É o pior pesadelo de todo chefe do banco: um telefonema em pânico informa que um ataque cibernético prejudicou o sistema de TI, desencadeando rapidamente o caos em todo o setor financeiro do Reino Unido.
Como nomes domésticos em outras indústrias, incluindo Marks & Spencer, luta com as consequências de tais hacks, os executivos bancários estarão cientes de que, para eles, as apostas são ainda mais altas.
Poucas horas depois de um hack de sucesso, milhões de débitos diretos podem falhar, deixando os aluguéis, hipotecas e salários não pagos. Os bancos on -line podem ser bloqueados, as retiradas do caixa por caixa negadas e os passageiros deixados no limbo à medida que os ônibus e os postos de gasolina rejeitam os pagamentos. As notícias do ataque podem despertar pânico, levando a uma corrida sobre os credores rivais, à medida que os clientes retiram dinheiro de suas contas em meio a medo de que a interrupção possa se espalhar.
Essa situação pode parecer absurda, mas não está muito longe do “pior cenário razoável” do governo se um sofisticado ciber-ataque atingido um grande banco no Reino Unido. Com o setor financeiro entre 14 setores categorizados como “infraestrutura nacional crítica”, não é surpresa que um hack esteja listado no Registro Nacional de Risco, que modela algumas das maiores ameaças que o Reino Unido enfrenta.
Bilhões de libras estão sendo gastos impedindo o tipo de ataques devastadores que fecharam os sistemas em três varejistas, Harrods, The Co-op e M&S, nesta primavera.
“A quantidade de dinheiro [that] Os bancos, todos nós, gastaremos em nossos sistemas é enorme hoje. E tem que ser ”, disse o diretor executivo do HSBC do Reino Unido, Ian Stuart, ao MPS no mês passado.” Estamos sendo atacados o tempo todo “.
Somente o HSBC está tendo que investir centenas de milhões de libras para se proteger, disse Stuart. “Esta é a nossa maior despesa.”
Globalmente, os bancos devem alocar 11% de seus orçamentos de TI para a segurança cibernética em 2025, de acordo com um estudo da EY. Com os orçamentos de TI previstos para atingir US $ 290 bilhões (£ 214 bilhões) este ano, de acordo com o órgão de pesquisa Celent, os bancos podem acabar gastando US $ 32 bilhões em segurança cibernética até dezembro.
É uma nova era para os bancos de rua, à medida que os assaltos a melhor evoluir de criminosos em balaclavas atingindo ramos e abóbulos físicos para hackers patrocinados pelo Estado e grupos cibernéticos independentes que procuram pagamentos de resgate ou apenas causar interrupções em massa.
“Os bancos entenderam o risco muito melhor do que provavelmente muitos outros setores. Eles investiram muito mais em segurança”, disse Stuart McKenzie, diretor-gerente da Mandiant Consulting, uma empresa de segurança cibernética do Google que trabalha em estreita colaboração com vários credores no Reino Unido.
No mês passado, o governador do Banco da Inglaterra disse à BBC que a segurança cibernética era um risco que nunca estava desaparecendo porque evoluiu continuamente. “Estamos lidando com maus atores que refinam continuamente as linhas de ataque. E eu sempre tenho que dizer às instituições: ‘Você precisa continuar trabalhando nisso'”, disse Andrew Bailey.
No entanto, proteger os sistemas é uma tarefa complexa. A maioria dos bancos de rua opera em um sistema de TI semelhante à cebola, com camadas e camadas de atualizações, patches e complementos. Jogue o software de terceiros e os provedores de nuvem na mistura, e os bancos ficam jogando Whack-A-Mole.
“Chamamos isso de superfície de ataque”, disse Alan Woodward, professor e especialista em segurança cibernética da Universidade de Surrey. “A superfície de ataque realmente aumentou, portanto, as oportunidades para os invasores tentarem procurar maneiras também aumentaram”.
Até o momento, nenhum hacks de banco foi perturbador o suficiente para levar um país a uma parada econômica – embora o Blackout de April na Península Ibérica tenha exposto como as sociedades modernas dependentes são de pagamentos digitais. Onde hackers tiveram sucesso, eles costumam ter dados e contas dos clientes dos bancos direcionados.
Em 2021, os atacantes do Banco dos EUA Morgan Stanley roubaram informações pessoais pertencentes a seus clientes corporativos, invadindo um servidor usado por uma empresa de consultoria de terceiros.
