據(jù)Contrast Security稱，金融機構(gòu)仍將是犯罪分子和威脅行為者的最終目標(biāo)，因為成功攻擊可帶來巨大收益。

Contrast Security對全球35家領(lǐng)先的金融機構(gòu)進行了調(diào)查，以更深入地了解它們面臨的網(wǎng)絡(luò)威脅環(huán)境，以及它們在應(yīng)對關(guān)鍵威脅方面的表現(xiàn)如何。

64%的金融機構(gòu)表示，其組織在過去12個月內(nèi)經(jīng)歷過網(wǎng)絡(luò)安全事件。研究人員發(fā)現(xiàn)，71%的受訪者將零日攻擊視為保障應(yīng)用程序和API安全的關(guān)鍵問題，其次是停留時間(43%)和對應(yīng)用層缺乏可見性(38%)。

金融部門面臨零日攻擊激增

對零日攻擊的普遍擔(dān)憂與關(guān)鍵行業(yè)研究和趨勢相一致，這些研究和趨勢顯示，與往年相比，被利用的零日漏洞數(shù)量顯著增加。零日漏洞的增加在很大程度上是由于國家的大力投入。

除了零日漏洞外，近43%的受訪者表示他們最大的問題是停留時間。具體來說，他們?nèi)狈ψ銐蚩斓貦z測針對應(yīng)用程序的攻擊的能力。同時，38%的受訪者表示，他們在應(yīng)用程序方面最大的問題是對應(yīng)用層缺乏可見性。另外，52%的調(diào)查受訪者表示，其組織在2024年受到了供應(yīng)鏈攻擊的影響。

Contrast Security網(wǎng)絡(luò)安全顧問Tom Kellermann表示：“我們的研究發(fā)現(xiàn)，金融部門面臨的威脅日益增加，零日攻擊和破壞性攻擊明顯增多。

“我們還發(fā)現(xiàn)，不僅API、云環(huán)境和應(yīng)用程序是首選的攻擊載體，而且如今的動機也已發(fā)生改變。網(wǎng)絡(luò)犯罪分子不再僅僅追求數(shù)據(jù)。相反，他們正在‘跳島’，即劫持組織的數(shù)字化轉(zhuǎn)型，并利用該基礎(chǔ)設(shè)施對公司客戶和合作伙伴發(fā)動攻擊。隨著戰(zhàn)術(shù)和動機的演變，金融機構(gòu)需要重新思考它們的保護方式。”Kellermann補充道。

過時技術(shù)使金融機構(gòu)面臨風(fēng)險

金融機構(gòu)還面臨著過時技術(shù)的挑戰(zhàn)，82%的機構(gòu)過度依賴Web應(yīng)用防火墻(WAF)，61%的機構(gòu)認(rèn)為其WAF有效，然而，僅依靠WAF不足以抵御零日漏洞利用和現(xiàn)代應(yīng)用程序攻擊。

鑒于此，零日漏洞成為與應(yīng)用程序相關(guān)的首要安全問題也就不足為奇了。事實上，只有不到25%的受訪者表示，他們有信心當(dāng)前的安全控制措施能夠緩解此類攻擊。

受訪者報告稱，破壞性網(wǎng)絡(luò)攻擊增加了12.5%，這種攻擊以懲罰性為目的，旨在銷毀數(shù)據(jù)并銷毀證據(jù)，作為應(yīng)對事件的反制措施。超過三分之二的受訪者經(jīng)歷了專注于竊取非公開市場信息的攻擊，網(wǎng)絡(luò)犯罪分子利用這些信息進行內(nèi)幕交易、數(shù)字搶先交易和在向監(jiān)管機構(gòu)泄露被盜的機密數(shù)據(jù)之前做空股票。

賬戶接管問題仍然是一個持續(xù)存在的擔(dān)憂，其特征是未經(jīng)授權(quán)的個人接管他人的在線銀行賬戶。

在應(yīng)用程序和API威脅情報方面，大多數(shù)金融機構(gòu)表示，預(yù)生產(chǎn)團隊(即在應(yīng)用程序上線前深度參與應(yīng)用程序開發(fā)和安全的團隊)是接收這些關(guān)鍵情報的團隊。

近73%的受訪者表示，應(yīng)用安全(AppSec)團隊接收應(yīng)用程序和API威脅情報，59%的受訪者表示開發(fā)人員和軟件工程師獲取這些情報。相比之下，只有32%的受訪者表示安全運營中心(SOC)獲取這些情報，僅有23%的受訪者表示事件響應(yīng)團隊獲取這些情報。無論誰獲取應(yīng)用程序和API威脅情報，金融機構(gòu)在修復(fù)漏洞方面的速度都在加快。