Wat zou er gebeuren als een cyberaanval onze bankrekeningen wegvaagde?

We vroegen twee experts zich een hackeraanval op het banksysteem voor te stellen om de haalbaarheid en de reacties van mensen te begrijpen.

Cyberaanval onze bankrekeningen Als er één ding is dat de tv-serie Mr. Robot ons heeft geleerd, is het dat een simpele cyberaanval niet genoeg is om de schulden van mensen kwijt te schelden, de financiële markten te destabiliseren en de rijkdom in de samenleving te herverdelen. Je hebt op zijn minst de steun nodig van een groep criminelen die banden hebben met een buitenlandse regering. Je moet alles tot in het kleinste detail plannen en zelfs plannen maken voor de vernietiging van elke vorm van papieren back-up.

Ook de gevolgen van een dergelijke aanval worden in de serie goed verbeeld: wereldwijde protesten, vernietiging van bankgegevens, inclusief die over reeds gedane hypotheekbetalingen en extreme controle op het gebruik van opneembaar contant geld (dit laatste gevolg is al een concrete realiteit voor landen als Libanon , met enorme aanhoudende economische crises).

Je hoort niet vaak over zulke catastrofale cyberaanvallen in de echte wereld. In 2016 slaagden criminele hackers die banden hadden met Noord-Korea erin om in interbancaire betalingscommunicatiesystemen in te breken en minstens een miljard dollar naar hun rekeningen te sluizen. Deze aanvallen zijn echter altijd op de een of andere manier gericht op het afpersen of stelen van sommen geld, en nooit op een destructieve aanval op een bank – laat staan ​​op de gehele banksector van een land.

Het risico van een totale aanval is hoogst onwaarschijnlijk – zo niet onmogelijk – maar de aandacht voor de IT-systemen van banken is altijd groot, zoals blijkt uit een recente waarschuwing van de centrale bank van de Europese Unie, die vroeg om de verdediging tegen aanvallen van computerwetenschappers te vergroten .

Dus wat zou er met een land gebeuren als een cyberaanval erin zou slagen alle gegevens van bankrekeningen te verwijderen? En vooral: hoe moeilijk zou het zijn om te gooien?

“Een aanval op de bankinfrastructuur is een scenario van een terroristische aanslag, waarvoor echter een overheid als actor nodig is; we kunnen ons niet voorstellen dat een eenzame wolf dit soort aanvallen alleen uitvoert, gezien de complexiteit die dit met zich meebrengt”, legt Stefano Zanero, een cybersecurity-expert aan de Polytechnische Universiteit van Milaan, uit in een telefoongesprek met Indignatie.

“Als we denken aan de enige recente aanvallen van dit type tegen een bank, denken we aan de Russische aanvallen op Oekraïne met de NotPetya-malware in 2017”, voegt Zanero toe. Het toneel van die actie was echter duidelijk anders: Oekraïne was al een tijdje het slachtoffer van cyberaanvallen door Rusland en in dat geval leek het een soort test. Volgens sommige schattingen was ongeveer 10 procent van de computers in het land getroffen en waren de gegevens onherstelbaar of volledig gewist. Onder de getroffen doelwitten bevonden zich minstens vier ziekenhuizen, energiebedrijven, luchthavens, banken en betalingssystemen.

De moeilijkheid bij het lanceren van een cyberaanval op een bank houdt rechtstreeks verband met de reden voor het bestaan ​​van bankservers. “ Het banksysteem slaat feitelijk geld op in de strikte zin van het woord. De numerieke weergave op onze bankrekeningen is letterlijk ons ​​geld”, vervolgt Zanero. “Ze zijn van moment tot moment de weergave van waar ons geld is.” Het is om deze reden dat er geen testrekeningen kunnen worden aangemaakt in banksystemen: die rekening zou geld bevatten dat uit het niets zou worden gecreëerd.

“Gezien hun belang voor de monetaire stabiliteit zijn de banksystemen goed beschermd”, stelt Zanero gerust.

Als we aan het IT-systeem van een bank denken, moeten we ons een complexe structuur voorstellen: er zijn de computers van individuele werknemers in de verschillende kantoren, die van bedrijven die IT-ondersteuning of andere diensten aanbieden, maar er zijn ook systemen waarmee we communiceren via internet, zoals ons thuisbankieren. En dan zijn er nog de backend-systemen, die feitelijk de geldstroom registreren en opslaan, de representatie van de werkelijkheid.

