Vier Herausforderungen und vier Lösungen zur Verbesserung der Resilienz

Es ist kein Geheimnis, dass Cyber-Bedrohungsakteure es auf Kundendaten abgesehen haben. Laut IBM waren Datendiebstahl und Datenlecks die häufigsten Auswirkungen für Unternehmen, die Opfer eines Angriffs wurden. Darüber hinaus ergab ein Bericht von Delinea, dass Datenexfiltration heute die wichtigste Motivation für Ransomware-Angriffe ist.

Es gibt nur wenige Branchen, in denen wertvollere Kundendaten verarbeitet werden als in der Finanzdienstleistungsbranche. Daher gibt es nur wenige Ziele, die für einen Bedrohungsakteur attraktiver sind.

Viele Finanzdienstleistungsunternehmen verfügen über beträchtliche Geldbeträge und Vermögenswerte, wodurch sie für Ransomware-Angreifer, die es auf „fette Beute“ abgesehen haben, attraktiv sind. Und die Vernetzung des Finanzsektors bedeutet, dass die Kompromittierung eines Instituts oder eines gemeinsam genutzten Produkts zu weitreichenderen Auswirkungen auf die gesamte Branche führen kann.

In Recorded Future’s recent fireside chat webinar, Navigating Risk: How Threat Intelligence Is Transforming Financial Services, Citizens Bank Cyber Threat Intelligence Manager Lea Cure summed up the complex nature of financial services cybersecurity:

„Als Finanzinstitut haben wir Geld, wir haben die Informationen der Leute. Die Art und Weise, wie wir diese Informationen schützen, unterscheidet sich stark von anderen Organisationen. Die Technologien, die wir verwenden, und die Technologien, die wir verwenden, um Geld zu bewegen, sind entscheidend. Wenn die ausfallen, was können wir tun? Was sind unsere Playbooks?“

In diesem Blog befassen wir uns mit den Herausforderungen, mit denen Finanzdienstleister konfrontiert sind, und mit der Frage, wie Bedrohungsinformationen für jede dieser Herausforderungen den entscheidenden Kontext liefern, damit Verteidiger schneller, effizienter und effektiver verhindern können, dass böswillige Akteure Kundendaten stehlen und den Geschäftsbetrieb beeinträchtigen.

Herausforderung Nr. 1: Angriffe auf die Lieferkette

Bei zahlreichen Gelegenheiten haben uns Interessenten und Kunden aus allen Branchen mitgeteilt, dass Angriffe auf die Lieferkette zu den größten Sorgen gehören. In unserem Kamingespräch bestätigten beide Kunden im Panel diese Einstellung.

Ihre Besorgnis ist sicherlich berechtigt, da oft wenig getan werden kann, um einen Angriff auf die Lieferkette zu verhindern. Eine Umfrage von Gartner ergab, dass 45 % der Unternehmen in den letzten Jahren Betriebsunterbrechungen im Zusammenhang mit Dritten erlebt haben.

„Außerhalb der Finanzbranche gibt es viel weniger Regulierung, besonders im Bereich der Technologiedienstleister“, sagt Christopher Martinkus, Threat Intelligence Manager bei einer nordamerikanischen Geschäftsbank. „Dort kann man viele dieser Verstöße beobachten. Ich weiß, dass wir weit mehr Angriffe auf unsere Drittanbieter erlebt haben als auf uns selbst.“

Zum Beispiel konzentrieren sich Bedrohungsakteure wie die Ransomware-Gruppe CL0P darauf, Sicherheitslücken in Dateiübertragungssoftware von Accellion, SolarWinds und MoveIt auszunutzen. Indem sie sich unberechtigten Zugriff auf die übertragenen Dateien verschaffte, konnte CL0P vertrauliche Informationen stehlen, Dateien zur Erpressung von Lösegeld verschlüsseln und die kompromittierten Dateien für andere bösartige Aktivitäten verwenden.