Um ano antes, no início da pandemia da Covid, os atacantes se apossaram de caixas de correio da equipe no banco estatal italiano Monte Dei Paschi e enviaram e-mails para clientes com anexos de correio de voz.
Enquanto isso, um dos hacks mais devastadores de um banco no Reino Unido ocorreu em 2016, quando os criminosos encontraram uma maneira de adivinhar os detalhes do cartão bancário e roubar quase 2,5 milhões de libras em 9.000 contas no Tesco Bank. A Tesco foi forçada a interromper todas as transações de cartões on -line e sem contato depois de lutar para bloquear compras falsas que ocorrem em todo o mundo, incluindo Espanha e Brasil.
O Tesco Bank acabou reembolsando os clientes integralmente.
O Centro Nacional de Segurança Cibernética diz que os clientes que suspeitam de um hack devem entrar em contato com o banco usando o site oficial ou os canais de mídia social e evitar o uso de links ou detalhes de contato que eles foram enviados. A organização deve poder confirmar se um hack realmente ocorreu, como eles foram afetados e o que precisam fazer a seguir.
O Banco da Inglaterra tentou ficar um passo à frente. Os formuladores de políticas reconheceram oficialmente a segurança cibernética como um risco para a estabilidade financeira em 2013 e começaram a implementar padrões de resiliência cibernética para todos os bancos e seguradoras regulamentadas sob sua supervisão.
Após a promoção do boletim informativo
Isso envolveu o lançamento do “CBEST”, um esquema mundial no qual os hackers éticos testam as vulnerabilidades potenciais de um único banco com um ataque de ponta.
“Nada é 100% seguro”, disse Woodward, mas o sistema bancário do Reino Unido chega perto. “Muito disso tem a ver com a supervisão”, principalmente pelo banco central. “Eles reúnem ameaças e inteligência do MI5, GCHQ, NCSC, todas as pessoas habituais, e então tentam cenários reais para ver como um banco pode suportar isso”, disse ele.
O Banco Central também coordena os Jogos de Cyberwar Multiday como parte de seu exercício SIMEX – simulação – programas a cada dois anos para testar a segurança das empresas da cidade.
As autoridades também são testadas, e o Banco, a Autoridade de Conduta Financeira, o Tesouro e o Centro Nacional de Segurança Cibernética revisam sua resposta a uma série de cenários devastadores.
Os reguladores não estão apenas verificando as medidas preventivas dos bancos. Os formuladores de políticas assumem que um ataque cibernético acabará sendo bem-sucedido e, portanto, está pressionando os bancos a preparar sua resposta e recuperar planos que evitariam interrupções duradouras que poderiam levar os bolsos da economia a parada.
O Grupo de Continuidade de Negócios de Mercado Cross, que reúne reguladores e membros do Bank Industry Body UK Finanças, possui a capacidade de convocar cerca de 100 empresas para chamadas de grupo de emergência em menos de uma hora para discutir um possível ataque.
Fazer um hack é visto como vital para proteger um setor que, em última análise, negocia em confiança: os clientes esperam que os credores mantenham suas informações, salários e economias de vida protegidas contra ameaças externas.
“Se alguém invadir lá e conseguir fazer uma transação fraudulenta … você não vai confiar nesse banco novamente com seu dinheiro, é?” Woodward disse.
Os bancos já experimentaram a reação que pode entrar em erupção por meras interrupções, sem que nenhum ator malicioso tentasse interromper o sistema bancário ou roubar dados e dinheiro.
A TSB há anos trabalha para restaurar sua reputação após o seu colapso de TI em 2018, causado por sua separação frustrada dos sistemas internos da Lloyds, que deixaram milhões de clientes bancários trancados de suas contas por semanas. O credor foi posteriormente multado em £ 48 milhões por falhas “generalizadas e sérias”.
As interrupções continuaram a atormentar os clientes dos maiores bancos e sociedades de construção da Grã -Bretanha, que sofreram o equivalente a mais de um mês de falhas entre janeiro de 2023 e fevereiro de 2025, de acordo com os dados coletados pelo Comitê do Tesouro Parlamentar.
“A segurança do dinheiro e dos dados do cliente é de suma importância para os bancos, não apenas porque é um requisito sob regulamentação, mas porque é a maneira como os bancos fazem negócios”, disse Laura Catterick, diretora de resiliência e segurança cibernética no Reino Unido.
“Eu diria que nunca descarta um ataque cibernético. Mas eu diria que deve haver confiança na quantidade de defesas cibernéticas em vigor.”