金融服務業成為網路攻擊首選目標的 3 大原因以及防禦方式

網路攻擊越來越複雜，數量也越來越多，駭客的目標鎖定變得更具策略性，並專注於最大效益和獲利。隨著全球網路攻擊的數據持續湧入，也能看出金融服務業已成為駭客的頭號鎖定目標。雖然金融服務業在網路安全人員、工具和相關投資方面的支出持續超過其他產業，不過網路攻擊仍然持續發生。

Palo Alto Networks整理了金融服務業成為網路攻擊頭號目標的3個關鍵原因，以及最常見的網路攻擊類型，並針對企業的防禦方式提出建議。

金融服務業成為網路攻擊的頭號目標原因：

1.          鎖定有能力支付大筆贖金的金融服務業

金融服務業成為網路威脅者偏好鎖定的目標並非巧合。擁有大量金融和數據資產的金融服務業是最佳目標，這些組織不僅控制和管理有價值的數據，而且也必須滿足客戶持續對絕佳數位體驗的需求。

2.          數位轉型正在擴大攻擊範圍

客戶對於輕鬆即時取得金融數據的需求正在推升金融服務業的數位轉型。雲端技術、數據分析和機器人正在成為大型組織因應數位經濟挑戰和客戶期望的重要工具。但是這些新技術擴大了攻擊範圍和網路威脅者利用弱點的能力。

相較於大型機構，小型金融機構（包括信用合作社和資產經理人）可能沒有足夠的IT或安全人員在現場提供深入的網路安全服務。這些較小的公司也可能使用電子郵件進行金融交易，這為網路威脅者提供了介入交易流程的機會。

3.          保護數位資產具有挑戰性

保護數位資產不是件一勞永逸的事，而是需要持續的監控和管理，藉以加速數位環境和現用系統的持續演變。部署 IT 基礎設施需要時間和專業知識。這需要組織尋找合適的團隊成員，透過新流程來教育和帶領組織。此外，監控和管理數據安全需要持續的訓練、弱點測試並專注於領先因應新的威脅和持續發展的威脅。隨著採用新的雲端技術，團隊成員也必須了解「共擔責任模型」以及如何執行雲端安全控制和保護敏感數據的其他設定。

哪些類型的攻擊會威脅金融服務業？

金融服務業受到各種威脅類型的影響，包括公司電子郵件入侵（business email； BEC compromise）和內部威脅。

按照 FBI 的說法，BEC 是「精心設計的騙局，鎖定執行合法資金轉移請求的企業和個人。」為了設下這類騙局，攻擊者經常會入侵合法電子郵件帳戶來執行未獲授權的資金轉移，不過 BEC 也可能包括其他變體。由於可以直接從網際網路存取如此多的電子郵件帳戶，遭竊的憑證不僅會導致資金損失，也會導致敏感數據洩露。

在意外洩露敏感數據方面，金融服務業也受到不成比例的影響，敏感數據的意外洩露通常是由於雲端設定或網路應用程式的錯誤設定所致。由於金融服務業嚴重仰賴雲端解決方案和客戶適用的應用程式來加速數據管理和客戶服務模型，因此發生錯誤的機率也會增加。網路威脅者持續尋找這類機會來利用洩漏的數據。

金融服務業如何阻止網路攻擊？

為了妥善保護金融服務業免於網路攻擊的威脅，實施網路安全措施和安全最佳實務，包括零信任、多因子驗證（multi-factor authentication ；MFA）及DevSecOps等等是非常重要的。

進行網路安全測試和訓練也很重要。這包括每年進行兩次超越基礎要點的深入安全意識訓練，以便員工學習如何發現進階威脅策略。訓練計劃應該包括針對公司個別群組的自訂模組，說明他們會如何遭到攻擊。訓練範例應該涵蓋進階網路釣魚技術 (每次都變得愈來愈複雜)、廣泛的社交工程策略、內部威脅活動的跡象 (包括匿名報告問題的方法) 和實體安全性。

任何產業都有弱點，不過金融服務業因為其控制的金融和數據資產而經常淪為網路攻擊的目標。確保針對正確的領域進行資安投資，並對員工進行適當訓練，藉以監控和管理威脅，將有助於金融服務業更切實地因應大量駭客入侵。