Im „As-a-Service“-Zeitalter wird es noch schwieriger, die Risiken entlang der Lieferkette zu reduzieren. Zachary Smith, Senior Principal of Research bei Gartner, sagte: „Cybersecurity-Teams haben Schwierigkeiten, sich gegen Störungen durch Dritte zu wappnen und Geschäftsentscheidungen im Zusammenhang mit Dritten zu beeinflussen.“

Lösung: Das Risiko in der Lieferkette reduzieren

Can threat intelligence help organizations be more proactive in identifying risks that stem from their partners and vendors? Recorded Future client Christopher Martinkus thinks it’s possible to mitigate supply chain risk.

„Wir hatten tatsächlich einen Fall, in dem eine Warnung eintraf, dass einer unserer Drittanbieter auf einer Ransomware-Erpresserseite aufgeführt wurde“, sagte er, „und wir haben den Anbieter benachrichtigt, bevor er überhaupt wusste, dass er dort gelistet war.“

Ein anderes Finanzdienstleistungsunternehmen war in der Lage, bösartige Netzwerkaktivitäten während des Beschaffungsprozesses für einen neuen Anbieter zu identifizieren. In diesem Fall war das Unternehmen in der Lage, den Anbieter als hochriskant zu kennzeichnen und vor der Aufnahme des Geschäfts eine genauere Prüfung vorzunehmen.

With supply chain attacks, minutes and hours really matter. Decisions need to be made and steps need to be taken to keep the business secure. Threat intelligence can provide real-time threat monitoring and assessment to help you overcome current challenges and ensure that your organization has the context needed to stay ahead of supply chain threats.

Herausforderung Nr. 2: Ransomware

Während die Störungen der berüchtigten Ransomware-Gruppe LockBit durch Strafverfolgungsbehörden ein kurzfristiger Sieg war, wird Ransomware aller Wahrscheinlichkeit nach auch weiterhin ein großes Problem für Finanzdienstleister sein. Wir haben bereits erlebt, dass sich andere zerschlagene Ransomware-Gruppen wieder erholt haben.

„Ich glaube nicht, dass Ransomware ein Ende nehmen wird“, sagte Lea Cure. „Ich denke, das wird so weitergehen und weiterhin ein Problem bleiben.“

Christopher Martinkus fügte hinzu: „Sie werden andere Varianten aufstellen, die LockBit ähneln, und es ist ein bisschen wie die Hydra-Theorie – man schneidet einen Kopf ab, am Ende hat man zwei.“

2023 was a banner year for ransomware groups. Ransomware payments doubled to more than $1.1 billion (The Record), and high-profile attacks received extensive media attention. Of organizations that suffered an attack, 62% lost revenue, 48% experienced reputation damage, and 48% lost customers (Delinea’s State of Ransomware 2024).

Obwohl die Zahl der Opfer, die auf Ransomware-Erpressungsseiten gepostet wurden, im neuen Jahr gesunken ist (The Record – Ransomware Tracker), ist es wahrscheinlich, dass die Zahlen steigen werden. Finanzdienstleister sollten die Atempause nutzen, um ihre Abwehrmaßnahmen zu verbessern.

Lösung: Proaktive Abwehr von Ransomware

Um Ransomware-Angriffe abzuwehren, benötigt Ihr Finanzinstitut eine Lösung, die proaktive Erkenntnisse liefert. Eine Möglichkeit, die Effizienz zu steigern, besteht darin, sich auf Angreifer zu konzentrieren, die es auf die Branche abgesehen haben.

Was sind die Tools, Taktiken und Verfahren (TTPs), die mit diesen Gruppen verbunden sind? Was sind ihre Beweggründe? Gibt es Hunting-Pakete, die bösartige Infrastrukturen in Ihrer Umgebung präventiv aufspüren?

Wir haben zahlreiche Fälle erlebt, in denen Kunden aus dem Finanzdienstleistungsbereich ihre Verteidigung mit hilfreichen Erkenntnissen von Recorded Future gestärkt haben.

Ein Kunde hat die T-Codes aus der Ransomware-MITRE-Übersicht im Ransomware-Dashboard von Recorded Future verwendet, um zu potenzielle Ransomware-TTPs auf dem neusten Stand zu bleiben. Das Ergebnis: Der Kunde hat Zeit gespart und sein Bedrohungsprofil verbessert.

Andere Kunden haben Warnungen zur Überwachung von Bedrohungsakteuren eingerichtet, die es auf ihre Branchenkollegen abgesehen haben, und können so die wichtigsten Bedrohungen für ihr Unternehmen priorisieren.

Herausforderung Nr. 3: Digitale Risiken

Im Jahr 2023 waren die drei wichtigsten Erstzugriffsvektoren in der MITRE ATT&CK-Matrix laut dem IBM X-Force Threat Intelligence Index Gültige Konten (T1078), Phishing (T1566) und Ausnutzung öffentlich zugänglicher Anwendungen (T1190). Dies waren mit großem Abstand die Top-Vektoren.

Dem Bericht zufolge ist die Zahl der Angriffe mit legitimen Zugangsdaten im Vergleich zum Vorjahr um 71 % gestiegen, was wahrscheinlich auf den 266 %-igen Anstieg bei der Nutzung von Infostealern zurückzuführen ist. Laut dem Adversary Infrastructure Report 2023 von Recorded Future waren RedLine Stealer und Raccoon Stealer die beliebtesten Infostealer, gemessen an der Anzahl der beobachteten einzigartigen C2-Server.

Warum sind Infostealer-Malware und kompromittierte Anmeldedaten für Bedrohungsakteure so wertvoll? Dmitry Smilyanets, Product Manager Director bei Recorded Future, schreibt in seinem Blog-Beitrag Session-Hijacking und MFA-Umgehung: „Cyberkriminelle können gestohlene Sitzungen nutzen, um sich bei Webanwendungen und -diensten zu authentifizieren, wodurch sie die Kontrollpunkte für die Multi-Faktor-Authentifizierung (MFA) umgehen können.“

Despite no longer being the top initial access vector, phishing is still prevalent. According to a brand protection report from Mimecast, brand impersonations have risen by more than 360% since 2020. This is likely due to cybercriminals using domains, corporate names, slogans, logos, and executive impersonation to create communications that look like they’re coming from legitimate financial services organizations.

Da Unternehmen ihre digitalen Kanäle weiter ausbauen und die Vorteile von Cloud-basierten Ressourcen nutzen, wachsen und verändern sich auch ihre externen Angriffsflächen ständig. Eine explosionsartige Zunahme neuer, über das Internet zugänglicher Assets, zahlreiche Cloud-Umgebungen und mehr Zugangspunkte für Remote-Mitarbeiter führen zu Problemen mit der Transparenz, die das Risiko eines Angriffs erhöhen können. Laut einem Bericht der Enterprise Strategy Group waren 76 % der Unternehmen von einem Cyberangriff betroffen, der mit der Ausnutzung eines unbekannten, nicht verwalteten oder schlecht verwalteten, per Internet zugänglichen Assets begann.

Lösung: Digitaler Risikoschutz und Expositionsmanagement

Preventing digital risks requires improving visibility into digital blind spots. Whether you’re concerned with compromised credentials, typosquat domains, or vulnerable assets, visibility is essential to monitoring, prioritizing, and remediating risks to your enterprise.

In Anbetracht der Beliebtheit von gültigen Zugangsdaten und Infostealer-Malware bei Cyberkriminellen ist es von entscheidender Bedeutung, kompromittierte Zugangsdaten zu finden und zu bereinigen, bevor sie verwendet werden können. Als der PC eines Mitarbeiters mit Infostealer-Malware infiziert wurde, nutzte Toyota Motors North America Recorded Future, um eine Vorwarnung über die kompromittierten Anmeldedaten zu erhalten und das Konto des Mitarbeiters proaktiv zu sichern, bevor Bedrohungsakteure eine große Anzahl von Versuchen unternahmen, die gestohlenen Anmeldeinformationen zu verwenden.

Die Überwachung nach Typosquat-Domains und gefälschte Anmeldeseiten kann dazu beitragen, die Wahrscheinlichkeit zu verringern, dass Ihre Mitarbeiter, Kunden oder Partner auf eine Phishing-Kampagne hereinfallen. Je nach Name Ihrer Organisation gibt es möglicherweise Dutzende oder Hunderte von Domains, die als Typo- oder Cyber-Squatting gelten könnten. Eine Möglichkeit, das Hintergrundrauschen herauszufiltern, ist der Einsatz der optischen Zeichenerkennung (OCR), um eine Webseite zu scannen, während sie erstellt oder aktualisiert wird, und nach dem Logo Ihres Unternehmens und/oder einer Anmeldeseite zu suchen. So erhielt beispielsweise eine britische Bank einen Alarm zu Missbrauch von Domänen, der dazu beitrug, eine potenzielle Phishing-Website mit einem gefälschten Anmeldebildschirm aufzudecken, sodass das Sicherheitsteam die Website löschen konnte, bevor diese für Verwirrung sorgte.

Der beste Weg, Ihre externe Angriffsfläche zu schützen, besteht darin, zu verstehen, für welche Gefährdungen Sie anfällig sind und welche von Bedrohungsakteuren aktiv ausgenutzt werden. Wenn Sie wissen, welche CVEs, Fehlkonfigurationen und zusätzlichen Risiken für Ihr Unternehmen aktiv sind, können Sie eher proaktiv als reaktiv handeln. In einem Interview mit Recorded Future sagte Matt Bittick von Cummins, dass ein erfolgreiches Risikomanagementprogramm für die Angriffsfläche Sichtbarkeit, Inventarisierung und Kartierung erfordert. „Um erfolgreich zu sein“, sagte er, „muss man nicht nur seine Probleme kennen, sondern auch wissen, wie man mit ihnen umgeht.“

Herausforderung Nr. 4: Zahlungsbetrug

Kreditkartenbetrug stellt eine erhebliche Bedrohung für Finanzinstitute dar. Laut dem Jährlichen Zahlungsbetrugs-Intelligence-Bericht: 2023 haben Betrüger mehr als 119 Millionen Zahlungskarten kostenlos oder zum Verkauf im Dark Web und anderen Quellen veröffentlicht. Im Jahr 2022 gab es einen Rückgang bei den gestohlenen Karten, die im Dark Web verkauft wurden, was wahrscheinlich auf eine Razzia gegen die Cyberkriminalität und die Invasion in der Ukraine zurückzuführen ist, aber 2023 gab es einen deutlichen Aufschwung.

Außerdem verlagerten sich die Hauptmethoden für den Diebstahl von Zahlungskarten während der Covid-19-Pandemie von Card-Present-Transaktionen (CP), die an Geldautomaten, Tankstellen, bei Händlern und mehr durchgeführt wurden, zu Card-Not-Present-Transaktionen (CNP), die online durchgeführt wurden. Im Jahr 2021 wurden 65 % der gestohlenen Zahlungskarten bei CNP-Transaktionen kompromittiert, und dieser Prozentsatz ist jetzt auf etwa 75 % gestiegen.

Laut einer Studie von Recorded Future war 2023 ein Jahr, in dem Bedrohungsakteure ihre Taktiken für den Kartendiebstahl von ahnungslosen Online-Käufern weiter verfeinert haben. Zu den neuen Taktiken gehören:

• Mehrere logische Pfade im E-Skimmer Code erschweren das Reverse Engineering
• Loader-Skripte, die E-Skimmer von Relais-URLs empfangen
• Trojanized Google Tag Manager containers in a chain-loading structure
• Verschleierte objektbasierte E-Skimmer-Infrastruktur
• Missbrauch von Telegram-Bots zur Weiterleitung von E-Skimmern und gestohlenen Daten

Lösung: Proaktive Prävention von Zahlungsbetrug

„Eines unserer Hauptanliegen ist die Betrugsbekämpfung“, sagte Christopher Martinkus. „Wir haben uns für das Payment Fraud-Modul in Recorded Future entschieden. Das ist einer der großen Erfolge, die ich in unser Budget aufnehmen konnte. Wir arbeiten daran, mehr partielle PANs (primäre Kontonummern) und vollständige PAN-Daten zusammenzutragen und dann mit unserem Betrugsteam zusammenzuarbeiten, um diese Karten und die durchgesickerten Daten einer Risikobewertung zu unterziehen, um sie entweder zu ersetzen oder eine Risikobewertung vorzunehmen.

