ΕΚΤ: «Καμπανάκι» στις τράπεζες για τις κυβερνοεπιθέσεις - Τις καλεί να θωρακιστούν

Καμπάνακι... συναγερμού έκρουσε η Ευρωπαϊκή Κεντρική Τράπεζα (ΕΚΤ) στις τράπεζες για τις κυβερνοεπιθέσεις, καθώς το stress test, έδειξε κενά ασφαλείας. Η ΕΚΤ κάλεσε τα χρηματοπιστωτικά ιδρύματα να θωρακιστούν, βελτιώνοντας την ικανότητά τους να ανταποκρίνονται και να ανακάμπτουν από μια μεγάλη κυβερνοεπίθεση.
Η ΕΚΤ υπέβαλε φέτος στο πρώτο τεστ τις 109 συστημικές τράπεζες, που είναι υπό την άμεση εποπτεία της, για την ανθεκτικότητά τους έναντι στην αυξανόμενη απειλή από χάκερς. Το τεστ κυβερνοαντοχής έδειξε ότι «υπάρχει περιθώριο βελτίωσης» στην ετοιμότητα των τραπεζών να αντιμετωπίσουν ένα σενάριο στο οποίο οι χάκερς διεισδύουν στις άμυνές τους και προκαλούν σοβαρές διαταραχές στις βασικές βάσεις δεδομένων και συστήματα.
«Τα αποτελέσματα του τεστ είναι διαφωτιστικά και δείχνουν ότι ενώ οι τράπεζες έχουν πλαίσια υψηλού επιπέδου για την ανταπόκριση και την ανάκαμψη, υπάρχει ακόμη περιθώριο βελτίωσης», δήλωσε σήμερα, η Anneli Tuominen, μέλος του εποπτικού συμβουλίου της ΕΚΤ, που επιβλέπει τις κορυφαίες τράπεζες της Ευρωζώνης.
Όπως γράφουν οι Financial Times, oι δυτικές τράπεζες έχουν υποστεί αύξηση των κυβερνοεπιθέσεων τα τελευταία δύο χρόνια, για τις οποίες η ρυθμιστική αρχή έχει εν μέρει κατηγορήσει Ρώσους χάκερς που δρουν σε απάντηση των κυρώσεων που επιβλήθηκαν στη χώρα και στις τράπεζές της μετά την πλήρους κλίμακας εισβολή της Μόσχας στην Ουκρανία. Η χρήση της τεχνητής νοημοσύνης από κυβερνοεγκληματίες έχει επίσης αυξήσει τον αριθμό και την πολυπλοκότητα των επιθέσεων.
Η Tuominen δήλωσε ότι «η σημασία της κυβερνοανθεκτικότητας δεν μπορεί να υπερεκτιμηθεί», προσθέτοντας ότι το πρόσφατο παγκόσμια black out σε συστήματα IT που προκλήθηκε από μια ενημέρωση στην CrowdStrike, την εταιρεία κυβερνοασφάλειας, έδειξε πώς «ένα περιστατικό σε ένα ίδρυμα μπορεί να έχει αλυσιδωτές επιπτώσεις σε πολλούς τομείς».
Η ΕΚΤ ανέφερε ότι το τεστ κυβερνοαντοχής της σχεδιάστηκε για να εξετάσει τις αντιδράσεις των τραπεζών σε μια μεγάλη κυβερνοεπίθεση και όχι την ικανότητά τους να αποτρέψουν τους χάκερς από το να διεισδύσουν επιτυχώς στα συστήματά τους.
Έστειλε ένα ερωτηματολόγιο και ζήτησε τεκμηριωμένα αποδεικτικά στοιχεία από όλες τις 109 τράπεζες που συμμετείχαν στην άσκηση για να ελέγξει πώς θα αντιδρούσαν σε μια σοβαρή κυβερνοεπίθεση που είχε παραβιάσει τις άμυνές τους.
Πιο εκτεταμένες δοκιμές πραγματοποιήθηκαν σε 28 από τις τράπεζες που επιλέχθηκαν να αντιπροσωπεύσουν ένα διατομεακό δείγμα του κλάδου, οι οποίες έπρεπε να κάνουν ένα τεστ ανάκαμψης IT και να δεχτούν επίσκεψη επιτόπου από επιθεωρητές της ΕΚΤ.
