0
0
O cenário de segurança cibernética para instituições financeiras e tecnologia financeira (fintech) mudou drasticamente nos últimos anos, e 2023 provavelmente não será diferente.
Em 2022, por exemplo, os ataques distribuídos de negação de serviço (DDoS) direcionados a empresas financeiras aumentaram 22% em todo o mundo, em comparação com o ano anterior, de acordo com um relatório conjunto publicado pelo Financial Services Information Sharing and Analysis Center (FS – ISAC ) e a empresa de infraestrutura de Internet Akamai. As instituições financeiras na Europa tiveram um salto ainda maior, com 73% mais ataques DDoS, afirmou o relatório.
Embora muitas empresas descartem os ataques DDoS como ruído na Internet, essas táticas são cada vez mais usadas como uma ferramenta de distração, especialmente com as tensões geopolíticas em alta, como têm acontecido desde que a Rússia invadiu a Ucrânia, diz Teresa Walsh, chefe global de inteligência do FS- ISAC.
As instituições financeiras precisam avaliar “o potencial de ataques DDoS serem usados como isca para atividades cibernéticas mais prejudiciais, como a infiltração de sistemas e a instalação de malware”, diz ela. “Embora os próprios ataques DDoS tendam a não causar grandes períodos de inatividade devido a uma ampla gama de medidas defensivas padrão disponíveis para instituições financeiras, as mesmas práticas não estão prontamente disponíveis para DDoS usado como cortina de fumaça”.
O aumento dos ataques DDoS é apenas uma área em que os serviços financeiros e as fintechs enfrentam um nível crescente de ameaças. Impulsionado por grupos de estado-nação que tomam partido na guerra Rússia-Ucrânia , o ransomware está se tornando mais destrutivo, enquanto os ataques a dados financeiros são cada vez mais um problema enfrentado por todos os tipos de organizações. Além disso, os invasores estão usando serviços cibercriminosos – como corretores de acesso e ransomware como serviço – levando a operações mais especializadas e sofisticadas contra instituições financeiras e serviços de criptomoeda.
Os regulamentos também estão mudando o cenário de segurança cibernética para empresas financeiras , que agora devem — a partir de 1º de maio de 2022 — divulgar incidentes cibernéticos dentro de 36 horas para seus reguladores nos Estados Unidos, se o incidente puder afetar o sistema bancário dos EUA. Ao mesmo tempo, o recente ataque de ransomware ao provedor de serviços derivativos ION Group e a popularidade contínua dos esquemas de comprometimento de e-mail comercial (BEC)mostram a fragilidade da cadeia de suprimentos financeira.
Embora as empresas financeiras tenham algumas das melhores ciberseguranças, os invasores continuam a encontrar maneiras de obter sucesso, diz Tom Kellermann, vice-presidente sênior de estratégia cibernética da Contrast Security.
“Eles investiram muito mais do que outros setores em segurança cibernética, possuem as melhores tecnologias e algumas das melhores pessoas do mundo”, diz ele. “Mas eles estão sendo caçados pelos mais sofisticados cartéis de crimes cibernéticos organizados do mundo, juntamente com serviços de inteligência de estados-nação desonestos que querem hackear o setor – não apenas para fins de espionagem econômica, mas para ajudar a compensar as sanções econômicas”.
Geopolítica e especialização em crimes cibernéticos estimulam mudanças
Duas forças principais estão mudando o cenário geral da segurança cibernética. A invasão da Ucrânia pela Rússia levou a uma ciberguerra paralela que, ao contrário do conflito físico, extrapolou as fronteiras dessas duas nações. O conflito Rússia-Ucrânia levou a um maior número de invasores com foco em operações destrutivas, além de roubar fundos ou implantar ransomware para fins lucrativos.
Mais da metade (54%) das empresas financeiras entrevistadas pela Contrast Security consideram os ataques cibernéticos da Rússia como a principal ameaça, com um quarto citando a Coreia do Norte como sua principal preocupação.
“Os russos são mais preocupados com essas instituições porque os cartéis russos do cibercrime conhecem muito mais, não apenas o setor financeiro em termos de como ele opera e o que é mais valioso… mas também as interdependências que existem no setor”, Kellermann diz. “É por isso que você está vendo essa onda de ataques contra APIs e um aumento nos ataques de salto de ilha e watering hole”.
