تهدیدات در خدمات مالی

تهدیدات در خدمات مالی
تهدیدات در خدمات مالی
همواره موسسات مالی یک هدف جالب برای مهاجمان به سیستم های الکترونیکی بوده است . اطلاعات موجود در موسسات مالی معمولا در زیرساخت های در سطح ملی و جهانی قرار دارند و افشا آن ها می تواند ضرر هنگفتی را به سازمان ها وارد نماید . در این پست به دنبال ارزیابی از این نوع تهدیدات در سال ۲۰۱۶ می باشیم .
بیشترین حملات در سال ۲۰۱۶ که در آن انگیزه های مالی وجود داشت به موسسات مالی و اعتباری صورت پذیرفت . این حملات دارای انواع مختلفی از حملات از جمله اخاذی ، تروجان های بانکی ، ایمیل های جعلی و استفاده از برنامه های باج گیر می باشد .در شکل ۱ دسته بندی این حملات به طور کامل نشان داده شده است . در ادامه به بررسی این حملات می پردازیم .
شکل 1 مربوط به حملات مالی
شکل ۱ مربوط به حملات مالی
حملات DDOS :
روش های اخاذی مالی در سال ۲۰۱۶ گسترش زیادی پیدا کرده اند که شامل باج افزارها(Ransomware) و حملات DDOS می شوند . در چند سال گذشته روش های اخاذی مبتنی بر DDOS بر روی سیستم های مالی تاثیرات منفی زیادی را گذاشته است .
یک حمله DDOS معمولا بر ساختار یک وب سایت و یا شرکت های میزبان تاثیر می گذارد . تهدیدات افشاشدن اطلاعات می تواند باعث ایجاد حملات DDOS فراوانی شوند .
باج افزارها (Ransomware) :
در طول سال ۲۰۱۶ باج افزارها با استفاده از آسیب پذیری سرورها ، به ذخیره سازی و رمز کردن اطلاعات حساس موسسات مالی و مشتریان آنان پرداخته اند . باج افزارها برای رسیدن به اهداف خود از ایمیل های اسپم آلوده بهره می برند .
باج افزارها در سال ۲۰۱۷ به عنوان بزرگترین تهدید امنیتی مطرح خواهند شد اما در مقابل روش های قوی تری برای مقابله با آنان نیز مطرح خواهد شد . موفقیت باج افزارها تا حد زیادی بستگی به روش های ذخیره سازی اطلاعات توسط مدیران فناوری اطلاعات در سازمان ها دارد . اگر مدیران فناوری اطلاعات به ذخیره سازی ایمن اطلاعات بپردازند ، مهاجمان نمی توانند به آسانی به رمز کردن اطلاعات بپردازند . از طرفی دیگر مدیران فناوری اطلاعات سازمان ها باید محدودیت های زیادی را برای دسترس پذیری به اطلاعات بگذارند تا بدین شکل بتوانند جلوی دسترسی های غیرمجاز را تا حدود زیادی بگیرند .
نفوذهای هدفمند (Targeted Intrusion) :
در طول سال ۲۰۱۶ ، نفوذهای زیادی در شبکه به هدف تاثیر بر خدمات مالی صورت پذیرفته است که باعث بوجود آمدن سرقت های بزرگ مالی گردیده است . این نفوذها به هدف ایجاد جعل و سرقت اطلاعات حساس ، استقرار بد افزارها در PoS ها و نفوذ به سیستم خودپردازها (ATM) صورت پذیرفته است . هم چنین در این سال حملات زیادی به سیستم های SWIFT صورت پذیرفته است که باعث تحت تاثیر قرار گرفتن ۱۵ بانک و موسسه مالی بزرگ گردیده است . در این حملات مهاجمین از Keylogger برای ایجاد هویت های جعلی در سیستم SWIFT استفاده می کنند . هم چنین مجموع سرقت از سیستم های عابربانک در سال ۲۰۱۶ چیزی در حدود ۱۷٫۵ میلیون دلار اعلام گردیده است که معمولا از طریق ایجاد نرم افزارهای مخرب سفارشی به وقوع پیوسته اند .
نفوذ در ایمیل های تجاری :
در طول سال ۲۰۱۶ ما شاهد بودیم که مهاجمین با استفاده از نفوذ در ایمیل های تجاری بخش های خدمات مالی را مورد هجوم خود قرار دادند . در این مدت تاکتیک های استفاده شده توسط مهاجمان به طور قابل توجهی تغییر نکرده است و آن ها همچنان از این شیوه برای مقاصد خرابکارانه خود بهره می برند . طبق برآوردها از مه سال ۲۰۱۳ تا مه سال ۲۰۱۶ چیزی در حدود ۱۵۶۰۰ سازمان مورد هدف قرار گرفته اند که خسارتی در حدود یک میلیارد دلار در برداشته است .
تروجان های بانکی :