“Als je het over een cyberaanval hebt, moet je begrijpen waar je het over hebt: om alles te vernietigen kunnen we denken aan een aanval van het type ransomware (die de gegevens versleutelt waardoor deze onleesbaar worden, red. ) of een wiper (die de bestanden elimineert). volledig, red .)”, vervolgt Zanero, maar het resultaat zou hetzelfde zijn: vanuit technisch haalbaarheidsoogpunt is het vrijwel onmogelijk om de backend in gevaar te brengen.

“Deze systemen zijn ontkoppeld, er zijn redundante back-ups op verschillende gebieden geplaatst en bovendien moeten de banken specifieke beveiligingseisen respecteren om de veerkracht van de systemen te garanderen”, legt Zanero uit.

Een klassiek cyberaanvalscenario houdt in dat een crimineel de inloggegevens van een bankmedewerker steelt, die ze mogelijk online te koop hebben gevonden of via een phishing-aanval hebben verkregen .

Eenmaal binnen zou het in staat moeten zijn de interne infrastructuur te begrijpen, zich lateraal tussen de verschillende computers en servers te verplaatsen en misschien de pc van de persoon te infecteren met de mogelijkheid om met de gegevens te knoeien. In feite hebben niet alle medewerkers hetzelfde toegangsniveau als het gaat om het doorvoeren van deze wijzigingen.

Bovendien, zo specificeert Zanero, “verhinderen de systemen die deel uitmaken van het banksysteem dat één persoon onomkeerbare veranderingen doorvoert, dus het is niet genoeg om een ​​gebruiker in gevaar te brengen.”

“Niets is onkwetsbaar, maar het wissen van alle gegevens betekent duidelijk dat de complexiteit van de aanval toeneemt”, herhaalt Zanero. Zonder te bedenken dat het dan nodig zou zijn om de aanval op alle Italiaanse banken te lanceren als we trouw willen blijven aan ons oorspronkelijke idee.

Er zijn echter verschillende scenario’s die we als eenvoudiger zouden kunnen beschouwen, zoals bijvoorbeeld ‘compromisoperaties’, legt Zanero uit. In feite zijn er individuele kritieke punten die, als ze getroffen worden, het risico lopen aanzienlijke ongemakken te veroorzaken, zelfs zonder dat alle gegevens van betaalrekeningen worden verwijderd. Deze knooppunten zijn bijvoorbeeld interbancaire communicatiesystemen, het voorwerp van de aanval van Noord-Korea, of zelfs creditcardbetalingssystemen.

In april 2022 ondervond het NEXI-betalingscircuit, de belangrijkste beheerder van elektronische betalingen in Italië, een verstoring van bijna een half uur waardoor betalingen met Pos en enkele geldautomaten in heel Italië werden geblokkeerd. De verstoring had niets anders te maken dan met een criminele aanval.

Een aanval op één van deze cruciale knooppunten zou nog genoeg chaos veroorzaken om de bevolking bang te maken: denk aan een verstoring van een paar dagen met onze online betalingen.

Als we echter trouw willen blijven aan de hypothese dat een crimineel erin slaagt alle gegevens van de betaalrekeningen te verwijderen, zouden er nog steeds oplossingen zijn die we ‘laatste redmiddel backups’ zouden kunnen noemen, concludeert Zanero. Deze back-ups zouden niet de laatste transacties bevatten, ze zouden worden bijgewerkt naar voorgaande dagen, maar ze zouden u nog steeds in staat stellen weer operationeel te worden. Het is duidelijk dat het herstel niet snel zal plaatsvinden.

De gevolgen van de mediapaniek als gevolg van een hackeraanval

Nu we hebben vastgesteld dat een dergelijke aanval vrijwel onmogelijk is, kunnen we ons nog steeds voorstellen hoe de kranten zouden reageren enkele ogenblikken nadat de storingen zich verspreidden en het nieuws over het op nul zetten van de rekeningen uitlekte. Om dit te doen kunnen we vertrouwen op recente gebeurtenissen met betrekking tot andere cyberaanvallen.

