A kibervédelem jócskán felértékelődött az elmúlt években több, egymást erősítő tényező hatására. A digitalizáció felgyorsulásával egyre komplexebb és célzottabb támadásokat hajtanak végre a bűnözők, ezáltal a jogszabályi környezet is szigorodik. A folyamatnak köszönhetően a digitális biztonság – különösen a nagyvállalatok körében – stratégiai szintre emelkedett.
Ez a trend a bankok esetében különösen hangsúlyos, ugyanis egyszerre kezelnek jelentős pénzügyi értéket és nagy mennyiségű érzékeny ügyféladatot, ami miatt a kiberbűnözők elsődleges célpontjaivá válnak.
A védekezést nehezíti, hogy az elkövetői körök mára iparágszerű működésre álltak át: szolgáltatásként kínálnak kibertámadási eszközöket, és automatizált, nagy volumenű kampányokat futtatnak. Az egyik legnagyobb változást a generatív mesterséges intelligencia hozta: az adathalász üzenetek ma már nyelvileg hibátlanok és személyre szabottak, akár több csatornán – e-mailben, SMS-ben vagy akár üzleti platformokon – egyszerre érkeznek. Ráadásul gyakran valós üzleti folyamatokra épülnek.
A vállalati ügyfelek is célpontok lehetnek
Az OTP Bank az elmúlt 13 hónapban havonta átlagosan 15, vállalatok sérelmére elkövetett csalást azonosított. A tranzakciók száma ugyan alacsonyabb, mint a lakossági ügyfelek esetében, de a veszteség jóval nagyobb.
Az elmúlt egy évben az esetek harmadában a bank nevében történő telefonhívással verték át a kiberbűnözők az áldozataikat. Gyakori volt még a számlaeltérítés (22%) és a hirdetési csalás (14%) is. Az incidensek 9 százalékában befektetési csalással próbálkoztak, kis számban pedig más szervezet nevében történő telefonhívással elkövetett csalás és nyeremény ígéretével elkövetett csalás is történt.
A kulcs az oktatás
A csalások gyakran egyszerre veszélyeztetik a magán- és a céges vagyont is. Ha egy természetes személynek céges számlához van hozzáférése és a csalók a megszokott módszerekkel megtévesztik, akkor a vállalat vagyonához is hozzáférhetnek. Ezért rendkívül fontos, hogy a cégek kiemelt figyelmet fordítsanak azon munkavállalók oktatására, akik bármilyen jogosultsággal rendelkeznek a céges számlák felett.
Az oktatás során érdemes felhívni a figyelmet a vishingre, azaz az olyan telefonos adathalász csalásra, amikor a támadó megbízható szereplőnek, például banki ügyintézőnek adja ki magát. A célja ilyenkor, hogy sürgetéssel vagy megtévesztéssel érzékeny adatokat, például banki belépési információkat vagy SMS-kódokat csaljon ki az áldozattól.
A munkatársaknak szintén fontos tisztában lenniük a BEC típusú, azaz hamis üzleti emaillel elkövetett csalásokkal is. Ez egy olyan csalási forma, ahol a támadó e-mailt hamisít, hogy pénzt vagy adatot csaljon ki egy cégtől. A CEO csalás ennek egy típusa, amikor az elkövető a vállalat vezetőjének adja ki magát, és sürgős utalást vagy bizalmas műveletet kér egy alkalmazottól.
AI-jal a csalások ellen
A pénzügyi szolgáltatók ma már számos technológiai megoldással igyekeznek csökkenteni a csalások számát, illetve a kár mértékét. Ilyen eszköz például a kétfaktoros hitelesítés, a limitek meghatározása, a szokásvizsgálat, vagy éppen a mesterséges intelligenciával megtámogatott, valós idejű számla- és kártyamonitoring.
