Cyberoszustwa uderzają w zaufanie do banków. Alarm MFW

Międzynarodowy Fundusz Walutowy coraz wyraźniej łączy bezpieczeństwo cyfrowe z kondycją światowego systemu finansowego. Szybka cyfryzacja bankowości przyniosła wygodę, ale także nowe formy oszustw i zależności od wspólnej infrastruktury technologicznej. Analiza pokazuje, gdzie leżą największe ryzyka dla klientów i instytucji.

W październikowym Global Financial Stability Report MFW opisuje trzy grupy zagrożeń: możliwą korektę wycen związanych ze sztuczną inteligencją, szoki na rynku długu publicznego oraz rosnące ryzyko cybernetyczne. To nie są trzy odrębne światy. Awaria dużego dostawcy usług cyfrowych może uderzyć w bank w czasie, gdy na rynkach panuje niepewność, a klienci próbują gwałtownie przenosić oszczędności. Właśnie w takim połączeniu pojedyncze problemy techniczne mogą przeobrazić się w kryzys zaufania.

Dawniej przestępca telefonował do kolejnych osób lub rozsyłał fałszywe listy. Dziś może tworzyć wiarygodnie wyglądające wiadomości, strony i nagrania głosowe, dopasowane do języka odbiorcy. Sztuczna inteligencja pomaga automatyzować takie działania, lecz nie każde oszustwo jest skutkiem zaawansowanego AI. Nadal najważniejszym narzędziem sprawców pozostaje skłonienie ofiary do ujawnienia danych lub zaakceptowania przelewu.

Osobnym problemem jest nieuprawniony dostęp do urządzenia klienta. Przejęty telefon może posłużyć do podszywania się pod właściciela konta, a fałszywa aplikacja do wyłudzenia uprawnień. Nawet poprawnie zabezpieczony bank nie rozwiąże problemu, jeśli klient zostanie zmanipulowany poza jego systemem. Dlatego samo inwestowanie w zabezpieczenia serwerów bez edukacji użytkowników jest strategią niewystarczającą.

Współczesne instytucje finansowe korzystają z rozwiązań chmurowych, usług komunikacyjnych i zewnętrznych systemów identyfikacji. Ich efektywność bywa wysoka, ale awaria jednego operatora może równocześnie dotknąć wielu instytucji. Skala ryzyka jest trudniejsza do oceny niż zagrożenie pojedynczym atakiem na oddział banku. Trzeba sprawdzać, gdzie kończy się kontrola banku, a zaczyna zależność od kontrahenta.

Najgorszym scenariuszem nie musi być kradzież pieniędzy. Jeśli miliony osób przez kilka godzin nie mogą zrealizować płatności, rośnie niepokój, nawet gdy salda kont są bezpieczne. W takim momencie jakość komunikacji ma znaczenie równie duże jak szybka naprawa. Nieprecyzyjny komunikat może wywołać przypuszczenia o utracie depozytów, choć przyczyna jest wyłącznie techniczna.

Banki powinny ćwiczyć działanie w warunkach niedostępności części usług, weryfikować zdolność odtworzenia danych, stosować uwierzytelnianie wieloskładnikowe i sprawdzać partnerów technologicznych. Dodatkowo potrzebna jest wymiana informacji o nowych technikach ataku, bez ujawniania wrażliwych danych klientów. Równie ważny pozostaje plan prowadzenia podstawowych operacji, gdy nie działa preferowany kanał komunikacji.

MFW w trakcie jesiennych spotkań w Bangkoku omawiał międzynarodowe zasady zwalczania cyberoszustw. Takie porozumienia mogą poprawić współpracę ponad granicami, ale ich skuteczność zależy od praktyki służb, banków, operatorów telekomunikacyjnych i platform internetowych. Przestępcy wykorzystują różnice jurysdykcji oraz szybkość przesyłania środków; odpowiedź instytucji publicznych musi nadążać za tym tempem.

Zagrożeniem specyficznym dla usług finansowych jest tempo przepływu pieniędzy. Pomyłka w zakupach internetowych może zostać zauważona po kilku dniach, tymczasem oszukańcza transakcja bankowa bywa kierowana przez wiele rachunków w bardzo krótkim czasie. Skuteczna interwencja wymaga współpracy instytucji, które nie zawsze działają w tej samej strefie czasowej lub na podstawie identycznych przepisów. Dlatego współdzielenie informacji o schematach przestępstw ma duże znaczenie nawet wtedy, gdy konkretny sprawca pozostaje poza zasięgiem lokalnych organów ścigania.

Samo ograniczanie liczby cyberincydentów jest niewystarczającym miernikiem bezpieczeństwa. Liczy się także średni czas wykrycia incydentu, okres przywracania usług oraz odsetek klientów, których udało się ochronić przed skutkami ataku. Bank może zgłaszać więcej incydentów dlatego, że skuteczniej je wykrywa. Należy więc odróżniać wzrost realnej skali zagrożenia od poprawy raportowania. Taka ostrożność jest potrzebna również przy porównywaniu statystyk między krajami.

Szczególną rolę odgrywają klienci, którzy rzadziej korzystają z aplikacji cyfrowych. Przymusowe przenoszenie wszystkich czynności do internetu może pozbawiać ich dostępu do pomocy i zwiększać podatność na oszustwa. Zachowanie jasnych kanałów kontaktu, szybkiej infolinii do blokowania konta i zrozumiałych instrukcji ma więc wymiar bezpieczeństwa finansowego, a nie wyłącznie wygody klienta.

Z perspektywy użytkownika kluczowe są podstawowe zasady: nie instalować programów wskazywanych przez nieznanego rozmówcę, nie przekazywać kodów uwierzytelniających, samodzielnie oddzwaniać na oficjalny numer banku i sprawdzać odbiorców przelewów. Zastrzeżenie dokumentów może ograniczyć skutki utraty dowodu osobistego, ale nie chroni przed każdym typem oszustwa. Niezbędna jest szybka reakcja po wykryciu incydentu.

W dłuższej perspektywie bezpieczeństwo bankowości przestaje być sprawą pojedynczego działu IT. Obejmuje nadzór finansowy, odporność infrastruktury telekomunikacyjnej, edukację cyfrową i skuteczność organów ścigania. Nie da się wyeliminować wszystkich incydentów, można jednak zmniejszyć prawdopodobieństwo, że jeden błąd przerodzi się w problem całego systemu. To właśnie jest najważniejsze znaczenie ostrzeżeń Funduszu.

Istotne pozostaje rozróżnienie cyberataku na system bankowy od przestępstwa popełnionego przy wykorzystaniu legalnej aplikacji. W pierwszym przypadku zagrożone mogą być systemy lub dostępność usług, w drugim ofiara zostaje nakłoniona do wykonania operacji, której bank formalnie nie rozpoznaje jako nieautoryzowanej. Prawo i praktyka reklamacyjna traktują takie przypadki różnie, dlatego precyzyjny opis mechanizmu zdarzenia ma dla poszkodowanych duże znaczenie. Firmy finansowe powinny projektować ostrzeżenia tak, aby były zrozumiałe w chwili decyzji, a nie dopiero po utracie pieniędzy. Bez tego klient pozostaje ostatnim i często najsłabszym ogniwem obrony.