No geral, os ataques cibernéticos no setor tornaram-se mais sofisticados, com muitos ataques tradicionalmente autônomos sendo usados agora como parte de operações mais complexas, com modelos “as-a-service” substituindo algumas partes da cadeia de ataque. Os corretores de acesso tornaram-se muito mais populares, como demonstrado pelo crescimento da operação de malware como serviço Emotet , disse a empresa de segurança cibernética Kaspersky em uma lista de ameaças cibernéticasdirecionadas ao setor de serviços financeiros.
“Esses grupos cibercriminosos de intermediários de acesso estão basicamente hackeando o máximo que podem e depois estão vendendo nosso acesso para qualquer um que queira comprar”, disse Marc Rivero, pesquisador sênior de segurança da Kaspersky, durante uma apresentação sobre a empresa . predicações . “Isso permite que outros grupos gastem menos tempo comprometendo suas metas.”
Mesmo os departamentos de finanças e contabilidade da empresa estão enfrentando riscos crescentes. Mais de um terço das organizações (35%) teve seus dados contábeis e financeiros direcionados por invasores em um evento cibernético nos últimos 12 meses, e quase metade (49%) espera um aumento de ataques semelhantes no próximo ano, de acordo com um estudo pesquisa realizada pela consultoria Deloitte .
Cada vez mais, os invasores estão se concentrando em comprometer transações financeiras entre usuários corporativos e instituições financeiras, e entre empresas financeiras e seus fornecedores, disse Daniel Soo, diretor do grupo de consultoria financeira e de risco da Deloitte.
“Esses invasores estão se tornando um pouco mais direcionados, onde podem entrar em algumas finanças e ver o que está por trás de cada uma dessas empresas”, diz ele. “E é um pouco assustador, porque olhando para as finanças, você pode aprender muito sobre as organizações.”
Mais regulamentos, riscos de conformidade
As instituições financeiras também precisam lidar com regulamentações crescentes em várias jurisdições. As violações de dados devem ser relatadas às autoridades europeias para cumprir o Regulamento Geral de Proteção de Dados (GDPR), e os Estados Unidos estão aumentando a supervisão tanto no nível estadual – liderado pela Califórnia – quanto no nível federal. A Lei Americana de Proteção à Privacidade de Dados (ADPPA) não passou pelo Congresso, mas os padrões federais continuam a progredir, incluindo um requisito de relatórios de 36 horas para empresas financeiras.
O aumento das regulamentações significa que qualquer instituição financeira precisa criar um programa holístico de resiliência cibernética para ter a flexibilidade de atender às mudanças nas regulamentações, especialmente instituições multinacionais, diz Walsh da FS-ISAC.
“Essa tem sido uma grande prioridade há muitos anos, então esperamos que poucas instituições tenham que fazer mudanças drásticas em seu gerenciamento cibernético ou infraestrutura de relatórios em resposta à regulamentação”, diz ela.
Kellermann acrescenta: “A negação plausível está morta. Eles apenas terão que relatar agora.”
Melhoria Necessária na Postura de Segurança Financeira
Embora as empresas de serviços financeiros normalmente liderem como adotantes de segurança cibernética, o ritmo acelerado de inovação em tecnologias de pagamento exige que as instituições financeiras se movam rapidamente para proteger essas tecnologias, de acordo com a pesquisa da Contrast Security. Em 2023, 72% das organizações financeiras planejam aumentar seus investimentos na segurança de seus aplicativos, enquanto 64% exigem requisitos de segurança cibernética para seus fornecedores, constatou a pesquisa.
Além disso, a definição de cibersegurança e cibercrime está se expandindo para novas categorias. Em um relatório divulgado em janeiro de 2023 , a Financial Industry Regulatory Authority (FINRA) adicionou uma nova seção para crimes financeiros em sua seção de segurança cibernética e governança de tecnologia.
Na maior parte, o setor financeiro precisa tornar sua infra-estrutura de informações e processos mais resilientes — não apenas na resistência a um ataque, mas também na capacidade da organização de se recuperar após um ataque, diz Soo, da Deloitte. Atualmente, apenas 26% das empresas possuem um processo para estimar os danos de tipos específicos de incidentes cibernéticos, com outros 17% com o objetivo de implementar um nos próximos 12 meses, afirmou a Deloitte em seu relatório.
“Certamente haverá uma interrupção frequentemente relacionada a algum tipo de incidente cibernético, e a resiliência está muito relacionada a ‘como você se recupera rapidamente de uma maneira muito estruturada'”, diz Soo. “Como você pode se recuperar e como pode limitar o raio da explosão, [para] localizar qualquer tipo de dano?”
FONTE: DARK READING