Авторские материалы «Дыры» для хакеров: российские банки рискуют потерять данные из-за отмены поддержки Windows 7

Банки не успели поменять Windows, и теперь у них проблемы. На этой неделе компания Microsoft окончательно отказалась от поддержки седьмой версии операционной системы. Те банки, которые продолжают ею пользоваться, формально нарушают закон. Кроме того, отсутствие обновлений потенциально грозит хакерскими атаками и утечками данных. Эксперты отмечают, что старые версии Windows стоят на всех рабочих машинах, включая банкоматы. Насколько велика угроза, выяснял обозреватель “Вестей FM” Валерий Емельянов.

Компьютеры банков остались без обновлений. Представители финансовой отрасли подсчитали, что у них на старой версии Windows осталась примерно пятая часть всего парка офисной техники. Физически такие компьютеры могут работать, как и обычные с домашней версий операционной системы, но по факту их лицензия больше не действует, и для работы, особенно с секретной информацией, они небезопасны.

Такая проблема встала даже перед крупными банками: у одних новая версия системы оказалась несовместима с их рабочими программами, у других слишком слабые компьютеры, и их нужно менять вместе с операционкой. В результате львиная часть банковского сектора сейчас уязвима перед хакерскими атаками, говорит гендиректор компании Zecurion Алексей Раевский.

РАЕВСКИЙ: С каждым днем они будут становиться все более уязвимыми, “дырявыми” и доступными для взломщиков. По опыту “эпидемий” предыдущих лет (например, шифровальщиков WannaCry и NotPetya) можно сказать, что необновление вовремя операционных систем может привести к таким вот печальным последствиям, которые несут миллионные и миллиардные убытки.

Затраты на обновление систем и компьютеров оценивают примерно в 15 миллиардов рублей на всю финансовую отрасль. Для крупных банков это не критичная сумма, для мелких и средних – довольно значимая. Те, кто не успели поставить новый софт и технику, какое-то время еще могут находиться на платном обслуживании. Это опция, которую компания Microsoft предоставляет крупным клиентам. Она по-прежнему присылает обновления и латает “дыры” в каждой отдельно проданной копии старой системы, но уже за отдельную плату.

Использовать компьютеры без обновлений запрещено в принципе. Существуют стандарты ЦБ, которые обязывают банки обновлять информационные системы. За неисполнение вводят крупные штрафы. Впрочем, у банков есть возможность на этом сэкономить, если обновить только те компьютеры, которые находятся в распоряжении службы кибербезопасности. Комментирует технический директор Check Point Software Technologies Никита Дуров.

ДУРОВ: Насколько я знаю, законодательство распространяется только на системы защиты. Они должны поддерживаться и иметь контракт техподдержки с вендором. Также осталась опция техподдержки для Windows 7 от Microsoft за дополнительную плату.

Но банки – это не только офисы, но также и многотысячная сеть банкоматов и обслуживающих терминалов. В большинстве своем они тоже работают на версии Windows, ядром которой была «семерка». На сайте Microsoft по этому поводу отдельно сказано, что у версий операционной системы для банкоматов и бензоколонок – свой
“жизненный цикл”, то есть им поддержку не отключают. Что, впрочем, не мешает хакерам продолжить безнаказанно искать “дыры” в морально устаревающей «семерке». По опыту прошлых лет, когда менялось поколение Windows, можно предположить, что серьезных проблем на старых устройствах не будет. За этим сейчас неплохо следят, поэтому кража данных через старые, необновленные банкоматы маловероятна, добавляет Никита Дуров.

ДУРОВ: В банкоматах обычно используется специальная версия Windows Embedded, которая имеет ограниченный функционал. И плюс всегда используются системы защиты для банкоматов поверх этой системы. Так что в целом это должно быть безопасно.

По словам экспертов, главной угрозой в плане утечек остаются люди, а не машины. Базы с персональными данными клиентов обычно продают сами сотрудники. Фактор хакерской атаки, скорее, вспомогательный. Если в системе есть “дыры”, то они позволяют взломщикам собрать только первичную информацию. Но для того, чтобы они получили доступ к деньгам граждан, обязательно нужен сотрудник, который «сольет» недостающие данные, нарушив тем самым закон. Никакие обновления и антивирусы от этого не спасают.