За последние два десятилетия мир изменился до неузнаваемости благодаря трем революциям: информационной, сетевой и технологической, которая соединила всех с каждым на планете и позволила общаться и делиться информацией друг с другом. Последняя революция такого масштаба была индустриальной революцией.
Подобные преобразования называются революциями потому, что происходят во времена развития и прогресса; развитие же создает богатство тех немногих, кто причастен к этому развитию, в то время как бедные становятся беднее. Индустриальная революция дала нам, среди прочих, такие имена, как Пибоди, Карнеги, Ротшильды, Оппенгеймеры[86]; информационная революция явила Гейтса, Эллисона, Цукерберга и Дорси[87].
Революции также приводят к мятежам. История знает множество примеров, когда обедневшие массы нападали на состоятельные элиты. Подобное мы можем наблюдать и сегодня, однако разница состоит в том, что данные и мобильный интернет позволяют обездоленным действовать совместно, иметь голос и быть услышанными все в большей степени во всем мире.
Конечно же, банки не избежали этой глобальной информационной революции, как не избежали мощного воздействия социального интернета нашего времени. Взгляните на Полли Кэтчпол, молодую девушку, которая создала петицию на сайте change.org – организации, помогающей оказывать социальное давление, с требованием к The Bank of America отказаться от ежемесячного удержания 5 долларов с тех, кто пользуется их дебетовыми картами. Плата была введена банком для компенсации потерь, вызванных принятием поправки Дурбина, которая является частью Закона Додда – Франка. Данный закон был принят в США в 2010 году с целью реформировать Уолл-стрит и защитить права потребителей. Поправка Дурбина смыла часть прибыли при операциях с дебетовыми картами, и многие американские банки решили ввести дополнительную плату для восполнения потерь (примечание: The Bank of America был не единственным банком, собиравшимся сделать это, он просто первым попал в заголовки новостей).
Этот шаг оказался настолько непопулярным, что петиция Кэтчпол получила поддержку, продвигалась сайтом change.org и затем была подхвачена такими крупнейшими национальными СМИ, как The New York Times. Когда петиция набрала 300 тысяч подписей, The Bank of America отменил дополнительный побор. В результате первоначальный план банка был признан крупнейшей PR-ошибкой 2011 года большинством изданий, посвященных маркетингу, а Брайен Мойнихан, CEO The Bank of America, признал, что это привело к всплеску закрытий счетов. Нужно отметить скорость, с которой происходили все эти события: когда Кэтчпол разместила свою петицию 1 октября, она насчитывала 100 подписей, неделю спустя документ собрал уже более 200 тысяч подписей.
Существует много других примеров влияния при помощи социального мобильного интернета на банки. Можно вспомнить историю с WikiLeaks и атаками Anonymous на платежные системы PayPal, Visa и MasterCard. В период, когда проходили атаки, эти платежные системы вместе с Amazon блокировали платежи в пользу WikiLeaks, что было вызвано публикацией на сайте секретной информации американского правительства. Утечки включали видео американских бомбардировок Ирака, в результате которых погибли два журналиста Reuters – факт, который правительство США до этого отрицало. В результате правительство использовало свое влияние, чтобы заставить PayPal, Visa и MasterCard остановить обслуживание платежей и таким образом прекратить финансирование WikiLeaks.
Однако настоящим потрясением явилась реакция сторонников WikiLeaks. Сторонники притесняемого ресурса, организовавшись в виде хакерского сообщества Anonymous, провели DDoS-атаку MasterCard и остановили работу ее интернет-сервисов. Атака затронула такие сервисы MasterCard, как 3D Secure и сервис оплаты широкополосного доступа в интернет, и проводилась в рамках операции «Расплата» (Operation Payback – анонимное децентрализованное движение, борющееся против цензуры и несоблюдения норм авторского права).
Как видно из этих примеров, силу современного интернета не следует недооценивать. Именно поэтому Джозеф Аккерман, бывший CEO Deutsche Bank, утверждал в 2012 году: «У нас есть социальная ответственность, поскольку если неравенство в распределении доходов и богатства возрастет, то мы можем получить мину замедленного действия, а этого никто не хочет».
