Οι διαδικτυακές επιθέσεις στον τομέα των ασφαλίσεων αυξάνονται εκθετικά καθώς οι ασφαλιστικές εταιρίες αρχίζουν να χρησιμοποιούν όλο και περισσότερο τα ψηφιακά κανάλια ώστε να δημιουργήσουν στενότερες πελατειακές σχέσεις, να προσφέρουν νέα προϊόντα και να επεκτείνουν το μερίδιο τους στα οικονομικά χαρτοφυλάκια των πελατών τους. Αυτή η μετατόπιση αυξάνει τις επενδύσεις σε παραδοσιακά πληροφοριακά συστήματα (π.χ , συστήματα συμβολαίων και αποζημιώσεων) καθώς και σε πλατφόρμες υψηλού βαθμού ολοκλήρωσης όπως portals ασφαλιστικών εταιριών, online εφαρμογές συμβολαίων και εφαρμογές κινητών τηλεφώνων για υποβολή αποζημιώσεων. Αν και αυτές οι ψηφιακές επενδύσεις παρέχουν νέες στρατηγικές δυνατότητες, παρουσιάζουν και νέους διαδικτυακούς κινδύνους, ειδικά σε εταιρίες που έχουν μικρή εμπειρία στην αντιμετώπιση προκλήσεων σε τέτοια περιβάλλοντα. 

Επιπλέον, οι προκλήσεις αυτές πιθανώς να γίνουν πιο περίπλοκες δεδομένου ότι οι Ασφαλιστικές Εταιρείες εξοικειώνονται με big data και advanced analytics που απαιτούν τη συλλογή και το χειρισμό τεραστίων ποσοτήτων πληροφοριών. Καθώς οι Ασφαλιστικές Εταιρίες βρίσκουν νέους και καινοτόμους τρόπους για ανάλυση δεδομένων, πρέπει επίσης να βρουν τρόπους να προστατεύσουν τα δεδομένα από διαδικτυακές επιθέσεις.

Οι “εγκληματίες” του διαδικτύου έχουν αρχίσει να καταλαβαίνουν ότι οι Ασφαλιστικές Εταιρείες κατέχουν μεγάλες ποσότητες προσωπικών πληροφοριών των πελατών τους, οι οποίες είναι πολύ ελκυστικές για εκμετάλευση προσωπικών δεδομένων. Σε μερικές περιπτώσεις, οι ασφαλιστικές εταιρίες κατέχουν σημαντικά στοιχεία πληρωμής και πιστωτικών καρτών. Ωστόσο, υπάρχει τουλάχιστον μια περίπτωση στον τομέα των ασφαλίσεων όπου τα θύματα της ηλεκτρονικής επίθεσης δεν είχαν ακόμα πελάτες που να έχουν πληρώσει, αλλά απλά καταναλωτές οι οποίοι είχαν ζητήσει προσφορές. (περίπτωση #1)

Οι διαδικτυακοί “εγκληματίες” που στοχεύουν ασφαλιστικές εταιρίες συχνά έχουν σημαντικούς πόρους. Αυτό τους επιτρέπει να σχεδιάζουν εξελιγμένες επιθέσεις που συνδυάζουν προηγμένο λογισμικό με άλλες τεχνικές όπως social engineering. (περίπτωση #2)

Επιθέσεις σε ασφαλιστικές εταιρίες μπορούν να οδηγήσουν σε σημαντικές ζημιές όπως πρόστιμα, νομικά έξοδα, αγωγές και κόστη προστασίας από απάτες. Ωστόσο, μια λιγότερη προφανής, αλλά εξίσου σημαντική επίπτωση μπορεί να είναι η απώλεια εμπιστοσύνης, που προέρχεται από την ανησυχία των πελατών για το αν τα δεδομένα τους είναι πραγματικά ασφαλή. (περίπτωση #3) Δεδομένου ότι η αγορά της ασφάλισης κινείται με βάση την εμπιστοσύνη, μια μεγάλη παραβίαση μπορεί να έχει μια πολύ σημαντική επίδραση στο όνομα της ασφαλιστικής εταιρίας και στην αξία της στην αγορά.

