Bankenkrise : Anthropics KI findet alte Sicherheitslücken

Etwas Gro­ßes ist gera­de in der Welt des Bank­we­sens pas­siert. Anthro­pics KI-Prü­fer hat Sicher­heits­lü­cken auf­ge­deckt, die mensch­li­che Exper­ten jahr­zehn­te­lang über­se­hen haben. Es han­delt sich nicht um klei­ne Ris­se , sie betref­fen Mil­lio­nen von Kun­den und gan­ze Finanz­sys­te­me. Wie konn­ten so schwer­wie­gen­de Män­gel so lan­ge ver­bor­gen blei­ben ? Und was noch wich­ti­ger ist : Was pas­siert als Nächstes ?

Bankensicherheitskrise entfaltet sich

Ban­ken blu­ten aus. Ran­som­wa­re-Angrif­fe kos­ten Insti­tu­te in einem ein­zi­gen Vor­fall zig Mil­lio­nen Dol­lar, Mit­ar­bei­ter­zu­gangs­da­ten öff­nen Türen, die selbst hoch­ent­wi­ckel­te Hacker nie­mals hät­ten auf­bre­chen kön­nen, und Dritt­an­bie­ter wer­den still und lei­se zu den schwächs­ten Glie­dern im gesam­ten Finanz­sys­tem. Die Bedro­hun­gen, die den glo­ba­len Ban­ken­sek­tor der­zeit tref­fen, sind nicht theo­re­ti­scher Natur , sie sind aktiv, neh­men zu und set­zen Mil­lio­nen von Kun­den Kon­se­quen­zen aus, die von gesperr­ten Kon­ten bis hin zu gestoh­le­nen Iden­ti­tä­ten rei­chen. Zu ver­ste­hen, was wirk­lich in die­sen Schwach­stel­len vor­geht, ist für jeden, der Geld bei einer Bank hat, kei­ne Opti­on mehr. Finanz­dienst­leis­tun­gen zäh­len durch­ge­hend zu den am stärks­ten von Cyber­an­grif­fen betrof­fe­nen Sek­to­ren, was die Bran­che zu einem dau­er­haf­ten und hoch­ris­kan­ten Schlacht­feld für Ver­tei­di­ger und immer aus­ge­feil­te­re Bedro­hungs­ak­teu­re macht.

Schwachstellen im Bankensystem jetzt offengelegt

Finanz­in­sti­tu­te sehen sich einer sich beschleu­ni­gen­den Kon­ver­genz von Bedro­hun­gen gegen­über, die tief­grei­fen­de struk­tu­rel­le Schwä­chen in der Iden­ti­täts­ve­ri­fi­zie­rung, der Zah­lungs­in­fra­struk­tur und den zen­tra­len Bank­an­wen­dun­gen offenlegen.

Ver­al­te­te Iden­ti­täts­prü­fun­gen , ein­schließ­lich Ein­mal­pass­codes und manu­el­ler Daten­ein­ga­be , sind bei vie­len Ban­ken nach wie vor gän­gi­ge Pra­xis und schaf­fen Ein­falls­to­re für Kri­mi­nel­le, die per­sön­li­che Daten aus Daten­pan­nen und Dark­net-Märk­ten abschöp­fen. Syn­the­ti­sche Iden­ti­tä­ten und Mule-Kon­ten ver­schie­ben gestoh­le­ne Gel­der dann durch Lücken, die ver­al­te­te Veri­fi­zie­rungs­sys­te­me nicht erken­nen. Mul­ti-Fak­tor-Authen­ti­fi­zie­rung bie­tet teil­wei­sen Schutz, doch ihr Wert bricht zusam­men, wenn die zugrun­de­lie­gen­de Iden­ti­täts­prü­fung kom­pro­mit­tiert ist.

Auf der Zah­lungs­ebe­ne hat die Echt­zeit-Abwick­lung die Erken­nungs­fens­ter eli­mi­niert, auf die Betrugs­be­kämp­fungs­teams zuvor ange­wie­sen waren. Gel­der wer­den jetzt in Sekun­den bewegt, ohne Spiel­raum für manu­el­le Über­prü­fung. API-Schwach­stel­len, Man-in-the-Midd­le-Angrif­fe, Ses­si­on-Hijack­ing und Toke­ni­sie­rungs­feh­ler ver­schär­fen die Expo­si­ti­on und set­zen die Trans­ak­ti­ons­in­te­gri­tät dau­er­haft unter Druck.

Zen­tra­le Bank­an­wen­dun­gen zei­gen par­al­le­le Schwä­chen. Cross-Site-Scrip­ting und XML Exter­nal Enti­ty-Schwach­stel­len sind weit ver­brei­tet. In einer doku­men­tier­ten Stu­die wur­den zwei Drit­tel der in auto­ma­ti­sier­ten Ban­ken­sys­te­men ent­deck­ten Schwach­stel­len als kri­tisch ein­ge­stuft, wobei etwa ein Drit­tel der betrof­fe­nen Anwen­dun­gen akti­ven Betrug ermöglichte.

Sys­te­mi­sches Risi­ko fügt eine wei­te­re Dimen­si­on hin­zu. Über­mä­ßi­ge Ver­schul­dung, kurz­fris­ti­ge Finan­zie­rung illi­qui­der Ver­mö­gens­wer­te und eine hohe Ver­net­zung zwi­schen Ban­ken schaf­fen Bedin­gun­gen, unter denen sich Aus­fäl­le ein­zel­ner Insti­tu­te schnell aus­brei­ten. Sowohl die Fede­ral Reser­ve als auch das Office of Finan­cial Rese­arch unter­hal­ten akti­ve Über­wa­chungs­rah­men, die Dut­zen­de von Indi­ka­to­ren in die­sen Kate­go­rien verfolgen.

Social Engi­nee­ring, Ran­som­wa­re, Insi­der-Bedro­hun­gen und DDoS-Kam­pa­gnen set­zen die Betriebs­kon­ti­nui­tät wei­ter­hin unter Druck. Least-Pri­vi­le­ge-Zugriffs­kon­trol­len und struk­tu­rier­te Mit­ar­bei­ter­schu­lun­gen blei­ben im Ver­hält­nis zum aktu­el­len Bedro­hungs­vo­lu­men unzu­rei­chen­de Maß­nah­men. Scheck­ver­lus­te durch Betrug haben sich in fünf Jah­ren ver­dop­pelt und erreich­ten 2023 24 Mil­li­ar­den Dol­lar , ein Beleg dafür, wie tra­di­tio­nel­le Zah­lungs­ka­nä­le trotz jahr­zehn­te­lang bekann­ter Schwach­stel­len gefähr­lich expo­niert bleiben.

Quellenangabe

• https://www.youtube.com/watch?v=hHisDXxNBZQ
• https://www.alert-software.com/blog/cybersecurity-in-banking
• https://www.linkedin.com/pulse/fraud-crisis-banking-much-bigger-than-we-thought-heres-why-r1usf
• https://www.cybersecuritydive.com/news/vendors-confront-bank-crisis-consequences/645207/
• https://www.securitymagazine.com/articles/99120-how-banks-elevate-security-in-the-modern-threat-landscape
• https://www.lightico.com/blog/new-survey-banks-are-losing-business-due-to-bulky-security-measures/
• https://www.garda.com/articles/top-5-security-concerns-of-modern-financial-institutions
• https://www.bankinfosecurity.com
• https://www.cisa.gov/topics/critical-infrastructure-security-and-resilience/critical-infrastructure-sectors/financial-services-sector
• https://www.worldbank.org/en/publication/gfdr/gfdr-2016/background/banking-crisis