Von den zahlreichen Bedrohungen, denen Finanzdienstleistungsunternehmen ausgesetzt sind – darunter 2022—distributed Denial-of-Service-Angriffe (DDoS), Ransomware, Betrug durch Manipulation geschäftlicher E-Mails (BEC) und vieles mehr –, steht laut einer aktuellen Analyse zur Cyberkriminalität im Finanzdienstleistungssektor die Unsicherheit in der Lieferkette an erster Stelle der dringlichsten Risiken für das kommende Jahr.
Dies ist eine zentrale Erkenntnis aus dem Bericht „ : Navigating Cyber 2023“, einem Jahresbericht des Financial Services Sharing and Analysis Center (FS-ISAC), einer gemeinnützigen Organisation zum Austausch von Cyber-Informationen mit rund 5 200 Mitgliedsinstituten, darunter Banken, Wertpapiermakler, Versicherungsgesellschaften und Kreditgenossenschaften, die in 75 Ländern Vermögenswerte in Höhe von 100 Billionen US-Dollar vertreten.
Finanzdienstleistungsunternehmen sind zwar in der Regel finanziell gut ausgestattet und in der Lage, die besten Sicherheitslösungen einzusetzen, bleiben jedoch ein beliebtes Ziel für Cyberkriminelle.
Nach Angaben der FS-ISAC meldeten deren Mitglieder im Jahr 2022 einen Anstieg der BEC-Angriffe vom Typ „ “ ( ) um 300 % gegenüber dem Vorjahr. Die Anzahl der Distributed-Denial-of-Service-Angriffe (DDoS) auf Finanzunternehmen in Europa stieg im selben Zeitraum um 73 % und machte die Hälfte aller DDoS-Angriffe in der Region aus. Und obwohl die Zahlungen an Ransomware-Angreifer per Kryptowährung möglicherweise im Jahr 2022—likely aufgrund von Sanktionen gegen derartige Zahlungen zurückgegangen sind, wie der Bericht feststellt, verzeichneten die FS-ISAC-Mitglieder dennoch einen „anhaltenden Strom“ von Angriffen.
„Wir beobachten branchenweit Jahr für Jahr viele Angriffe derselben Art, wie sie in dem Bericht aufgeführt sind“, sagt Chris Blow, Leiter des Bereichs Offensive Security bei Liberty Mutual Insurance.
Der Bericht behandelt die bedeutendsten Bedrohungen, denen Finanzdienstleistungsunternehmen im Jahr 2022 ausgesetzt waren, und gibt einen Einblick in die Risiken, die nach Ansicht der FS-ISAC-Analysten für den verbleibenden Zeitraum des Jahres 2023 am bedeutendsten sein werden. Spoiler: Dank technologischer Fortschritte dürften die meisten der Bedrohungen, die wir im vergangenen Jahr beobachtet haben, an Bedeutung gewinnen.
Geopolitische Konflikte und MFA-Bypass-Angriffe rücken in den Mittelpunkt
Im Jahr 2022 erwiesen sich verschärfte geopolitische Konflikte als der bedeutendste Einflussfaktor auf das Cyberrisiko im Finanzdienstleistungssektor. „Die bestehenden Spannungen, die durch die russische Invasion in der Ukraine noch verschärft wurden, lösten eine Flut von Hacktivismus-Aktivitäten aus, die unvermindert anhält“, heißt es in dem Bericht. „China und sein Ziel der Wiedervereinigung mit Taiwan sowie die ideologisch motivierten Angriffe des Iran auf westliche Finanzinstitute tragen zur geopolitischen Cyberbedrohungslage bei.“
„“ Ich war überrascht, dass Bedrohungen für die Software-Lieferkette bei den „ 2022“ nicht ganz oben auf der Liste standen. Es überrascht mich nicht, dass dieser Punkt die Liste der Bedrohungen für das Jahr 2023 anführt.”Chris Blow, Leiter des Bereichs Offensive Security bei Liberty Mutual Insurance
Die Sicherheitsteams der Finanzdienstleister werden auch im kommenden Jahr die geopolitischen Spannungen weiterhin im Auge behalten, insbesondere in Krisenherden wie Russland/Ukraine, China/Taiwan und Iran, sowie bei Hacktivisten, die möglicherweise politisch motiviert sind. Große Finanzdienstleistungsunternehmen, die enge Verbindungen zu Ländern unterhalten, die in Konflikte verwickelt sind, müssen davon ausgehen, dass sie ins Visier genommen werden.
