Cyber Security: Wie agieren Cyberkriminelle im Finanzsektor?

Carbanak – Cybercrime mit Hollywood-Potenzial

Im Carbanak-Fall wurden neben Bankennetzwerken auf der ganzen Welt, z. B. in Russland, der Ukraine, der EU, China und den USA, gezielt Geldautomaten über modifizierte Firmware manipuliert. Was sich anhört wie das nächste Hollywood-Drehbuch, ist so zwischen 2013 und 2014 tatsächlich geschehen.

Die Premiere des Films „Hacker, Hunter, Scammer , Spy“ auf dem Presse-Event zur Cyber Security nahm sich genau dieses Themas an und griff mit schnell geschnittenen Ermittlungsszenen den 1-Milliarde-US-Dollar-Raub von weltweit 100 Finanzinstituten in 30 Ländern durch die Carbanak-Operation auf.

Erschreckend deutlich wird, wie leicht es den Hackern möglich war, sich via Phishing-E-Mails mit Malware in die Bankensysteme zu schleusen. So öffneten einzelne unwissende Mitarbeiter, die mit bösartiger Schadsoftware infizierten Word-Anhänge. Damit hatte die Malware der Hacker freie Bahn und konnte trotz vermeintlicher Cyber Security immer weiter in die Bankennetzwerke eindringen.

Kaum verwunderlich also, dass Phishing-Versuche (siehe Abbildung 1, Kaspersky (2019)) über lange Sicht gesehen konstant zunehmen und von Hackern als leichte Eintrittstore genutzt werden.

Abbildung 1: Phishing – ein gefährlicher Trend für Unternehmen

Der Anstieg der Angriffe auf Unternehmensgeräte von 15 % auf 30 % macht die Gefahr für die weltweite Cyber Security noch einmal mehr als deutlich.

Im Carbanak-Fall gelang es der taiwanesischen Polizei letztlich, zwei Mitglieder der Bande zu stellen. Möglich war dies dank eines Zeugen und der anschließenden Auswertung der dortig vorhandenen Überwachungskameras.

Der Zufallszeuge hatte die Geldboten beim sogenannten „ATM-Jackpotting“ erwischt. Das Vorgehen ist nach dem verstorbenen Hacker Barnaby Jack benannt und beschreibt das Hacken von Bankautomaten über eingeschleuste Firmensoftware per Remote Control. Die Bankautomaten werden so manipuliert, dass sie, ähnlich wie bei einem Jackpot im Casino, unentwegt Banknoten ausgeben.

Mittels Kameraauswertung und weiterer Zusammenarbeit mit Europol konnte schließlich auch der Organisator der Carbanak-Operation in Spanien ausfindig gemacht werden.

Warum liefen die Ermittlungen im Gegensatz zu vielen anderen Cybercrime-Fällen so erfolgreich?

Waren es die sofortigen Ermittlungen, der Überwachungsstaat oder die internationale Zusammenarbeit?

Letztlich, so zeigt der anschließende Diskurs, ist es wohl die Kombination aller genannten Faktoren gewesen, die zur Aufklärung des Falls geführt hat. Fraglich bleibt der schlussendliche Beitrag der totalen Überwachung in Taiwan zur Cyber Security. Schließlich gelang es 19 weiteren Geldboten dort trotz dieser Überwachung zu fliehen.

Cybercrime kann nicht gestoppt, das Bewusstsein für Cyber Security jedoch gestärkt werden

Unabhängig von der Aufklärung des Falls ist es dem Film , angereichert mit emotionalen Interviews und Originalaufnahmen der wilden Verfolgungsjagd auf die Hacker, gut gelungen, die Brisanz des Themas Cyber Security zu verdeutlichen.

So vermag der Film, wie von Rainer Bock, dem Head of Production & Cyber Content bei Kaspersky, als Ziel der Filmreihe formuliert, ein neues Bewusstsein für Cybersicherheit bei Rezipienten zu schaffen, die sich sonst weniger mit Cybercrime beschäftigen.

Ebenso deutlich wird: Einen vollumfänglichen Schutz vor Cybercrime gibt es nicht. Selbst die beste Sicherheitssoftware schützt nicht vor dem sogenannten „Human Error“. Existieren keine gezielte Sicherheitsstrategie, Schulungen und Aufklärung der Mitarbeiter, so reicht ein einziges unbewusstes Fehlverhalten aus, um noch unentdeckter Schadsoftware ersten Zugang zu verschaffen.