Αξίζει να σημειωθεί πως οι περισσότερες παραβιάσεις που έχουν αναφερθεί από ασφαλιστικές εταιρίες έως τώρα έχουν χαρακτηριστεί ως βραχυπρόθεσμες επιθέσεις, με διαδικτυακούς “εγκληματίες” να επιτίθενται σε ένα σύστημα, να κλέβουν συγκεκριμένες πληροφορίες και στη συνέχεια να προχωράνε γρήγορα στην επόμενη επίθεση. Στην πραγματικότητα, η έρευνά μας δεν εντόπισε καμία τεκμηριωμένη περίπτωση μακροχρόνιας ηλεκτρονικής επίθεσης στον ασφαλιστικό κλάδο. Παρ’ όλα αυτά πιστεύουμε πως ο αριθμός των μακροχρόνιων επιθέσεων μπορεί να αυξάνεται σιωπηλά καθώς οι χάκερς συχνά ξεφεύγουν απαρατήρητοι και δημιουργούν μια επίμονη, συνεχή παρουσία σε σημαντικά περιβάλλοντα πληροφορικής.

Τα τελευταία χρόνια, πολλές ασφαλιστικές εταιρίες έχουν επενδύσει πολλά χρήματα σε προστασία και διαδικασίες που μπορεί να παρέχουν μια ψευδή αίσθηση ασφάλειας. Καθώς οι διαδικτυακοί εγκληματίες μαθαίνουν να αξιοποιούν την κρυπτογράφηση και άλλες προηγμένες τεχνικές επίθεσης, οι παραδοσιακές μέθοδοι προστασίας όπως firewalls, λογισμικά antivirus, συστήματα ανίχνευσης εισβολών (IDS) και συστήματα πρόληψης εισβολών (IPS) είναι λιγότερο αποτελεσματικά. Ως αποτέλεσμα, πολλές ασφαλιστικές εταιρίες μπορεί να κατανέμουν λάθος τους περιορισμένους πόρους τους για την αντιμετώπιση απειλών που αναγνωρίζονται εύκολα ενώ ταυτόχρονα αγνοούν τελείως μακροπρόθεσμες απειλές που μπορεί τελικά να είναι πιο επιζήμιες.

1. Οι χάκερς κλέβουν προσωπικά δεδομένα πελατών – και δυνητικών πελατών

Οργανισμός:
Μεγάλος οργανισμός σημαντικών ασφαλιστικών εταιριών και εταιριών παροχής χρηματοοικονομικών υπηρεσιών

Σενάριο:
Διαδικτυακοί εγκληματίες παραβίασαν τη βάση δεδομένων της εταιρίας και έκλεψαν πληροφορίες για περισσότερους από ένα εκατομμύριο πελάτες και μελλοντικούς πελάτες, συμπεριλαμβανομένων στοιχείων αδειών οδήγησης και αριθμούς κοινωνικής ασφάλισης.

Οι χάκερς και το κίνητρό τους:
Οι διαδικτυακοί εγκληματίες κυνηγούσαν προσωπικές πληροφορίες προκειμένου να τις πουλήσουν στη μαύρη αγορά.

Οι τεχνικές που χρησιμοποιούσαν:
Μέρος του δικτύου που χρησιμοποιούσαν τα μέλη του οργανισμού παραβιάστηκε από τους διαδικτυακούς εγκληματίες από όπου και έκλεψαν στοιχεία πελατών.

Επιπτώσεις στην επιχείρηση:
Ο οργανισμός ήταν υποχρεωμένος να παρέχει στους πελάτες των οποίων κλάπηκαν τα στοιχεία δωρεάν παρακολούθηση για ένα χρόνο, και να δώσει αποζημιώσεις για τις παραβιάσεις. Εκτός από τα χρηματικά κόστη, τα οποία ήταν σημαντικά, ο οργανισμός υπέστη σημαντικές ζημιές από απώλεια εμπιστοσύνης.