درسال ۲۰۱۶ ، انواع تروجان های بانکی که هدف آن ها برداشت آنلاین از حساب های بانکی را بود شاهد بوده ایم . یک بدافزار به نام Drye در ماه فوریه در مسکو شروع به فعالیت نمود و بعد از مدتی جایگزین یک بدافزار دیگر به نام Trickbot گردید که هدف آن ها حساب های رو به رشد مشتریان بود . تروجان های بانکی امکان نفوذ از طریق ایمیل های اسپم را دارند . به ویژه فایل های مایکروسافت که حاوی ماکروهای مخرب هستند می توانند به عنوان بستری مناسب برای این تروجان ها محسوب شوند .
حملات با انگیزه های غیر مالی :
  • هک گرایی (Hacktirism) : در حملات زیادی که در سال ۲۰۱۶ مطرح شدند اهداف مالی چندانی وجود نداشتند بلکه مهاجمان هدف خود را ضد استبدادی ، ضد فساد ، دین ، تخریب های زیست محیطی و یا مبارزه با نقض حقوق بشر عنوان کرده اند . این نوع حملات بیشتر از نوع DDOS می باشند و هدف آن ها افشا اطلاعات یا نابود کردن اطلاعات مهم بوده است . انگیزه اصلی در این نوع حملات ، اختلال عملکرد موسسات مالی می باشد . این اختلال باعث می شود که این موسسات نتوانند بودجه شرکت های تابعه خود را فراهم کنند و عملکرد آن ها در بخش های سیاسی ، اقتصادی و اجتماعی در شبکه های اجتماعی به نقد کشیده می شود و چالش های متعددی برای این موسسات پدید می آید .
  • حملات داخلی (Ideologically – motivated insiders) : در سال ۲۰۱۶ گزارش های از نشت اطلاعات در موسسات مالی وجود داشت که بیشترین علت آن کارکنان ، مدیران سیستم و پیمانکاران وابسته بودند . این کارکنان و مدیران بعد از اخراج یا تعدیل نیرو به افشای اسناد ، مدارک مالی و وکالتنامه های مشتریان پرداختند و بدین شکل سعی در کاهش اعتبار و اطمینان به این موسسات نموده اند .
  • جمع آوری اطلاعات :امروزه کمپین های جاسوسی اطلاعات(Cyber-Espionage) زیادی شناسایی شده اند که صنعت خدمات مالی را هدف قرار داده اند . هدف آنان جمع آوری اطلاعات مالی از گروه ها و صنایع مختلف برای مقاصد ثانویه می باشد . آن ها به دنبال سو استفاده از این اطلاعات در شبکه ها و زیرساخت های امنیتی دیگر می باشند . این گروه ها با رهگیری منابع مالی سازمان های گوناگون به شناسایی اهداف و استراتژی این سازمان ها می پردازند و برنامه های بلند مدت ان سازمان ها را تخریب می کنند . مهاجمین استحکامات ضروری در کشورهای مختلف را آماج حملات مرگبار خود قرار می دهند و برای رسیدن به این هدف به جمع آوری مستمر اطلاعات می پردازند . جمع آوری اطلاعات می تواند مزایای سیاسی ، نظامی ، اقتصادی و اجتماعی زیادی را برای گروه های هدف فراهم آورد . داشتن اطلاعات دقیق و محرمانه می تواند در تصمیم گیری های سیاسی و اقتصادی مورد استفاده قرار گیرد .پ
درسال ۲۰۱۷ هم چنان تهدیدات گوناگونی را درسیستم های مالی شاهد خواهیم بود . تروجان های بانکی در سال ۲۰۱۶ بیشترین سودآوری را برای مهاجمین داشتند . بنابراین احتمالا در سال ۲۰۱۷ تروجان های بانکی رشد فزآینده ای را تجربه خواهند کرد . در سال ۲۰۱۷ نفوذ در شبکه ، تلاش برای نفوذ به ایمیل های تجاری و حملات مستقیم به مشتریان جز اهداف اصلی مهاجمین خواهد بود . بنابراین باید توان سایبری سازمان ها بر روی این قسمت ها متمرکز شود .

نویسنده و گردآورنده : مسعود معاونی
منبع را از اینجا دانلود کنید .

https://telegram.me/moaveni_ir
https://telegram.me/moaveni_ir

نوشته‌های تازه

آخرین نظرات

    بایگانی

    دسته‌ها

    مسعود معاونی نوشته شده توسط:

    مسعود معاونی کارشناس ارشد فناوری اطلاعات ، طراح وب ، سئو سایت مدیر ارشد کسب و کار الکترونیک

    اولین کسی باشید که یک دیدگاه ارسال میکند.

    پاسخ دهید

    نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *