Разработаны первые меры борьбы с киберугрозами финсектору

Основное предложение — защищать данные путем шифрования и электронной подписи на более раннем этапе: не в момент их прохождения через расчетную систему Банка России, а раньше, на этапе, когда данные находятся еще в банке, проводящем ту или иную операцию.

Как пояснили изданию в ЦБ, решение было принято, во-первых, с учетом анализа мирового опыта — именно такая практика применяется почти во всех крупных платежных системах, — во-вторых, с учетом анализа имевших место фактов хищений денежных средств у коммерческих банков. «Сейчас идет обсуждение этого вопроса, как только будет сформирована общая позиция, она примет форму нормативного документа», — сообщили в ЦБ. Это должно способствовать снижению уровня хищений денежных средств за счет усложнения для атакующих условий атаки. Как указывают в ЦБ, в последнее время эти атаки сместились от взлома карты или банк-клиента конкретного физлица или компании к взломам самих банковских систем

Банкиры рассказывают, как это работает на практике. Вброс идет от любого источника — это может быть фишинговое письмо или письмо с троянским вирусом. Например, по словам начальника управления информационной безопасности БИНБАНКа Евгения Калашникова, были случаи, когда вредоносный вирус проникал в базу банка через службу персонала под видом резюме соискателя. Далее большинство банков отправляет платежи в ЦБ партиями, так называемыми реестрами. Реестры идут в формате обычного XML-файла, из которого видно, кто, кому и сколько переводит. Канал, по которому отправляются реестры, не защищен, и этим пользуются мошенники. В отправленные реестры с легитимными платежами внедряется фиктивный платежный документ. Он вместе с легитимными реестрами отправляется в платежную систему Банка России, где принимается к исполнению, заверяется электронной подписью и направляется в другие банки. После этого вирус обрушивает всю автоматизированную систему банка, куда проник. А в это время деньги из реестра-фальшивки уходят на сотню-другую карточных счетов в других регионах и снимаются через банкоматы.

По словам Александра Чебаря, чаще всего подобные карты оформляются на подставных лиц и являются картами премиум-класса, позволяющими снимать большие суммы. В связи с этим в дополнение к установлению защиты (с электронной подписью и шифрованием) по всем реестрам платежей, направляемым в ЦБ, планируется предпринять еще один шаг — создать единую базу данных, содержащую сведения обо всех случаях снятия наличных. В пресс-службе ЦБ сообщили, что сейчас Банк России сотрудничает с органами исполнительной власти в разработке законопроекта, который позволит такую базу создать.

Озвученные вчера меры стали первыми шагами по реализации поручения Дмитрия Медведева об активизации борьбы с киберугрозами, ущерб от которых постоянно растет.

Впрочем, несмотря на устрашающие цифры, рост нагрузки, а главное, отсутствие опыта в этой сфере для многих банков выглядят чуть ли не страшнее рисков кибератак. «Тот вариант, что предлагает ЦБ, — это переложить электронную подпись и шифрование на банки», — говорит начальник управления информационной безопасности Златкомбанка Александр Виноградов. По его словам, для этого у компании, которая разрабатывает АБС для банка, согласно законодательству, должна быть лицензия ФСБ. Реализация предложенных ЦБ мер — это небыстро и очень дорого, говорят банкиры. По словам экспертов, подобная АБС может обойтись банку порядка 4-5 млн рублей.

В ЦБ заверяют в обратном: «Сегодня в банках все вопросы электронной подписи решаются штатными специалистами, и никаких дополнительных специалистов для этого не потребуется». Кроме того, там обещают для банков переходный период, его срок пока обсуждается.

По материалам КоммерсантЪ