2. Ακόμα και μικρές παραβιάσεις μπορούν να έχουν σημαντικές επιπτώσεις και απαιτούν διορθωτικές ενέργειες

Οργανισμός:
Μια πολύ μεγάλη επενδυτική και ασφαλιστική εταιρία

Σενάριο:
Η επίθεση έγινε σε εργαζόμενους της εταιρίας με αποστολή e-mail που περιείχαν κακόβουλο λογισμικό το οποίο μπορούσε να κρατήσει εμπιστευτικά δεδομένα, όπως αριθμούς τραπεζικών λογαριασμών, αριθμούς κοινωνικής ασφάλισης, λογαριασμούς χρηστών, κωδικούς πρόσβασης και αριθμούς πιστωτικών καρτών. Οι χάκερς χρησιμοποιούσαν αυτές τις πληροφορίες για να έχουν πρόσβαση σε διάφορους servers, ακόμα και σε servers που χρησιμοποιούσαν οι εργαζόμενοι για να έχουν πρόσβαση στα πληροφοριακά συστήματα της εταιρίας.

Οι χάκερς και το κίνητρό τους:
Οι χάκερς απέσπασαν στοιχεία από λογαριασμούς online banking προκειμένου να διαπράξουν οικονομικές απάτες.

Οι τεχνικές που χρησιμοποιούσαν:
Η επίθεση έγινε σε εργαζόμενους της εταιρίας με αποστολή e-mail που περιείχαν κακόβουλο λογισμικό το οποίο μπορούσε να κρατήσει εμπιστευτικά δεδομένα, όπως αριθμούς τραπεζικών λογαριασμών, αριθμούς κοινωνικής ασφάλισης, λογαριασμούς χρηστών, κωδικούς πρόσβασης και αριθμούς πιστωτικών καρτών.

Επιπτώσεις στην επιχείρηση:
Παρά το γεγονός ότι η επίθεση έγινε σε μικρό αριθμό εργαζομένων, και σε ακόμα λιγότερους πελάτες, τράβηξε το ενδιαφέρον των ΜΜΕ και κατέστρεψε τη φήμη της εταιρίας.

3. Ασφαλιστική εταιρία-θύμα κατηγορείται πως δεν αντέδρασε άμεσα

Οργανισμός:
Μια εταιρία ασφαλιστικών και χρηματοπιστωτικών εταιριών που ειδικεύεται στην εξυπηρέτηση ηλικιωμένων.

Σενάριο:
Οι χάκερς εκμεταλλεύτηκαν ευάλωτο λογισμικό στους server εταιριών και έκλεψαν στοιχεία πιστωτικών καρτών από περισσότερους από 93.000 πελατών, συμπεριλαμβανομένων ονομάτων, διευθύνσεων και μη-κρυπτογραφημένους κωδικούς ασφαλείας καρτών.

Οι χάκερς και το κίνητρό τους:
Οι διαδικτυακοί εγκληματίες κυνηγούσαν στοιχεία πιστωτικών καρτών για να τα πουλήσουν στη μαύρη αγορά και να διαπράξουν παράνομες συναλλαγές.

Οι τεχνικές που χρησιμοποιούσαν:
Εντοπίστηκαν τα ευάλωτα σημεία στο σύστημα και στο λογισμικό της εταιρίας και έτσι οι εγκληματίες απέκτησαν πρόσβαση σε πληροφορίες καρτών πληρωμής.

Επιπτώσεις στην επιχείρηση:
Η εταιρία αφαίρεσε αμέσως τα ευάλωτα στοιχεία στο σύστημά της και αναγκάστηκε να δώσει επίσημη απολογία. Επίσης πρόσφερε δωρεάν παρακολούθηση έναντι σε απάτες στους πελάτες που έπεσαν θύματα των εγκληματιών. Ωστόσο η εταιρία έχει επικριθεί έντονα για τη χρήση μη-κρυπτογραφημένων κωδικών ασφαλείας, κάτι το οποίο είναι θέμα μη-συμμόρφωσης σύμφωνα με το Payment Card Industry Data Security Standard (PCI DSS), και για το γεγονός ότι δεν ανέφερε τη παραβίαση στους πελάτες της νωρίτερα.

