Французский банк Crédit Mutuel Arkéa восстановил работу систем после кибератаки, которая затруднила обслуживание клиентов в течение нескольких дней. По заявлению банка, финансовые средства клиентов не пострадали — доступ к счётам и операциям был восстановлен полностью. Основной ущерб оказался операционным: длительный простой систем, потери на обработке платежей и потенциальная репутационная стоимость.
Атака была осуществлена через платформу стороннего поставщика услуг, что говорит о старой проблеме банковского сектора — уязвимости в цепи поставок. Злоумышленники получили доступ не к самой банковской инфраструктуре, а к интегрированной внешней системе, используемой для коммуникации или обработки данных. Это типичный вектор атак на крупные финансовые организации: проще пробить оборону неприметного контрактора, чем атаковать защищённую напрямую целевую систему.
Банк сейчас в процессе оценки полного масштаба убытков и определения, какие данные были скомпрометированы. Обычно в таких случаях речь идёт о персональных данных клиентов, информации о счётах или истории операций — при этом сами деньги остаются защищены льготным режимом банковского хранения. Но даже утечка данных может привести к штрафам, судебным искам и оттоку клиентов.
Для европейского банковского регулятора это очередное свидетельство того, что требования к кибербезопасности поставщиков услуг недостаточно строги. На практике крупные банки вынуждены сами аудировать и переаудировать системы своих контрактников, но не все это делают с нужной тщательностью.
Для российского финансового сектора эта история подтверждает известный риск: по мере роста объёмов обработки данных в облаке и на платформах интеграторов растёт и опасность. Российские банки активнее переводят операции в облако и используют сервисы третьих лиц — той же Яндекс.Облако или более узких провайдеров платёжных и интеграционных решений. Стоит дважды проверить контракты и SLA с поставщиком, включив туда требования к их собственной кибербезопасности, инцидент-менеджменту и уведомлению при взломах.
История Arkéa показывает и то, что восстановление после такого инцидента заняло ощутимое время — это был не часовой простой, а многодневный. Для банка это критично: любой день простоя стоит денег и лояльности клиентов. Вывод прозаичен, но работающ: нужны резервные каналы обслуживания, локальные копии критичных систем и план отказоустойчивости, который проверяют на практике, а не только на бумаге.
Алексей Мартыненко
Главный редактор SPV News
Главное здесь не пострадавшие данные, а то, что большой банк несколько дней не мог нормально работать из-за взлома чужой системы. Это показывает, насколько мы зависимы от надёжности наших поставщиков — и почему просто заключить контракт недостаточно. Нужна постоянная верификация их безопасности, иначе риск остаётся высоким.