Angriffe auf die „ “-Multifaktor-Authentifizierung (MFA) hielten die Sicherheitsteams im Finanzsektor im vergangenen Jahr ebenfalls auf Trab. Mitte 2022 verzeichneten die Mitglieder des FS-ISAC eine Zunahme von Angriffen zum Diebstahl von Anmeldedaten sowie von Phishing-Angriffen durch Kunden von Office 365 . Diese Art von Angriff auf die MFA ist in der Regel ein „Man-in-the-Middle“-Angriff (MitM), bei dem ein System zwischen den Benutzer und den Dienst geschaltet wird, auf den er zugreifen möchte, um Anmeldedaten wie Sitzungs-Cookies zu stehlen.
[Lesen Sie auch: Wird die Multi-Faktor-Authentifizierung (MFA) den hohen Erwartungen gerecht?]
Angreifer nutzen die gestohlenen Zugangsdaten, um auf geschützte Ressourcen zuzugreifen. Derartige AitM-Ansätze wurden gegen Finanzinstitute in den USA, Großbritannien, Neuseeland und Australien eingesetzt.
Ransomware sorgt zwar für Schlagzeilen, doch BEC-Betrugsfälle verursachen (weitaus) höhere Kosten
Ransomware- -Angriffe stellen nach wie vor eine erhebliche Bedrohung dar und erweisen sich, wie der Bericht feststellt, als „besseres Geschäftsmodell denn je“.
Nach Angaben von FS-ISAC-Analysten waren im Jahr 2022 die beiden am stärksten von Ransomware betroffenen Branchen das verarbeitende Gewerbe sowie der Sektor der freiberuflichen, wissenschaftlichen und technischen Dienstleistungen, während Finanzdienstleistungs- und Versicherungsunternehmen den dritten Platz belegten. Leider ist der dritte Platz nur ein schwacher Trost, da die Mehrheit der Drittanbieter und Lieferanten der Finanzdienstleistungsbranche aus dem Sektor der fachlichen, wissenschaftlichen und technischen Dienstleistungen stammt.
Dadurch sind Finanzinstitute einem Risiko ausgesetzt, selbst wenn sie nicht direkt angegriffen werden. Zu den Ransomware-Angriffen auf Drittanbieter im Finanzsektor im vergangenen Jahr zählten das irische Bankensoftwareunternehmen CR2, der Anbieter von digitaler Sicherheitssoftware Entrust sowie der Anbieter von Finanz- und Buchhaltungslösungen Exela.
Während Cyberkriminelle weiterhin auf „Ransomware-as-a-Service“-Anbieter zurückgreifen, um ihre Angriffe zu verbreiten, sind auch BEC-Betrugsfälle weit verbreitet. „BEC hat sich zu einer der häufigsten und kostspieligsten Betrugsarten entwickelt, von der Unternehmen weltweit betroffen sind“, heißt es in dem Bericht. BEC kann verschiedene Formen annehmen, doch die am häufigsten beim FS-ISAC gemeldeten Fälle sind Anträge auf Umleitung von Gehaltszahlungen oder betrügerische Zahlungsaufforderungen im Rahmen von Identitätsbetrug oder Lieferantenbetrug.
Und diese Angriffe summieren sich. Nach Angaben des „Internet Crime Complaint Center“ des FBI gingen beim FBI Beschwerden über BEC-Betrugsfälle in Höhe von insgesamt 2,4 Milliarden US-Dollar ein. Das ist deutlich mehr als die 49,2 Millionen Dollar Schadenersatz, die aufgrund von Ransomware-Beschwerden gemeldet wurden.
Risiken in der Software-Lieferkette und im Bereich der künstlichen Intelligenz könnten das kommende Jahr prägen
-Bedrohungen in der Software-Lieferkette richteten sich im vergangenen Jahr gegen ein zunehmend digitalisiertes Geschäftsumfeld, und diese Digitalisierung zeigt keine Anzeichen eines Rückgangs. Im Jahr 2022 waren die häufigsten Angriffe auf die Lieferkette nach dem „ “-Prinzip (), , die von FS-ISAC-Mitgliedern gemeldet wurden, die Manipulation von Software-Updates, betrügerische Codesignierungen und die Kompromittierung von Open-Source-Code.
„. Die neuen Werkzeuge, wie beispielsweise KI, machen es auch weniger erfahrenen Angreifern leichter, erfolgreich zu sein.“Schlag
Angesichts der zunehmenden Verfügbarkeit von „Malware-as-a-Service“ sowie der rasant steigenden Beliebtheit von Mobile-Banking-Apps und Open Banking ist davon auszugehen, dass solche Strategien weiter zunehmen werden. Open Banking, das im Jahr 2018 flächendeckend eingeführt wurde, stützt sich auf Anwendungsprogrammierschnittstellen (APIs), die einen schnellen Zugriff auf Finanzdaten ermöglichen, sodass Verbraucher konkurrierende Bankdienstleistungen problemlos vergleichen können. Laut einem Bericht von „ “ () stiegen die Angriffe auf APIs im vergangenen Jahr um 681 %.
„Ich war überrascht, dass Bedrohungen für die Software-Lieferkette bei der Liste ‚ 2022‘ nicht an erster Stelle standen“, sagt Blow. „Es überrascht mich nicht, dass es im Jahr 2023 an der Spitze der Liste der Bedrohungen steht“, fügt er hinzu.
Sowohl Hacktivisten als auch Cyberkriminelle im Allgemeinen und Amateure mit einem persönlichen Motiv werden von den Fortschritten in der Technologie der künstlichen Intelligenz (KI) profitieren, die sich nicht nur in diesem Jahr, sondern auch in den kommenden Jahrzehnten als bahnbrechend erweisen könnten.
Der KI-gestützte, generative Text-Chatbot ChatGPT wurde erst im November eingeführt, und bereits jetzt wurde das Tool zur Erstellung von Schadcode und überzeugenden Phishing-E-Mails genutzt. Generative Sprachmodelle haben zudem Malware zum Diebstahl von Daten, Verschlüsselungsprogramme und vieles mehr hervorgebracht. Bedrohungen wie diese werden die Sicherheitsexperten an vorderster Front dazu veranlassen, stets wachsam zu bleiben.
„Ich mache mir Sorgen wegen der organisierten Kriminalität und der aufstrebenden Hacker“, sagt Blow. „Die neuen Werkzeuge, wie beispielsweise KI, machen es auch weniger erfahrenen Angreifern leichter, erfolgreich zu sein.“
Trotz der zu erwartenden Flut von KI-gestützten Angriffen bleiben die Analysten des FS-ISAC optimistisch, dass KI-gestützte Abwehrmaßnahmen wirksam sein werden. Darüber hinaus planen sie verstärkte Investitionen in automatisierte Ansätze zur Schwachstellenanalyse sowie in das Patch-Management . Dennoch setzen sie ihr vollstes Vertrauen in die Männer und Frauen, die in den Sicherheitsteams der Finanzdienstleistungsbranche tätig sind.
„Die Automatisierung“, so lautet das Fazit des Berichts, „wird das Urteilsvermögen und das Fachwissen ausgebildeter Fachkräfte auf absehbare Zeit nicht ersetzen.“