Die Frage im Zuge der Gewährleistung von Cyber Security ist also, wie schwer man es den Hackern macht

Ein Blick auf anschließend gezeigte aktuelle Studienergebnisse aus Kaspersky-Analysedaten zum Thema „Wie gefährlich ist Onlinebanking“ und aus dem „Halbjahresresümee 2019 für Banken und ihre Kunden“ macht deutlich: Was beim Carbanak-Fall mit Phishing-E-Mails und „Human Errors“ der Bankenmitarbeiter begann, bleibt auch heute noch ein Kernproblem. Über Exploit Kits, soziale Netzwerke, E-Mails und per USB haben es Hacker oft leicht, in Unternehmensnetzwerke einzudringen.

Mehr als 80 % aller Cybersicherheitsvorfälle entstehen durch menschliche Fehler. Cyber Security im Sinne einer absoluten Sicherheit vor Cyberangriffen gibt es nicht.

Neben einem bereits erfolgten Anstieg um 130 % an Finanz-Malware-Infektionen im PC-Bereich im ersten Halbjahr 2019 ist nach der Urlaubszeit im zweiten Halbjahr 2019 – wie auch schon 2018 – mindestens eine weitere Verdopplung der Angriffe, insbesondere im Hinblick auf die steigenden Finanztransaktionen zur Weihnachtszeit, zu erwarten (siehe Abbildung 2, Kaspersky (2019)).

Abbildung 2: Anstieg der Finanz-Malware-Infektion im PC-Bereich

Ob mit der PSD2-Umstellung die Angriffe auf Bankennetzwerke noch stärker ansteigen werden, lässt sich laut Peter Neumaier, Head of Channel Germany Kaspersky, nur schwer sagen. Es wird sich also noch zeigen, ob sich hier ein weiterer Peak in der ohnehin steigenden Tendenz im zweiten Halbjahr 2019 auf die Umstellung zurückführen lassen wird.

Ferner gilt es, im Zuge eines wachsenden Mobile-Bankings und damit auch hier ansteigender Malware-Angriffe (+97 % erstes Halbjahr, siehe Abbildung 3, Kaspersky (2019)) dem Mobile-Bereich erhöhte Aufmerksamkeit bei der Cyber Security zu schenken.

Abbildung 3: Finanz-Malware-Infektionen im mobilen Bereich (Android)

Noch sei ein entsprechender Schutz der mobilen Endgeräte nicht im Bewusstsein vieler Nutzer angekommen, so Neumaier.

Exklusive Studien im Downloadportal HUB⁺

Private-Banking-Studie Österreich – 2018 (zeb)

Die zeb.Private-Banking-Studie Österreich ist die erste ihrer Art, die ein umfassendes Verständnis für die Spezifika des österreichischen Private-Banking-Markts vermittelt.

Private Banking Studie Deutschland – 2018 (zeb)

Dass sich Privatbanken in Deutschland weiterentwickeln müssen, daran besteht kein Zweifel. Die Ergebnismargen bewegen sich trotz günstigem Marktumfeld weiterhin auf einem sehr niedrigen Niveau.

Cyber Security – was bringt die Zukunft?

Einmal mehr verdeutlichte das später durchgeführte Cyber Security Planspiel die Vielzahl der Angriffsflächen, die Bankennetzwerke Hackern bieten und die es wiederum zu schützen gilt. Kerngefahren für Banken bleiben Cyberbankräuber, die sich beispielsweise über Phishing in das Bankensystem hacken, Angriffe auf Geldautomaten und digitale Doppelgänger, die Identitätsdiebstähle begehen.

Kernziel muss es daher sein, Schnittstellen, virtuelle und physische Server sowie Endgeräte umfassend zu schützen. Ebenso gilt es, die VDI-Bereitstellung, das Speichersystem und die Datenkanäle in Private Clouds zu überwachen. Allerdings gibt es nie eine absolute Sicherheit vor Hacks. Vielmehr muss neben aktuellem Virenschutz und aktueller Software eine ausreichende Security Awareness mittels Akzeptanz für Cybercrime durch Kooperation von IT-Sicherheit und Mitarbeitern auf allen Hierarchieebenen, z. B. durch Schulungen, sichergestellt werden.