Кибервойны – куда более серьезная угроза, чем хактивизм
Пока потребители осваивают мобильные инструменты социального давления и занимаются хактивизмом[88], правительства проводят глобальные кибератаки. Эта кибервойна полным ходом идет с целыми группировками вредоносного программного обеспечения, нацеленного на ближневосточные страны. Исследователи из McAfee Labs недавно обсуждали основные угрозы в предстоящем году и показали, что ситуация будет только ухудшаться по причине различных факторов.
• «Хакерство как сервис»: на теневых форумах анонимные покупатели и продавцы обмениваются платными наборами вредоносного ПО и предлагают услуги по его разработке.
• Снижение активности хактивистов Anonymous будет компенсировано деятельностью более политизированных и экстремистских групп.
• Государства и армии все чаще будут выступать в качестве источников и жертв киберугроз.
• Крупномасштабные атаки вроде Stuxnet (атака на иранские ядерные промышленные объекты) будут в большей мере нацелены на выведение из строя инфраструктуры, чем на зарабатывание денег.
• Мобильные «черви», покупающие вредоносные приложения на смартфоне жертвы и крадущие деньги с использованием технологии бесконтактных платежей.
• Вредоносное ПО, препятствующее установке обновлений безопасности на мобильные телефоны.
• Пакеты программ для мобильных телефонов, позволяющие злоумышленникам без навыков программирования вымогать оплату у жертвы.
• Скрытые и настойчивые атаки на Windows-платформы.
• Ускоренная разработка вариантов атак на Windows 8 и HTML5.
• Дальнейшее повышение избирательности ZeuS-подобных атак с использованием Citadel Trojan[89], которое существенно осложняет обнаружение их системами компьютерной безопасности.
• Вредоносное ПО, которое восстанавливает соединение даже после того, как работа сети зараженных компьютеров (botnet) была остановлена, что позволяет продолжать заражение машин.
• «Спам на снегоступах» (Snowshoe Spamming) легитимных продуктов, использующий множество исходящих IP-адресов для рассылки; это затрудняет идентификацию спама и увеличивает его проникновение.
• SMS-спам с зараженных мобильных телефонов. Что ваша мама пытается вам продать сейчас?
Очевидно, что кибератаки – это новая форма боевых действий, избегающая прямого рукопашного или ядерного сражения. Как в классическом фильме 1983 года «Военные игры», вам больше не требуется оружие для ведения войны, только кибероружие. И никакая страна не застрахована от атак.
Соединенные Штаты подверглись атаке сетевого червя, инициированной из Китая в 2010 году. Китай отрицал, что атака была спонсирована государством, однако один из выпусков новостей на центральном канале китайского телевидения год спустя дал повод усомниться в этом. По телевидению была продемонстрирована военная компьютерная программа с возможностью выбора цели – в данном случае веб-сайта в Алабаме – и кнопкой «Атака».
Может быть, поэтому Хилари Клинтон хочет теперь, чтобы США и Китай сотрудничали в будущем в сфере кибербезопасности, а Барак Обама нашел время, чтобы в июле 2012 года написать в The Wall Street Journal следующее[90]:
«Не нужно обладать большим воображением, чтобы представить себе последствия успешной кибератаки. В будущем конфликте противник, не имея возможности противостоять нашему превосходству на поле боя, может попытаться воспользоваться уязвимостью наших компьютерных систем здесь, дома. Отключение жизненноважных банковских систем может спровоцировать финансовый кризис. Недостаток питьевой воды или неработающие больницы – привести к чрезвычайной ситуации в области здравоохранения. И, как мы уже видели в прошлом, отключения электроэнергии могут останавливать предприятия, города и целые регионы. Мы должны предотвратить подобное будущее. Именно поэтому моя администрация сделала кибербезопасность приоритетом и предложила законопроект, призванный укрепить нашу национальную цифровую обороноспособность».
Обама на самом деле хорошо осведомлен о киберуязвимости, потому что сам подвергался хакерским атакам. В мае 2009 года он констатировал: «Между августом и октябрем (2009) хакеры получили доступ к электронным письмам и некоторым организационным файлам, включая общеполитические документы и планы поездок. Это явилось мощным напоминанием в наш информационный век, что одно из наших величайших преимуществ – в данном случае наша способность общаться с широким кругом сторонников через интернет – может одновременно быть нашим слабым местом»[91].