Συνοψίζοντας, είναι σημαντικό να τονίσουμε για ακόμη μια φορά την καταλυτική σημασία της τεχνολογίας στην καθημερινότητα μας. Τα παραπάνω παραδείγματα προς αποφυγή είναι μια καλή ευκαιρία να προβληματιστούμε όχι για την ένταξη της τεχνολογίας στις καθημερινές μας δραστηριότητές αλλά για τη σωστή χρήση της στις λειτουργίες μιας εταιρίας. Χρησιμοποιώντας σωστά τη τεχνολογία μειώνουμε το κόστος και αυξάνουμε την αποτελεσματικότητα. Επίσης απ’ότι φαίνεται οι ηλεκτρονικοί “εγκληματίες” ενδιαφέρονται περισσότερο για τις προσωπικές πληροφορίες που συλλέγει μια Ασφαλιστική εταιρία παρά για τα στοιχεία πιστωτικών καρτών. Όποια και να είναι τα κίνητρα τους, το πλήγμα στη φερεγγυότητα της εταιρείας – ειδικά στις μέρες μας που τα νέα διαδίδονται τόσο γρήγορα – μπορεί να δημιουργήσει πολλά προβλήματα σε όλες τις λειτουργίες της και ακόμα περισσότερο στην εμπιστοσύνη του καταναλωτή.

*Έρευνα της Deloitte για τις Διαδικτυακές Επιθέσεις στην Παγκόσμια Ασφαλιστική Αγορά.

Πηγή:www.insurancedaily.gr

Γιατί οι χάκερς βάζουν… στο μάτι τις ασφαλιστικές; Κωνσταντίνος Μαριόλης

Τα προσωπικά δεδομένα του κλάδου της Υγείας εξελίσσονται στον πιο «καυτό» στόχο των κακοποιών του διαδικτύου σήμερα. Πάνω από 1 δισ. δολάρια εκτιμάται ότι θα κοστίσουν οι απαιτούμενες ασφαλίσεις.

Ο θρυλικός ληστής Jesse James έλεγε: «Κλέβω τράπεζες γιατί εκεί βρίσκεται όλο το χρήμα». Παραφράζοντας τα λόγια του ίσως μπορούμε να «δικαιολογήσουμε» τον συνεχώς αυξανόμενο αριθμό επιθέσεων χάκερς σε ασφαλιστικές. «Γιατί εκεί βρίσκονται όλες οι πολύτιμες πληροφορίες».

Γιατί πολύτιμες; Διότι σήμερα, έχει στηθεί ένας χορός δισεκατομμυρίων στη… σκοτεινή πλευρά του διαδικτύου, που στηρίζεται στην εμπορία και διακίνηση προσωπικών δεδομένων ασφαλισμένων. Αποτέλεσμα αυτού είναι η αξία των αριθμών κοινωνικής ασφάλισης που αποτελούν προϊόν υποκλοπής να καταγράφει ανοδική πορεία, δίνοντας έξτρα κίνητρο στους χάκερς να «χτυπήσουν» ασφαλιστικές εταιρείες και φορείς του κλάδου της Υγείας.

