Rośnie liczba zgłaszanych incydentów w sektorze finansowym

Dane wskazują, że w ubiegłym roku firmy zgłosiły 145 incydentów bezpieczeństwa. Z kolei banki inwestycyjne poinformowały o 34 naruszeniach. Dla porównania, w 2017 roku przedsiębiorstwa doniosły o 25 przypadkach ingerencji w systemy, a banki o tylko 3.

W kwietniu 2018 roku siedem banków detalicznych w Wielkiej Brytanii, w tym Santander, Royal Bank of Scotland, Barclays i Tesco Bank, musiało ograniczyć lub całkowicie wyłączyć swoje systemy na skutek cyberataków, które przyczyniły się do strat sięgających setek tysięcy funtów.

Wzrost zgłaszanych incydentów można częściowo powiązać z wprowadzeniem w maju ogólnego unijnego rozporządzenia o ochronie danych, które wymaga od przedsiębiorstw identyfikowania oraz zgłaszania cyberataków w ciągu 72 godzin pod groźbą kary.

Jednak jak twierdzą dyrektorzy największych banków oraz firm finansowych, ich podmioty nieustannie są nękane cyberatakami. „Widzimy o wiele bardziej groźnych aktorów ingerujących w systemy i zabezpieczenia… Od indywidualnych hakerów do, coraz częściej, wspólnot kryminalnych oraz państw narodowych. Trzeba nieustannie ulepszać zabezpieczenia, aby nadążyć i chronić instytucje” – tłumaczy specjalista ds. cyberbezpieczeństwa jednego z brytyjskich banków.  

Instytucje finansowe często stanowią bezpośredni cel cyberataku ze względu na wrażliwość danych, jakie posiadają. Bankowe systemy są również naruszane przez hakerów, aby za ich pomocą generować kryptowaluty lub manipulować obrotem transakcji w celu osiągnięcia zysku.

Bardzo trudno jest przypisać odpowiedzialność za dany incydent konkretnemu sprawcy. Jak wskazuje Richard Breavington, partner spółki prawniczej RPC – „Wiemy, że liczba cyberprzestępców ściganych zgodnie z ustawą Computer Misuse Act wynosi poniżej 100 rocznie. Porównując to do liczby incydentów zgłaszanych we wszystkich branżach, można zauważyć, że jest to bardzo lukratywne przedsięwzięcie kryminalne”. Według eksperta wiele instytucji oraz firm sektora finansowego w obliczu rosnącego zagrożenia przeprowadziło intensywne szkolenia oraz stworzyło specjalistyczne plany reakcji, których dotychczas nie było.

Według danych FCA w czerwcu 2018 roku, czyli w pierwszym miesiącu po wprowadzeniu RODO, odnotowano najwyższą miesięczną sumę raportów o naruszeniach danych, zgłaszanych przez firmy świadczące usługi finansowe.

Zgodnie z przepisami nałożonymi przez FCA banki muszą zgłaszać wszelkie incydenty. Naruszenie danych może obejmować celowe cyberataki lub wypadki losowe, takie jak np. omyłkowe wysłanie wiadomości e-mail, zawierającej dane klienta na niewłaściwy adres.