Но вот в чем проблема. Мы все время пытаемся оказаться на шаг впереди хакеров, хактивистов, киберпреступников и киберугроз, но на самом деле всегда оказываемся на шаг позади. Как и в случае законодательной дилеммы, вы можете отрегулировать систему, только если что-то уже пошло не так; дилемма кибербезопасности выглядит очень похоже: вы можете отбить кибератаку только после того, как ее обнаружите. Разумеется, существуют способы защитить себя от возможных атак, но известны ли вам все нюансы всех возможностей всех кибератак? Может ли какая-то компания заявить, что она неуязвима?
Нет, но именно банки и платежные провайдеры должны быть неуязвимыми, поскольку очевидно, что финансовая система определяет экономическую жизнеспособность страны и, следовательно, будет находиться на переднем крае атак в международных киберконфликтах. Мне это стало понятно, когда CIO[92] Нью-Йоркской фондовой биржи (NYSE) делал доклад на конференции под моим председательством несколько лет назад и рассказал, что биржа подвергалась кибератаке в то же время, что и Министерство обороны США. Система безопасности министерства была нарушена, биржевая – нет. Тем не менее банки могут многое почерпнуть для себя из опыта кибервойн правительств.
Во время недавних событий на Ближнем Востоке банки подвергались атакам чаще, чем объекты атомной промышленности: ведь банковская система является сердцем экономического здоровья государства. Троянская программа Gauss, нацеленная на кражу больших объемов данных с компьютеров многочисленных пользователей ряда ближневосточных стран, уделяет особое внимание банковской и финансовой информации.
Когда правительства развязывают кибервойны, нацеливаясь на банковские системы, это в какой-то момент вполне может закончиться финансовым крахом. Потенциально подобные события представляют собой большую угрозу, нежели безобидный хактивизм. Вот, исключительно как информациядля размышлений, короткий рассказ о кибератаке на Уолл-стрит:
Шэймин Чжэн наконец закончил работу над своим шедевром. Он создал сетевого червя, который проникнет в сердце американской мечты – Уолл-стрит. Как и в случае атаки израильского компьютерного червя Stuxnet на иранское ядерное оборудование в 2010 году, Чжэна наняли для достижения таких же результатов на NYSE.
На NYSE утверждают, что серверы биржи неуязвимы и могут выдержать куда более мощную и изощренную атаку, чем та, которая поразила системы американского оборонного ведомства. Однако это не так, и у Чжэна есть все необходимое, чтобы доказать это. Его программа не только проникнет в биржевую систему через брешь в безопасности, прикрываясь легитимными операциями Goldman Sachs с использованием платформы высокочастотного трейдинга этого банка, но и найдет лазейку в клиринговой системе Депозитарно-трастовой и клиринговой корпорации (DTCC). Проникнув в клиринговую систему, червь расправится с Америкой.
Чжэн использовал для прикрытия сделки, чтобы высвободить всю разрушительную силу червя. Сначала делается запрос котировки через Goldman Sachs. Далее происходит исполнение заявки. Затем совершенная сделка пройдет клиринг в DTCC. На этом этапе червь будет высвобожден и начнет проникновение в каждую сделку в клиринговой системе.
Это кажется невероятным, но прежде чем все обнаружится, все сделки на фондовых площадках США – не только на NYSE, но и на NASDAQ и других – будут сорваны и потенциально станут недействительными, поскольку DTCC осуществляет расчеты по всем сделкам с акциями и деривативами в Соединенных Штатах. Червь должен обрушить всю систему торговли. Таков был замысел, и Чжэн полагал, что он его воплотил.
Задача не была слишком сложной, поскольку Чжэн не атаковал напрямую ни биржу, ни клиринговую компанию – только Goldman Sachs. А это стало возможным после того, как Чжэн нашел союзника – Сергея Алиенко, который в 2010 году был обвинен в краже информации о торговой платформе Goldman Sachs. В 2012 году обвинения сняли, а суд так и не узнал о том, что Чжэн и его работодатели заплатили Сергею 10 млн долларов за информацию, которой им не хватало.
На самом деле Сергей не крал секретов у Goldman Sachs. Он оставил лазейку в торговой платформе банка, которая позволила Чжэну внедрить червя в систему. Спасибо тебе, Сергей.
Чжэн нажал Enter и затаил дыхание. Червь был в пути. Достигнет ли он своей цели?
Так как же банку защищать себя от хактивистов и киберпреступников?
Настоящим вызовом для банковской системы является необходимость, с одной стороны, защитить свои брандмауэры от атак хактивистов, кибершпионажа и киберкриминала, а с другой – предоставить простой доступ к интернет-банкингу своим клиентам. Это настоящая дилемма.
С одной стороны, всем нужен мобильный доступ к своим счетам и платежам, а с другой – никто не желает болезненных потерь из-за недостаточной защиты этих счетов. Очевидно, что информационная безопасность банка имеет две узловые точки:
• защита банковской информации от атак;
• удобный доступ к банковской информации для клиентов, когда им это необходимо.
Что касается первого пункта, то хактивизм не является здесь проблемой. Массированная DDoS-атака со стороны анонимного сообщества может вызывать беспокойство, но вывод из строя сайта не означает вывода из строя системы в целом. MasterCard и Visa продемонстрировали это во время недавних атак Anonymous. Взлом сайта – это скорее неудобство, чем проблема.
Тем не менее намеренный взлом – это реальная угроза, и банки далеко не всегда могут отреагировать на нее должным образом. В 2011 году хакеры получили доступ к клиентским данным Citibank, что привело к потере как минимум 2,7 млн долларов у 3400 клиентов. Это не слишком большая проблема, и с ней можно справиться, но она говорит о том, что уязвимость существует.
Инсайдерская угроза значительно серьезнее; сотрудники в состоянии заработать миллионы, продавая доступ к банковской информации. Подобный случай произошел в 2011 году в The Bank of America, который потерял 10 млн долларов по вине своего сотрудника, передававшего данные аккаунтов группе, специализировавшейся на воровстве персональных данных. Масштаб инцидента не слишком внушительный, но, когда появляется трещина в защите, она очень быстро грозит перерасти в расщелину, каньон или пропасть.
Случай в Sumitomo Bank прекрасно иллюстрирует это. Банк потерял почти 350 млн долларов из-за мошенничества с применением клавиатурного шпиона[93]. Вы, наверное, думаете, что банк принял надлежащие меры после столь серьезного предупреждения? Нет. В мае 2012 года тот же самый банк был оштрафован Управлением по финансовому регулированию и надзору Великобритании[94] на 3,5 млн фунтов стерлингов за серьезные просчеты в управлении своей IT-инфраструктурой.
Тем не менее банки осуществляют хранение, передачу и анализ данных. По крайней мере должны это делать. Это означает, что способы, которыми они защищают свои данные от внешних посягательств, должны включать: брандмауэры, безопасную регистрацию, двойную идентификацию с возможностью определения местоположения, отслеживание бизнес-событий в реальном времени и многое другое. Я имею в виду, что банкам нужно двигаться в направлении отслеживания и анализа своих информационных потоков в реальном времени, что позволит им своевременно получать сигналы о проблемах в системах безопасности. В конце концов большинство банков понимают, что им не избежать прорывов систем защиты. Они знают, что это случится. Вопрос в том, как реагировать и насколько быстро. Это ключевой момент.
Комплексный мониторинг событий в потоке бизнес-данных и оповещение в режиме реального времени о проблемах – важная точка приложения усилий. Способность банка держать руку на пульсе своего глобального потока транзакций является ключевым механизмом противодействия внутренним и внешним угрозам. И если онлайн-мониторинг бизнес-процессов помогает решить первую проблему – внешнего или внутреннего взлома системы безопасности, – то как быть со вторым вопросом? С обеспечением простого доступа для клиентов? Ответ кажется простым, но многие по-прежнему не справляются с этим.
Я был поражен, прочитав, что четверть всех мобильных банковских приложений от ведущих мировых банков: Wells Fargo, PayPal, CHASE и других – не отвечают основным нормам безопасности[95]. Независимо от того, достоверна ли эта информация, очевидно, что сегодня мобильная безопасность имеет изъяны, хотя, казалось бы, мобильный банкинг должен быть более безопасным, чем интернет-банкинг. Ведь мобильный телефон сам по себе с его уникальным номером, способностью получения одноразовых паролей через SMS и даже возможностью геолокации клиента является удобным идентификационным ключом. Клиенты всегда будут держать свой мобильный телефон при себе (или знать, где он находится), в отличие от кошелька или кредитной карты, и достаточно быстро смогут обнаружить, что он потерян или украден.
На самом деле, чем больше я думаю о мобильном телефоне как средстве аутентификации, тем более он кажется привлекательным. Во-первых, можно определить местоположение клиента посредством геолокации. Существуют различные способы сделать это, используя сотовые вышки; таким образом, появляется независимый механизм проверки наличия у клиента при себе телефона. Подобного рода инструменты уже применяются для определения того, что у банкомата находится именно клиент.
Во-вторых, можно удостовериться, что это клиент, отправив ему одноразовый пароль через SMS. Этот интерактивный процесс обмена одноразовыми паролями, используемый многими банками, позволяет организовать дополнительный, второй уровень идентификации.
В-третьих, удостовериться, что перед вами именно тот, кто вы думаете, можно с помощью мобильной биометрии; это быстро развивающаяся область аутентификации. Некоторое время назад Bank Intesa в Испании начал использовать мобильное приложение, распознающее радужную оболочку глаза. Ник Огден, основатель WorldPay, создал Voice Commerce – систему распознавания голоса для мобильного телефона. Apple встроила в iPhone 5S и 5С идентификацию по отпечаткам пальцев. А мой самый любимый способ идентификации – Nymi от Bionym – браслет от часов, использующий для проверки ваш сердечный ритм.
Последний способ нравится мне больше всего потому, что мобильность стремительно распространяется на носимые вещи, одежду, украшения, и скоро мы будем иметь мобильные чипы, встроенные в ювелирные изделия, часы, дамские сумочки, обувь и прочие модные аксессуары. Да, здесь мы возвращаемся к интернету вещей, но идем дальше – к знанию обо всем.
Интеллектуальное распознавание и определение местоположения клиентов, а также их проверка и идентификация с помощью интернета вещей станут нормой. Вы будете знать, кто где что делает в реальном времени, и у вас будет возможность удостовериться, что перед вами именно тот, о ком вы думаете, не прилагая никаких усилий, без паролей и PIN-кодов, просто используя сеть.
Мы все ближе подходим к подобному сценарию, поэтому не будем волноваться о мошенничестве и рисках, связанных с мобильностью, а лучше подумаем о том, как свести риск использования мобильных устройств к минимуму. В контексте обеспечения безопасности вы можете использовать номер мобильного телефона, геолокационную близость мобильного аппарата, SMS и приложения, а также традиционные карту и PIN-код для того, чтобы удостовериться, что человек, который пытается получить доступ к счету, является именно тем, кто имеет право им пользоваться.
Главная идея обеспечения банковской безопасности состоит в том, что банки никогда не будут опережать криминал. Это задача криминала – непрерывно испытывать и пытаться нарушить систему безопасности банка. А банк должен идти вслед за теми, кто стремится проделать брешь в защите. Это достигается с помощью регулярных обновлений политики информационной безопасности, систем и инфраструктур безопасности, а также лучших актуальных рекомендаций и практик обеспечения сохранности клиентских данных.
И в заключение. Банки должны уверенно поставить себя в центре информационной безопасности и предложить клиентам безопасное хранилище данных. Гарантии и обеспечение безопасности мобильных транзакций и данных – реальный шанс. К сожалению, большинство банкиров отвечают на это: «Не делает ли это нас целями для хакерских атак?» Да, именно так. Банки должны одерживать победу на своей территории и делать уверенные заявления типа: «Мы гарантируем, что ваши деньги и данные будут у нас в полной безопасности». В конце концов если не банки, то кто?
И на это банки нередко реагируют негативно. Они считают, что это не входит в их задачи, а безопасное управление данными следует оставить Google, Facebook и PayPal, которые в этом понимают.
Получается, мы просто отдаем свой хлеб кому-то другому. Это позиция очень недальновидного банкира – отдать безопасное управление данными на сторону, а самим сконцентрироваться на управлении деньгами.
Что банки могут сделать для этого и каковы решения проблемы безопасности? Безопасность. Уверенность. Доверие. Вот три вещи, которые банки должны обеспечить и гарантировать.