Durch die Zusammenarbeit bei der ganzheitlichen Betrachtung des Lebenszyklus einer kompromittierten Zahlungskarte können Betrugs- und Cyber-Bedrohungsinformationsteams proaktiv betrügerische Transaktionen blockieren und Fehlalarme reduzieren.

Von der Diagnose, wann ein Händler kompromittiert wurde, über die Feststellung, dass gestohlene Kartendaten im Dark Web gepostet und verkauft werden, bis hin zur Identifizierung, dass Betrüger die Gültigkeit einer Karte durch Testhändler testen, kann Threat Intelligence Finanzinstituten helfen, einen besseren Einblick in Betrugsrisiken zu gewinnen.

Mithilfe von Threat Intelligence können auch andere Formen des Zahlungsbetrugs verhindert werden. Zum Beispiel wurden vermehrt Schecks gestohlen, um Zahlungsbetrug zu begehen, wie kürzlich in einem FinCEN-Beitrag festgestellt wurde. Recorded Future sammelt diese gestohlenen Scheckbilder im Ökosystem der Cyberkriminalität, bevor sie für Betrug verwendet werden können. Mit Hilfe von Texterkennung (OCR) ist Recorded Future in der Lage, qualitativ hochwertige Daten-Feeds gefälschter Schecks zu erstellen.

Sie können diese Informationen nutzen, um Kundenkonten zu identifizieren, deren Schecks gestohlen wurden, sowie Einzahlungen, die mit gestohlenen Schecks getätigt wurden. Auf diese Weise können Sie verhindern, dass das Geld das Konto des betroffenen Kunden verlässt, und Betrüger daran hindern, zur Verfügung gestellte Gelder zu stehlen, bevor der hinterlegte gestohlene Scheck schließlich als betrügerisch gekennzeichnet wird. So konnte beispielsweise ein nordamerikanisches Finanzinstitut proaktiv einen für betrügerische Zwecke in einem Telegram-Kanal geteilten Scheck identifizieren, bevor er verwendet wurde.

Ein CTI-Direktor eines großen nordamerikanischen Finanzinstituts sagte: „Recorded Future hat uns wirklich geholfen, Betrug einzudämmen, und viele verschiedene Interessengruppen, die unterschiedliche Aufgaben haben und nicht immer sehr häufig kommunizieren, sind sich alle darauf einig, dass sich die bereitgestellten Informationen sich für uns wirklich gelohnt haben.“

Schutz von Finanzinstituten durch Bedrohungsinformationen

„Ich denke, dass Bedrohungsinformationen in allen Branchen gleich sind“, sagte Christopher Martinkus. „Was sich unterscheidet, sind die Akteure, die es auf einen abgesehen haben, und die Motive dahinter. Wir alle haben Schwachstellen. Wir alle haben Technologien und unsere eigene Marke und unseren Ruf zu pflegen. Ich denke, letzten Endes konzentrieren wir uns alle gleichartig auf die Bedrohungen. Es geht nur darum, dass wir womöglich unseren Fokus auf andere Bedrohungen richten.“

Für Finanzdienstleister können Bedrohungsdaten den Sicherheitsteams helfen, Bedrohungen vorherzusehen, schneller auf Angriffe zu reagieren und bessere Entscheidungen zu treffen, um Risiken zu reduzieren. Indem Sie unbekannte Bedrohungen aufdecken, bessere Entscheidungen treffen und ein gemeinsames Verständnis fördern, um die Risikominderung im gesamten Unternehmen zu beschleunigen, können Sie Angriffen auf die Lieferkette, Ransomware, digitalen Risiken und Zahlungsbetrug standhalten.

For more information on how Recorded Future can elevate your security defenses, request a demo. Already a Recorded Future client and want to learn more about the latest product updates, request a free consultation.