Η Κεντρική Τράπεζα δήλωσε ότι τα αποτελέσματα του τεστ θα ενσωματωθούν στη διαδικασία ετήσιας εποπτικής επανεξέτασης και αξιολόγησης, η οποία αξιολογεί τους κινδύνους σε κάθε τράπεζα και καθορίζει τις κεφαλαιακές τους απαιτήσεις. Πάντως δεν περίμενε άμεσο αντίκτυπο στο ύψος του κεφαλαίου που θέλει να έχουν οι τράπεζες.
Το τεστ εξέτασε τις εσωτερικές διαδικασίες διαχείρισης κρίσεων και τα σχέδια επιχειρησιακής συνέχειας των τραπεζών, καθώς και το πώς θα επικοινωνούσαν με εξωτερικούς φορείς, συμπεριλαμβανομένων πελατών, αρχών επιβολής του νόμου και παρόχων υπηρεσιών.
Οι τράπεζες έπρεπε να δείξουν την ικανότητά τους να εφαρμόζουν εναλλακτικές λύσεις για να συνεχίσουν τη λειτουργία τους ενώ εργάζονταν για την αποκατάσταση των συστημάτων IT, να επαναφέρουν τα δεδομένα από εφεδρικά αντίγραφα και να συνεργαστούν με κρίσιμους τρίτους παρόχους υπηρεσιών.
«Οι επιθεωρητές έχουν παράσχει ατομικά σχόλια σε κάθε τράπεζα και θα συνεχίσουν να παρακολουθούν την πρόοδό τους», ανέφερε η ΕΚΤ. «Σε ορισμένες περιπτώσεις, οι τράπεζες έχουν ήδη βελτιωθεί ή σχεδιάζουν να διορθώσουν τις αδυναμίες που εντοπίστηκαν κατά τη διάρκεια της άσκησης».
Η ανίχνευση και η αντιμετώπιση των ελλείψεων στην επιχειρησιακή ανθεκτικότητα των τραπεζών, συμπεριλαμβανομένου του κυβερνοκινδύνου, τέθηκαν ως μία από τις εποπτικές προτεραιότητες της ΕΚΤ για τα επόμενα δύο χρόνια, μετά την ανίχνευση μιας απότομης αύξησης στον αριθμό και την πολυπλοκότητα των επιθέσεων από χάκερς.
Τον Οκτώβριο, η Lloyd’s του Λονδίνου προειδοποίησε ότι μια σημαντική κυβερνοεπίθεση σε ένα παγκόσμιο σύστημα πληρωμών θα μπορούσε να κοστίσει στην παγκόσμια οικονομία 3,5 τρισεκατομμύρια δολάρια.
Νωρίτερα φέτος, η μεγαλύτερη τράπεζα της Ισπανίας, Santander, δέχθηκε κυβερνοεπίθεση σε μια βάση δεδομένων που φιλοξενούνταν από έναν τρίτο πάροχο, η οποία περιείχε πληροφορίες για πελάτες στην Ισπανία, τη Χιλή και την Ουρουγουάη. Λίγες εβδομάδες αργότερα, δεδομένα εκατομμυρίων πελατών και υπαλλήλων – συμπεριλαμβανομένων στοιχείων λογαριασμών και αριθμών πιστωτικών καρτών – προσφέρθηκαν προς πώληση σε φόρουμ χάκερς.
Πέρυσι, ο αριθμός των επιθέσεων ransomware στη χρηματοπιστωτική βιομηχανία αυξήθηκε κατά 64% και ήταν σχεδόν διπλάσιος από τα επίπεδα του 2021, σύμφωνα με την εταιρεία κυβερνοασφάλειας Sophos.
Τον Νοέμβριο, το υποκατάστημα της μεγαλύτερης τράπεζας της Κίνας, ICBC, στη Νέα Υόρκη δέχθηκε επίθεση ransomware, διαταράσσοντας την αγορά ομολόγων του Υπουργείου Οικονομικών των ΗΠΑ αξίας 25 τρισεκατομμυρίων δολαρίων.