„Egyes csalástípusoknál már egyértelműen csökken a sikeres visszaélésekből származó kár: az átutalásos csalásoknál, például, mérhető visszaesés történt, miközben a próbálkozások száma érdemben nem csökkent. Ez a kiberbiztonsági gyakorlatban kifejezetten pozitív jel: azt mutatja, hogy a védekezési mechanizmusok – banki szűrőrendszerek, ügyfélazonosítási megoldások és a valós idejű monitoring – egyre hatékonyabban tudják kiszűrni vagy megszakítani a csalási láncot. Emellett a lakossági tudatosság is érzékelhetően nőtt, amit az ügyfélpanaszok és vitás esetek csökkenése is alátámaszt. A védelem tehát nemcsak technológiai, hanem viselkedési szinten is erősödik” – mondta Sonjic László.
Összehangolt védekezés
Operatív és együttműködési oldalon szintén látható előrelépés. Az állami szervek, hatóságok és piaci szereplők által négy éve alapított KiberPajzs Program ma már széles, több mint egy tucat szereplőt integráló ökoszisztémává bővült, amelyben technológiai partnerek közösen fejlesztenek biztonsági megoldásokat. A jelenlegi fejlesztések egyebek mellett a hívószám-hamisítás elleni szabályozásra, a kártyás csalások megelőzésére és a kétoldali hitelesítés erősítésére fókuszálnak. Az együttműködés részeként több edukációs program is zajlik.
A KiberPajzs ma már nem pusztán figyelemfelhívó program, hanem egy működő, összehangolt védekezési modell, amely képes mérsékelni a kiberbűnözés pénzügyi hatásait.
Vállalati tudatosság
A csalások megelőzése ma már komplex megközelítést igényel, amely egyszerre épít a szervezeti szabályokra, a technológiai védelemre és a vállalatok dolgozóinak felkészültségére. Kulcsfontosságú a jól működő kontrollok kiépítése, például a pénzügyi feladatok szétválasztása és a kritikus tranzakciók esetén a négy szem elve. Utóbbi azt jelenti, hogy minden fontos döntést vagy műveletet legalább két egymástól független személynek kell jóváhagynia a hibák és visszaélések megelőzése érdekében. Továbbá egy érzékeny folyamat – mint egy beszállítói bankszámlaszám módosítása – esetében érdemes külön ellenőrzést kérni, akár telefonos visszahívással.
A csalások elkerülése összességében nem egyetlen eszközön múlik, hanem egy dinamikusan működő kiberbiztonsági ökoszisztémán, ahol a kontrollok, a technológiai megoldások és a tudatos szervezeti működés egymást erősítve, folyamatosan biztosítják a védelmet.
Gyorsan kell reagálni
Ha valaki felismeri, hogy csalás áldozata lett, a legfontosabb a gyors és összehangolt reakció.
„Első lépésként azonnal értesíteni kell a bankot, kezdeményezni az utalás visszahívását, illetve szükség esetén letiltani a számlát vagy a bankkártyát, és megállítani minden további tranzakciót, például az automatikus kifizetéseket. Ezzel párhuzamosan érdemes azonnal izolálni az érintett folyamatokat is: leállítani a gyanús kifizetéseket, ideiglenesen blokkolni az érintett partnereket, illetve IT-incidens esetén leválasztani a fertőzött rendszereket.
Fontos a megfelelő külső értesítés is: a bank mellett a hatóságok, szükség esetén a biztosító és az érintett üzleti partnerek bevonása segíthet a károk kezelésében” – mondta Sonjic László, az OTP Bank biztonsági vezető tanácsadója.
Ezután a további veszteségek megelőzésére kell koncentrálni. Át kell vizsgálni, történt-e más hasonló tranzakció, és fel kell deríteni a csalás mintázatát. Például, ha egy beszállító IBAN-száma illetéktelenül módosult, akkor minden partneradatot érdemes újra ellenőrizni. A cél ilyenkor a teljes folyamat kontroll alá vonása, hogy hasonló eset ne fordulhasson elő újra.
A tartalom az OTP Bank megbízásából, a HVG BrandLab produkciójában készült. A cikk létrehozásában a HVG hetilap és a hvg.hu szerkesztősége nem vett részt.