Γιατί, όμως, οι χάκερς επιλέγουν τις ασφαλιστικές και δεν στοχεύουν κατευθείαν στην πηγή των χρημάτων, ήτοι στις τράπεζες; Με άλλα λόγια, αν μπορούν μέσω διαδικτύου να παραβιάσουν τραπεζικούς λογαριασμούς και στοιχεία καρτών, γιατί επιλέγουν την υποκλοπή πληροφοριών ασφαλισμένων;

Ειδικοί της κυβερνοασφάλειας εξηγούν ότι συλλέγοντας ονόματα χρηστών και κωδικούς ασφαλείας, οι χάκερς αυξάνουν τις πιθανότητες να εισβάλλουν και σε άλλες επιχειρήσεις που διαθέτουν ακόμη πιο σημαντικές πληροφορίες που αναζητούν. Αποκτώντας πρόσβαση σε μία ασφαλιστική, ελπίζουν ότι θα μπορέσουν να κινηθούν με άνεση και ίσως να χτυπήσουν ακόμη μεγαλύτερες εταιρείες σε πιο «ευαίσθητους» κλάδους, όπως της αμυντικής βιομηχανίας.

Ενδεικτικό του ενδιαφέροντος, είναι το γεγονός ότι οι κλεμμένοι αριθμοί κοινωνικής ασφάλισης αξίζουν στο «darknet» (ανώνυμο δίκτυο παράλληλο με το internet, όπου οργιάζει η παράνομη δραστηριότητα) 10 έως 20 φορές περισσότερο από τους αριθμούς πιστωτικών καρτών.

Και ενώ οι επιθέσεις σε ασφαλιστικές δεν «πουλάνε» στα πρωτοσέλιδα το ίδιο με τις επιθέσεις σε τράπεζες ή σε μεγάλες πολυεθνικές, μόνο σπάνιες δεν είναι, κάτι που αποδεικνύεται από τους αριθμούς που… προκαλούν ίλιγγο.

Μόνο στις ΗΠΑ, τον τελευταίο χρόνο έχουν διαρρεύσει ή κινδυνεύσει προσωπικά δεδομένα περίπου 100 εκατ. ασφαλισμένων, ενώ σύμφωνα με στοιχεία του αμερικανικού υπουργείου Υγείας, το τελευταίο πεντάμηνο έχουν σημειωθεί 17 κυβερνοεπιθέσεις σε εταιρείες ή φορείς του κλάδου ιατροφαρμακευτικής περίθαλψης.

Ιστορικά, έχουν αναφερθεί πάνω από 1.000 επιθέσεις χάκερς σε πάροχους υγειονομικής περίθαλψης, ασφαλιστικές και άλλες επιχειρήσεις του κλάδου της Υγείας από τις αρχές του 2000, προσβάλλοντας εκατομμύρια ανθρώπους.

Η γιγαντιαία επίθεση κατά της Anthem, της δεύτερης μεγαλύτερης εταιρείας ασφαλειών Ζωής στις ΗΠΑ, τον περασμένο Φεβρουάριο, κατά την οποία διέρρευσαν στοιχεία 80 εκατ. ασφαλισμένων και εργαζομένων, υποδεικνύει ότι το ενδιαφέρον των χάκερς για ιατρικά δεδομένα αυξάνεται σε απειλητικό βαθμό. Η πρόσφατη κυβερνοεπίθεση κατά των Premera Blue Cross και LifeWise που επηρέασε σχεδόν 11 εκατ. πελάτες και εργαζομένους ήρθε να επιβεβαιώσει την τάση.

Το FBI έχει προειδοποιήσει από το περασμένο καλοκαίρι ότι οι ασφαλιστικές έχουν μπει για τα καλά στο στόχαστρο των χάκερς. Οι ειδικοί υποστηρίζουν πως αυτό που κάνει τις ιατρικές πληροφορίες να είναι πιο πολύτιμες από τις πιστωτικές κάρτες, είναι το γεγονός ότι σε αντίθεση με τις πιστωτικές – που ο κάτοχος το αντιλαμβάνεται σχετικά άμεσα και τις ακυρώνει – η χρήση τους μπορεί να γίνεται για χρόνια χωρίς να το αντιληφθεί ο πάροχος ή ο ασφαλισμένος.

