SWIFT-Three_years_on_from_BangladeshTackling_the_adversaries_8页_136kb

详细总结：Three years on from Bangladesh

核心内容概述

本文档回顾了自2016年孟加拉国央行遭受SWIFT网络攻击以来，全球金融行业在应对网络威胁方面的进展和变化。SWIFT通过其客户安全计划（CSP），推动了行业内的合作与信息共享，以增强整体网络安全防御能力。文档重点分析了攻击者在目标银行、金额、侦察行为、时间安排、消息类型、货币使用和受益人账户等方面的策略演变，并提出了加强防御的建议。

主要观点

• SWIFT客户安全计划（CSP）：自2016年孟加拉国事件后，SWIFT迅速启动了CSP，通过建立客户安全情报（CSI）团队，加强了行业内的信息共享和威胁检测。

• 攻击者策略演变：

  • 目标银行：多数攻击目标为较小的跨境交易银行，且多位于高风险地区（如非洲、中亚、东南亚、拉丁美洲）。
  • 金额：攻击者逐渐减少单笔交易金额（从数千万美元降至0.25MUSD至2MUSD），以避免触发反欺诈系统。
  • 侦察行为：攻击者常在目标银行系统内潜伏数月，进行行为分析，以准备后续攻击。
  • 时间安排：攻击者尝试在非工作时间或节假日发送交易，或在工作时间混入正常流量，以逃避检测。
  • 消息类型：MT103（单客户信用转账）是攻击者最常使用的消息类型。
  • 货币使用：美元仍占主导地位（约70%），但欧元、英镑等欧洲货币使用率上升，亚洲货币（如港币、澳元、日元）也有少量使用。
  • 受益人账户：受益人多集中在亚太地区，83%的欺诈交易指向该区域的账户。

• 防御机制：

  • SWIFT Daily Validation Report：帮助银行检测异常交易流量，识别新走廊或大额偏离。
  • Payment Controls Service：允许银行设置监控规则，防止非合规的支付指令传输。
  • 反欺诈系统：客户反欺诈系统和异常检测机制在许多案例中成功阻止了攻击。

• 协作与合规：

  • SWIFT鼓励金融机构与行业专家（如反病毒公司、事件响应团队）合作，提升威胁识别能力。
  • 通过Know Your Customer - Security Attestation (KYC-SA) 工具，支持客户进行安全合规自评，并与交易对手共享安全状态信息，以管理对手的网络安全风险。

关键信息

• 攻击趋势：

  • 攻击多集中于高风险地区的小型银行。
  • 攻击者通过新支付走廊或现有走廊的大额偏离来规避检测。
  • 攻击时间从非工作时间转向工作时间，现金提取速度加快。

• 防御建议：

  • 金融机构应加强业务与安全信息的整合，利用异常行为识别技术。
  • 使用SWIFT提供的工具（如Daily Validation Report、Payment Controls Service）进行实时监控和风险评估。
  • 建立完善的网络安全事件响应计划，以确保在攻击发生时能够快速应对，减少损失。

• SWIFT角色：

  • 提供安全标准与框架（如CSCF），帮助客户提升系统安全性。
  • 推动全球信息共享，通过ISAC平台提供威胁情报。
  • 促进行业协作，与反病毒公司、事件响应团队等合作，提升整体防御水平。

结论

自2016年孟加拉国事件以来，全球金融行业在应对网络威胁方面取得了显著进展。SWIFT通过CSP推动了行业协作与信息共享，提升了整体网络安全水平。然而，攻击者也在不断进化，采用更隐蔽的策略以规避检测。因此，金融机构必须持续加强防御机制，提升对网络风险的识别与管理能力，确保在快速支付环境下仍能有效防范欺诈行为。