Z czym mierzył się klient i dlaczego to było krytyczne?
Bank obserwował rosnące ryzyko fraudów realizowanych z wykorzystaniem mobilnego malware. Do infekcji urządzeń klientów dochodziło m.in. w wyniku instalacji fałszywych aplikacji, kampanii smishingowych oraz pobierania aplikacji spoza oficjalnych sklepów.
Analiza incydentów wskazywała, że infekcja urządzenia często wyprzedzała próbę realizacji fraudu o kilka godzin, a nawet dni. W tym czasie malware pozostawało nieaktywne lub prowadziło działania przygotowawcze, tworząc tzw. okres pozornej ciszy, który cyberprzestępcy wykorzystywali do przeprowadzenia ataku w momencie, gdy klient był najmniej czujny. Jednocześnie przestępcy stale tworzyli nowe lub zmodyfikowane warianty złośliwego oprogramowania.
W efekcie powstawały nowe próbki, które nie były jeszcze opisane w bazach IOC i mogły omijać detekcję opartą wyłącznie na sygnaturach. Bank potrzebował rozwiązania, które z jednej strony umożliwi identyfikację znanych kampanii malware, a z drugiej pozwoli wykrywać nowe zagrożenia oraz podejmować działania ochronne jeszcze przed próbą realizacji fraudu.
Kluczowe wyzwania
- szybka zmienność złośliwego oprogramowania, która wyprzedzała możliwości manualnej aktualizacji reguł detekcji w bazach sygnatur.
- rozproszone źródła wiedzy i silosowość (zespoły SOC, antyfraudowy oraz aplikacji mobilnej pracowały na oddzielnych zestawach danych).
- brak kontekstu pochodzącego ze środowiska urządzenia, uniemożliwiający ocenę, czy pozornie prawidłowa operacja jest wykonywana w środowisku bez oznak infekcji.
- opóźnienie reakcji, brak skutecznej prewencji i natychmiastowej ochrony klienta w czasie rzeczywistym.
- potrzeba uzyskania jednoznacznego sygnału operacyjnego, który bank mógłby użyć do dodatkowej weryfikacji, ograniczenia lub wstrzymania operacji.
Co wdrożyliśmy i jak to działało w praktyce?
Zastosowano dwie, współdziałające warstwy zabezpieczeń włączone w jeden proces decyzyjny. Warstwą pierwszą był Android Malware Threat Intelligence (AMTI), który zasilał platformy bankowe aktualną i bogatą wiedzą o sygnaturach, kampaniach oraz IOC, co pozwalało na automatyczną korelację alertów z trwającymi atakami. Wiedza ta jest na bieżąco rozwijana i aktualizowana przez zespół PREBYTES SIRT na podstawie codziennej analizy zagrożeń oraz obsługi rzeczywistych incydentów bezpieczeństwa.
Drugą warstwę stanowiła wbudowana w aplikację biblioteka AntiMalware for Mobile, która dynamicznie oceniała poziom ryzyka na urządzeniu klienta, analizując symptomy charakterystyczne dla aktywności złośliwego oprogramowania. Dzięki temu możliwe było wykrywanie również nowych lub zmodyfikowanych wariantów malware, które nie były jeszcze opisane w bazach sygnatur.
Na podstawie sygnału z biblioteki i wiedzy z AMTI bank uruchomił elastyczne scenariusze reakcji – od zwiększenia poziomu monitoringu sesji, poprzez dodatkowe uwierzytelnianie, aż po wstrzymanie operacji wysokokwotowej do nowego odbiorcy w przypadku wysokiego ryzyka. Takie podejście wspiera realizację wymagań DORA i NIS2 w zakresie zarządzania ryzykiem ICT, wykrywania zagrożeń, reagowania na incydenty i wzmacniania odporności operacyjnej.
Jakie były rezultaty i co to zmieniło na co dzień?
Całkowicie zmienił się sposób wykorzystywania informacji o cyberzagrożeniach – przestały być one wyłącznie wiedzą „po fakcie”, a stały się elementem wspierającym decyzję banku przed wykonaniem transakcji. Zamiast polegać wyłącznie na identyfikacji znanych aplikacji na urządzeniu, system dynamicznie oceniał, czy w danym momencie istnieją przesłanki wskazujące na zagrożenie dla klienta. Wdrożenie pozwoliło przesunąć reakcję z etapu powstrzymywania lub analizy strat na etap głębokiej, zautomatyzowanej prewencji, optymalnie wykorzystując lukę czasową między infekcją urządzenia a realizacją procederu. Bank zbudował na podstawie tego ciągły, uporządkowany proces korelujący kampanie przestępcze, detekcję na smartfonie, decyzję uwierzytelniającą i mechanizmy obronne w jednym spójnym nurcie, w który zaangażowane są wspólnie pracujące zespoły SOC i antyfraudu.
Efekty po wdrożeniu
- znacznie szersze pokrycie detekcji dla obficie modyfikowanych wariantów malware i nowych kampanii bez sygnatur.
- wzrost skuteczności wykrywania operacji wysokiego ryzyka przed ich autoryzacją o ponad 30%, dzięki połączeniu informacji o kampaniach malware z kontekstem bezpieczeństwa urządzenia klienta;
- operacjonalizacja działań – integracja danych i raportów (feedy, IOC) bezpośrednio w procesach ochronnych i decyzyjnych banku.
- zwiększenie selektywności – dopasowanie adekwatnej reakcji antyfraudowej do siły sygnału (np. minimalnie inwazyjne kroki przy niskich alertach).
- usprawnienie analizy incydentów między zespołami pracującymi na ujednoliconych danych oraz uwolnienie czasu poświęcanego do tej pory na manualne procesy i rozpatrywanie reklamacji.
Masz pytania po lekturze case study? Napisz do nas.
.png)
