Banken hebben een vaste plek op het menu van de hedendaagse cybercrimineel. Het is voor hen dan ook een grote uitdaging om zich te wapenen tegen het toenemend geweld van hackers. Hun aanvallen nemen toe in volume en gelijktijdig breidt hun speelveld, onder invloed van evoluties als het Internet of Things, continu verder uit.
De problemen beperken zich niet enkel tot het volume of de frequentie van de aanvallen, maar ook de snelheid en het gemak waarmee ze de wereld worden ingestuurd is alarmerend. De bestaande tools laten zelfs groentjes toe grootschalige aanvallen te versturen via vatbare servers wereldwijd en dus niet enkel vanuit hun slaapkamer.
De stijl van aanvallen evolueert doorheen de jaren. Reflectie-aanvallen zijn niet nieuw, maar terug in de mode doordat ze op nieuwe manieren worden toegepast. Bovendien zien jaarlijks een ontelbaar aantal nieuwe connected devices het licht. Naast deze potentiële slachtoffers is een nieuwe laag aan hardnekkige kwetsbaarheden ontdekt die van het herstel van alle hardware een proces van lange adem maken. Deze zorgen voor achterpoortjes die hackers maar al te graag benutten. Zo bieden bijvoorbeeld de ‘Heartbleed’ en ‘Shellshock’ bug een vrijgeleide voor hackers en zullen deze in de toekomst nog toenemen.
Het motief van hackers beperkt zich niet enkel tot het platleggen van websites. Zo identificeerden verschillende banken reeds frauduleuze geldstromen tijdens DDoS-aanvallen. Deze doen vaak dienst als afleiding om klantendata in alle stilte te downloaden en vervolgens door te verkopen op de zwarte markt. Dit faciliteert financiële fraude en identiteitsdiefstal. Er zijn ontelbare voorbeelden die aantonen dat dergelijke inbreuken op persoonsgegevens enorm schadelijk zijn voor het imago van merken en hun klanten.
Sharing is caring
Er staat veel op het spel. De banksector wordt wereldwijd in het vizier genomen en vermits hackers tijd, middelen en kennis delen, dringt een collectieve strategie zich op. Het delen van informatie is een voor de hand liggende oplossing, maar klinkt eenvoudiger dan het in werkelijkheid is. Banken staan immers niet te springen om informatie te delen. In sommige landen, zoals de Verenigde Staten, is dit reeds de gangbare praktijk, maar bij anderen wordt informatie over bedreigingen nog steeds als een gevoelige en competitieve kwestie beschouwd. Wettelijke onzekerheden verbonden aan het bekendmaken van gevoelige informatie zijn hier een struikelblok.
Engageren banken zich om informatie te delen, moet dit uiteraard efficiënt gebeuren. Aanvallen blijven vaak onder de radar. Wanneer je website plots platligt, – en iedereen schreeuwt moord en brand op sociale media- is dit dan een aanval, een systeemprobleem of ligt het aan je service provider? De ene aanval is uiteraard de andere niet. Soms is het overduidelijk, maar een inbreuk op persoonsgegevens blijft vaak onzichtbaar. Dit doordat ze zijn vermomd als een DDoS-aanval of het meldingssysteem faalt. Zelfs wanneer het alarm zou afgaan, is verder onderzoek vereist vooraleer informatie kan worden gedeeld: is het een poging tot inbreuk? Is het een test van je eigen IT-afdeling? Of is het een onschuldige scan door een derde partij?
Om een efficiënt en betrouwbaar mechanisme op te zetten, is absolute zekerheid over de betrokken informatie noodzakelijk. Wat als je wordt aangevallen en je blokt deze succesvol, moet dit dan gedeeld worden met sectorgenoten, zonder rekening te houden met een wettelijk kader? De meningen hierover verschillen.
Samen staan we sterk
Er zijn heel wat uitdagingen, maar het delen van informatie in de financiële sector werkt. Zo herinner je je misschien nog ‘Operation Ababil’ uit 2012 en 2013, waarbij financiële instellingen uit de Verenigde Staten het slachtoffer werden van aanhoudende DDoS-aanvallen. De banken vochten niet enkel terug door hun beveiliging te verhogen, maar nog belangrijker door het delen van informatie met elkaar.
‘Threat intelligence sharing’ is de toekomst en zal op termijn ook geautomatiseerd worden. In de Verenigde Staten wordt hier al een tijdje aan gewerkt. Het Soltra Edge systeem is gebaseerd op open standaarden om kennis en informatie te groeperen én sneller te verspreiden.
Eigenlijk staat niets het delen van informatie in de weg. Het zal de banksector versterken en hackers het nakijken geven. De volgende bedreiging loert om de hoek, dus waar wachten we op?
Tim Vereecke, Senior Solutions Engineer bij Akamai Technologies
