Instytucje finansowe są celem nieustających ataków cyberprzestępców. Jak wynika z raportu CERT, to właśnie one stanowią 25% wszystkich odnotowanych cyberincydentów. W całym 2023 r. było ich niemal 19 tys. i to m.in. dlatego mBank jako jeden z liderów bankowości w Polsce zorganizował wydarzenie, które miało na celu przybliżyć pracownikom banku, jakie zagrożenia czyhają na nich i na ich klientów.

O wnioskach z Akademii Bezpieczeństwa rozmawialiśmy z Jarosławem Górskim, dyrektorem departamentu bezpieczeństwa mBanku.

Banki są najlepiej zabezpieczonymi podmiotami, jeśli chodzi o cyberbezpieczeństwo – takie zdanie wielokrotnie padło ze sceny. Co dla banku jest największym wyzwaniem w przestrzeni wirtualnej?

Infrastruktura banków i bankowość elektroniczna mają wysoki poziom zabezpieczeń technologicznych. Przestępcy szukają słabych punktów u użytkowników, a hakerzy przeprowadzają ataki socjotechniczne, dzwoniąc i podszywając się pod pracownika banku czy służby mundurowe. Niestety, protokoły związane z identyfikacją dzwoniącego są archaiczne, dlatego staramy się edukować klientów. Ważne jest, żeby zadać sobie pytanie: czy dzwoni do mnie bank? Jeżeli dzwoni do nas pracownik banku, to w aplikacji mBanku otrzymamy komunikat z imieniem i nazwiskiem pracownika. W przypadku wiadomości mailowej, jeżeli korzystamy ze skrzynek pocztowych, to przy wiadomościach nadanych z mBanku znajduje się oznaczenie „sprawdzony nadawca”, co gwarantuje autentyczność e-maila. Jeżeli otrzymaliśmy e-maila bez takiego oznaczenia, nadawca podszywa się pod mBank. Należy to zgłosić na infolinię i nigdy nie klikać w linki w wiadomości, nie otwierać załączników. O tym, jak rozpoznawać ataki i jak sobie z nimi radzić, mówimy w naszych kampaniach dotyczących bezpieczeństwa w sieci.

Jak wygląda system regulacji w sektorze finansowym, jeśli chodzi o cyberbezpieczeństwo?

Obowiązuje nas cały szereg regulacji krajowych, europejskich i światowych. Do tego dochodzą rekomendacje i komunikaty KNF, które miejscami są bardzo wymagające. Ostatnio wszystkie banki pracują nad implementacją wymagań DORA, która wchodzi w życie na początku 2025 roku. DORA skupia się na bezpieczeństwie i systemie zarządzania dostawcami.  Wynika to z faktu, że coraz więcej ataków odbywa się przez łańcuchy dostaw. Jest tego dużo, ale dostosowując bank do regulacji, lepiej spełniamy wysokie standardy cyberbezpieczeństwa. 

Co powinno się znaleźć w polskich procedurach zabezpieczeń instytucji finansowych jako kluczowych dla funkcjonowania państwa?

Gwarancja niezbędnych do realizacji procesów kluczowych zasobów. Do utrzymania usług bankowości potrzebne są zasoby i to nie tylko w postaci wyszkolonych pracowników. Składa się na to cały ekosystem, czyli wykwalifikowani pracownicy, infrastruktura IT, łączność, sprzęt, energia czy paliwo. Bez tego bank nie będzie w stanie realizować procesów kluczowych, co spowoduje zatrzymanie systemu płatniczego. Dlatego tak ważne jest ustalenie już teraz, w czasie pokoju, na co banki mogą liczyć w razie konfliktu i czy zostaną im zagwarantowane dostępy do zasobów niezbędnych do funkcjonowania. Jakie są priorytety i jakim organizacjom przysługują, w jakiej kolejności. Wszystko to powinno być poparte odpowiednimi gwarancjami. Dziś rozmawiamy podczas podobnych wydarzeń jak nasze Dni Bezpieczeństwa, niewątpliwie jest jeszcze sporo do zrobienia w tym zakresie. ⦁

Rozmawiała: Aleksandra Czapska