die die Leute ins Netzwerk stellen, und die schönen glänzenden Boxen, die sie kaufen, um sie zu schützen, geht alles den Bach runter, wenn jemand einfach in Ihr Gebäude gehen und sich an Ihr Netzwerk anschließen kann.

„Die zweite Falle, die wir sehen, die nicht nur auf den Finanzsektor beschränkt ist, wird das Bewusstsein der Mitarbeiter sein, und wenn ich Mitarbeiterbewusstsein sage, meine ich Dinge wie Phishing-Angriffe. Der Grund dafür ist, dass ich weiß, dass viele Finanzunternehmen viel in die Schulung von Mitarbeitern investieren, um E-Mails usw. nicht zu öffnen.

„Es ist sehr einfach, die Dinge auf die jeweilige Person zuzuschneiden, z. B. wenn wir wissen, dass jemand in einer Poststelle arbeitet, können wir ihm etwas senden, das aussieht, als wäre es von einer bekannten Zustellfirma, und wir können sofort davon ausgehen, dass die häufig genannten wie Finanzen und CEOs verwendet werden – wir werden uns diesen nicht nähern. Oder wir können etwas mit einem gefälschten Lebenslauf an die Personalabteilung senden.

„Aber das Problem mit Phishing und ähnlichen Angriffen ist, dass die Banken und Mitarbeiter es jedes Mal richtig machen müssen – nicht ihre Anmeldeinformationen eingeben und keine Dokumente öffnen, während ein Angreifer es nur einmal richtig machen muss.”