Volgens Carola Frediani, journalist en schrijfster van de nieuwsbrief en redactioneel project Guerre di Rete , zou de jacht op de dader beginnen: “De media zouden onmiddellijk proberen de oorsprong van de aanval toe te schrijven, het zou een opeenvolging zijn van niet-geverifieerde toeschrijvingen, onder vermelding van bijvoorbeeld bronnen van inlichtingen.”

Deze aanpak zou duidelijk problematisch zijn. Bij goed geplande cyberaanvallen is het moeilijk om de dader te vinden, omdat criminelen technologieën gebruiken om onderzoekers op het verkeerde been te zetten. Maar het grootste probleem is volgens Frediani dat deze jacht op attributie alleen maar zou dienen om de aandacht te verleggen. “Wat lezers nodig hebben, is een vraag beantwoorden: is ons geld er nog? Lopen wij geen risico? Elke institutionele of bancaire communicatie zou hierop gericht moeten zijn”, verduidelijkt Frediani.

Het zou van fundamenteel belang zijn om bijvoorbeeld uit te leggen dat de rekeningen van burgers worden beschermd of om transparanter te zijn over de situatie na de aanval. “Omdat er anders, vooral als er een regering van een ander land achter de aanvaller staat, vruchtbare grond overblijft voor een desinformatieoperatie”, legt Frediani uit. Stel je voor dat er duizenden gesproken notities via WhatsApp worden verzonden die tot nog meer alarmisme zouden kunnen leiden. “Het zou heel gemakkelijk zijn om alarm en paniek te veroorzaken, vooral als mensen geen toegang meer zouden hebben tot hun accounts en niet konden zien wat er nog over was”, voegt Frediani toe.

Aan de kant van degenen die de aanval hebben gelanceerd, is de situatie echter compleet anders. “Niemand zou de aanval publiekelijk aankondigen, maar we kunnen ons voorstellen dat een nepgroep hacktivisten uit het niets komt met een nieuw aangemaakt Twitter-profiel en de verantwoordelijkheid voor de acties opeist, een beetje zoals wat er in 2016 met Guccifer2.0 gebeurde tegen de Democratische Partij Amerikaan”, legt Frediani uit. Guccifer2.0 is de gebruikersnaam van de vermeende hacker waarachter de Russische inlichtingendiensten zich feitelijk schuilhielden .

“De verwarring zou duidelijk een vruchtbare voedingsbodem zijn voor verdere oplichting, maar ook voor de verspreiding van ongevraagd advies”, zegt Frediani, die de tweets van Elon Musk veronderstelt waarin hij banken uitnodigt om cryptocurrency-systemen te updaten of te gebruiken. “Onder dat soort tweets zou zich een hele reeks oplichters schuilhouden die, met behulp van gehackte profielen, zouden aanraden om geld te besteden aan digitale oplichting.” 

Maar om terug te komen op de reactie van de bevolking: “Als we ons een lange en onbepaalde periode voorstellen waarin mensen geen toegang hebben tot thuisbankieren of zelfs tot geldautomaten, en op dat moment niet alleen hun geld niet kunnen opnemen, maar zelfs niet kunnen controleren hoeveel Als ze op de bank staan,” vervolgt Frediani, “zouden we geconfronteerd worden met een sociale en politieke context die grenst aan de noodtoestand.” Een situatie die zou kunnen leiden tot straatprotesten met als gevolg politieoptreden. 

De scenario’s van een apocalyptische aanval op het hele nationale banksysteem blijven daarom slechts aan de verbeelding overgelaten, maar dit betekent niet dat sectorexperts er geen rekening mee houden. Accenture, een bedrijf dat cyberbeveiligingssystemen aanbiedt, benadrukt in zijn rapport uit 2021 over ‘extreme maar plausibele bedreigingen’ in de financiële dienstverlening hoe ransomware-aanvallen steeds destructiever worden: in sommige gevallen geven de criminelen, ondanks het losgeld, de gegevens niet terug of staken zonder een betalingsverzoek achter te laten.

Er blijven andere infrastructuren over die niet zo beschermd zijn als de banksector, maar die nog steeds gevoelige doelwitten vormen – zoals ziekenhuizen, of energiecentrales en energienetwerken. Zelfs als we, voordat we weer gaan ruilen, meer moeten wachten op een krachtige zonnestorm dan op een hackeraanval op banken, is het duidelijk dat we afhankelijk zijn van systemen die essentieel zijn om veilig te blijven.