O BCE (Banco Central Europeu) pediu às instituições financeiras que melhorem a capacidade de resposta para a recuperação de grandes ataques cibernéticos. A recomendação foi feita após o primeiro teste de vulnerabilidade do setor financeiro à crescente ameaça dos hackers.
A organização afirmou que o teste encontrou “espaço para melhorias” nas medidas dos bancos para lidar com um cenário de invasão nos sistemas e que ocorrem séries intermediárias em bancos de dados e sistemas centrais.
“Os resultados do teste de estresse são perspicazes e demonstraram que, embora os bancos tenham capacidade para responder e se recuperarem rapidamente, ainda há espaço para melhorias”, disse Anneli Tuominen, membro do conselho de supervisão do BCE, que supervisiona os principais credores da zona do euro, na sexta-feira.
Os bancos ocidentais sofreram um aumento nos ataques cibernéticos nos últimos dois anos, que o regulador atribuiu em parte aos hackers disparados em resposta às avaliações impostas ao país e aos seus bancos após a guerra na Ucrânia. Ó uso de inteligência artificial por crimes cibernéticos também aumentou o número e a sofisticação dos ataques.
“A importância da resiliência dos invasores não pode ser subestimada”, disse Tuominen, acrescentando que o recente apagão global de TI causa por uma atualização em um software de segurança da CrowdStrikemostrou como “um incidente em uma instituição pode ter efeitos em cascata em vários setores.”
O BCE disse que seu teste de estresse foi projetado para examinar as respostas dos bancos a um grande ataque cibernético e não sua capacidade de impedir que hackers penetrem com sucesso em seus sistemas.
Foi enviado um questionário e solicitados dados de todos os 109 bancos envolvidos na simulação para verificar como responderiam a um grave ataque cibernético que tenha violado suas defesas.
Testes mais extensos foram realizados em 28 bancos escolhidos para representar uma amostra do setor, que tiveram que fazer um teste de recuperação de TI e passaram por uma visita in loco dos supervisores do BCE.
O banco central disse que os resultados do teste alimentariam seu processo anual de revisão e avaliação de supervisão, que analisa os riscos em cada banco e define seus requisitos de capital. Não esperava impacto nenhum direto na quantidade de capital que desejava que os bancos possuíssem.
O teste examinou os procedimentos internos de gestão de crises dos bancos e os planos de continuidade de negócios, bem como eles se comunicariam fora da estrutura, incluindo clientes, agências de aplicação da lei e prestadores de serviços.
Os bancos tiveram que mostrar sua capacidade de implementação de soluções alternativas para continuar operando enquanto trabalhavam na recuperação dos sistemas de TI e para restaurar dados de backup e trabalhar com provedores de serviços terceirizados críticos.
“Os supervisores forneceram feedbacks individuais a cada banco e farão o acompanhamento”, disse o BCE. “Em alguns casos, os bancos já melhoraram ou planejaram concordando com as deficiências apontadas durante o exercício.”
Detectar e abordar deficiências na resiliência operacional dos bancos, incluindo risco cibernético, foi definido como uma das prioridades de supervisão do BCE para os próximos dois anos, após detectar um aumento acentuado no número e na sofisticação dos ataques de hackers.
Em outubro, o banco Lloyd’s alertou que um ataque cibernético significativo a um sistema de pagamentos global poderia custar US$ 3,5 trilhões à economia mundial.
No início deste ano, o maior banco da Espanha, Santander, foi atingido por um ataque cibernético a um banco de dados hospedado por um provedor terceirizado que continha informações sobre clientes na Espanha, Chile e Uruguai. Algumas semanas depois, dados de milhões de clientes e funcionários — incluindo detalhes de contas e números de cartões de crédito — foram oferecidos à venda em um fórum de hackers.
No ano passado, o número de ataques de ransomware na indústria financeira aumentou 64%, e foi quase o dobro dos níveis de 2021, de acordo com a empresa de segurança cibernética Sophos.
Em novembro, uma filial de Nova York do maior banco da China, ICBC, foi atingida por um ataque de ransomware, interrompendo o mercado de títulos do Tesouro dos EUA de US$ 25 trilhões.