Взломы финансовых компаний Кореи: конец защиты, зависящей от людей

Этой осенью в Южной Корее одна за другой подверглись взломам банки, сберегательные банки, кредитные компании, брокеры и криптобиржи. По данным финансового регулятора, к середине октября выявлено 16 пострадавших компаний. Годом ранее у одной карточной компании утекли данные около 3 млн человек. Большинство пострадавших имели сертификаты безопасности, защитное оборудование и проходили регулярные проверки.

Регулятор обнаружил в нескольких компаниях следы массовых автоматизированных атак с применением ИИ-инструментов, которые провёл один и тот же злоумышленник. По анализу зарубежной компании по кибербезопасности, это одиночка, сочетающий несколько серверов и ИИ. Он даже спрашивал ИИ, где можно продать украденные финансовые данные. Личность не установлена, расследование продолжается.

Патчей недостаточно

Автор колонки обращает внимание на скорость. ИИ-модель, вызвавшая весной «шок Mythos», за месяц нашла более 10 тысяч опасных уязвимостей, включая давний дефект в PHP. Глобальный отчёт указывает, что среднее время до эксплуатации уязвимости составляет «минус 7 дней»: атака опережает патч. Когда технических брешей становится меньше, злоумышленники переключаются на людей и процессы: сервисы запросов без проверки личности, общие с партнёрами серверы, захваченные учётные записи, телефонное мошенничество.

Решением автор называет zero trust, то есть проверку действий, уже прошедших профилактические барьеры. Крупным банкам требовалось от 15 до 68 часов, чтобы заметить вторжение. Группа, первой проникшая в сеть, передаёт доступ следующей за 22 секунды, а злоумышленник обычно остаётся незамеченным почти две недели.

ИИ на стороне защитников

По мнению автора, ИИ должен работать и на защиту. Инструмент, использованный в атаке, изначально был открытым ПО для проверки безопасности. Защитный ИИ должен знать нормальное состояние сети, находить внешне обычные, но аномальные подключения, а затем немедленно разрывать сессию, отзывать права и изолировать системы. Роль людей смещается от просмотра оповещений к выработке правил и ответственности.

Колонка призывает и к смене подхода руководства. Вместо вопроса «все ли патчи установлены» нужно спрашивать, можно ли остановить атаку до достижения цели. Эффективность следует измерять временем обнаружения и реакции, а не числом сертификатов. Автор отмечает, что, несмотря на инциденты, банки сократили расходы на защиту информации.