Хакерська атака на "Київстар" – привід замислитися про кібербезпеку

Це поширена помилка, коли кібербезпека сприймається як просто додаткові витрати, насправді це - страхування: невеликим коштом запобігаєш значно більшим збиткам. 

Після хакерської атаки на "Київстар" у користувачів оператора виникло чимало запитань: вплив на роботу бізнесів, вплив на шахрайство у фінансовій сфері через можливий витік даних абонентів. Та й узагалі, чи переживати пересічним громадянам про свої кошти? Роз’яснюю.

По-перше, це дивно, коли банки, торгові мережі, маркетплейси та інші організації роблять невіддільним елементом свого бізнес-процесу номер мобільного телефону. Бо вони не можуть контролювати, чи працює він взагалі. Йдеться про всі ці підтвердження у вигляді смс, необхідні для здійснення купівлі, сплати чи доступу до акаунту. 

У сфері кібербезпеки підтвердження через смс чи дзвінок на мобільний телефон ніколи не було надійним. Додати до звичайного логін-пароля (які легко вкрасти) підтвердження через "другий фактор" - свого часу така ідея вважалася проривною для безпеки. Але справжній "другий фактор" - це те, що є тільки в тебе, є твоєю власністю. А номер мобільного оператора знаходиться в іншому місці та керується іншими людьми. Він, по суті, тобі не належить. Це найголовніше, що варто врахувати.

Класичне розуміння другого фактора – це токен чи додаток на твоєму мобільному телефоні, що генерує випадкові коди, які швидко змінюються. Без фізичного доступу до твого пристрою зловмисник просто не зможе надати "друге підтвердження". 

Коли зламали "Київстар", робота деяких бізнесів просто спинилася, адже частина критичних процесів спиралася саме на мобільного оператора. Наприклад, POS-термінали, які обслуговують клієнтів. Одна справа, коли такий термінал під'єднано до мережі ТРЦ (де зазвичай кілька інтернет-провайдерів), інша - коли невеликий бізнес до свого процесингу підключає термінал через 4G оператора. Що ми бачимо і зараз. Деякі термінали досі не відновили свою роботу. Або ж через ненадходження смс люди були вимушені відмовитися від онлайн-покупки та йти в інші інтернет-магазини, де прив’язки до смс-повідомлень у процесі купівлі не було. 

Злив даних мобільного оператора небезпечний і тим, що оператор знає, які комунікації здійснював абонент, звідки абонент отримує смс, період його активності, які ресурси відвідує абонент і навіть те, де він частіше за все буває фізично. І оця інформація опиняється у хакера. Легко визначити, наприклад, послугами яких банків абонент користується. Маючи CDR та інші дані технічних систем, хакер може спрофілювати цілі групи абонентів, поділивши їх за пріоритетністю. А далі можливо все - фішинг, фейкові телефонні дзвінки нібито від представників банку та інша соціальна інженерія. У будь-якому випадку інформація, вкрадена зловмисниками в мобільного оператора, може допомогти якщо і не зламати дані абонента, то ретельно підготуватися до подальших серйозних кроків із фінансовими махінаціями. Саме тому витік даних мобільних операторів у рази збільшує ризики для користувачів мобільного банкінгу.

Ще одна загроза - мобільні банківські додатки для операцій, у яких банк може запросити додаткове підтвердження. Наприклад, деякі банки надсилають смс із кодом на ваш фінансовий номер телефону. А деякі замість смс генерують код просто у мобільному додатку. Ця механіка дещо безпечніша.

Важливе питання, чи повністю вичищена присутність хакерів у мережі оператора? Якщо ні, то для зловмисників лишається можливість перехвату змісту смс від банків у режимі реального часу. А це ще раз нагадує, що банкам уже давно слід замислитися та переробити механіку підтверджень. Для цього є багато інших технологій, хоча б замість смс використовувати щось на кшталт Google Authenticator.

Бізнесам варто подумати про те, як забезпечити безперервність свого бізнесу в майбутньому. І тут також є варіанти: кілька ліній зв’язку, які між собою не перетинаються, наприклад, "оптичний" інтернет та інтернет 4G. 

Зважаючи на те, яка перерва у діяльності бізнесів була спричинена нещодавнім збоєм мобільного звʼязку, варто передивитися всі бізнес-процеси та зрозуміти, які з них є критично прив’язаними до сервісів сторонніх компаній. І йдеться тут не лише про "Київстар". 

Програма-мінімум для бізнесів і фінансових установ така:

• визначити критичні місця своїх операційних процесів, що залежать від сторонніх постачальників, та подумати про альтернативні варіанти - як переробити ланцюг постачання, аби він перестав бути «стопером» якщо щось у постачальника «зламається». Наприклад, альтернативою прив’язці коду з смс може бути електронна пошта;

• проводити регулярну ревізію використовуваних технологій, зокрема технологій захисту. Систематично відмовлятися від застарілих і "так історично склалося" на користь сучасних технологій. Окремо банкам та фінустановам рекомендую "забути" про телефонний номер клієнта та смс на нього і знайти більш безпечні рішення;

• кібербезпеку будують як інтегратори, так і оператори кібербезпеки на аутсорсі;

• кожен бізнес по-своєму унікальний. Тож аби підвищити безпеку його роботи з урахуванням усіх нюансів – звертайтеся до професіоналів по консультації та рішення.