Πολλοί είναι αυτοί που πιστεύουν ότι πίσω από τις επιθέσεις τόσο κατά της Anthem, όσο και κατά των Premera και LifeWise, κρύβονται Κινέζοι χάκερς. Υποστηρίζουν πως το ενδιαφέρον των Κινέζων για απόρρητες πληροφορίες αμερικανικών επιχειρήσεων είναι δεδομένο και επομένως μία επιτυχημένη παραβίαση θα μπορούσε να τους δώσει τη δυνατότητα να «μολύνουν» με ιούς εταιρικά δίκτυα και να αποσπάσουν πολύτιμη πληροφόρηση.

Και ενώ οι επιθέσεις σε ασφαλιστικές δεν «πουλάνε» στα πρωτοσέλιδα το ίδιο με τις επιθέσεις σε τράπεζες ή σε μεγάλες πολυεθνικές, μόνο σπάνιες δεν είναι

Για να αποτραπούν νέες επιθέσεις στο μέλλον, ίσως θα έπρεπε να εξεταστούν ενδελεχώς οι κυβερνοεπιθέσεις που σημειώνονται σε όλους τους κλάδους – και όχι μόνο στις ασφαλιστικές – και να υπάρξει συνεργασία μεταξύ κρατικών υπηρεσιών και ιδιωτικού τομέα για τον εντοπισμό των δυνητικών απειλών.

Οι τράπεζες έχουν καταλάβει τον κίνδυνο και δαπανούν τεράστια ποσά για την ηλεκτρονική τους ασφάλεια, κάτι που αναμένεται να αναγκαστούν να κάνουν και οι ασφαλιστικές, από τη στιγμή που διαχειρίζονται μεγάλες βάσεις ευαίσθητων δεδομένων.

Σημαντική ευκαιρία ανάπτυξης

Η υπόθεση της Anthem ίσως σηματοδοτεί την απαρχή μίας νέας περιόδου, κατά την οποία η κυβερνοασφάλεια αποτελεί τον μεγαλύτερο και πιο συστημικό κίνδυνο στον κλάδο των ασφαλειών.

Το ρόλο ασπίδας κατά των κυβερνοεπιθέσεων θέλουν να παίξουν οι εξειδικευμένες ασφαλίσεις που διατίθενται πλέον διεθνώς και προσφέρουν ευρεία γκάμα καλύψεων. Οι εκτιμήσεις αναφέρουν ότι οι απαιτούμενες ασφαλίσεις κατά κυβερνοεπιθέσεων θα φτάσουν άμεσα στα 1 δισ. δολάρια.

Για να γίνει κατανοητός ο οικονομικός αντίκτυπος, αξίζει να σημειωθεί ότι οι χάκερς που «εισέβαλαν» στην Anthem, κατάφεραν να φύγουν με σχεδόν 1 δισεκατομμύριο αριθμούς πιστωτικών καρτών.

Σε πρόσφατη έκθεσή του, ο οίκος αξιολόγησης Fitch εκτιμά ότι οι ασφαλίσεις κατά κυβερνοεπιθέσεων αποτελούν μία σημαντική ευκαιρία ανάπτυξης για την παγκόσμια ασφαλιστική αγορά.

Παρόλα αυτά, η Fitch προειδοποιεί ότι από τη στιγμή που οι κίνδυνοι του κυβερνοχώρου μπορούν να προκαλέσουν σημαντικές ζημιές και οι κυβερνοεπιθέσεις γίνονται όλο και πιο εξελιγμένες, η ικανότητα ασφάλισης κατά ορισμένων κινδύνων είναι αμφισβητήσιμη.

Εκτιμά δε, πως δεδομένου του δυνητικού μεγέθους των απωλειών, οι κυβερνήσεις αναπόφευκτα θα αναγκαστούν να ενισχύσουν το ρόλο που παίζουν στην αποτροπή και αποζημίωση των παγκόσμιων κυβερνοεπιθέσεων. Όμως και οι ασφαλιστικές θα έχουν σημαντικό ρόλο να διαδραματίσουν παράλληλα με τις κρατικές πρωτοβουλίες.

Η ικανότητα του κλάδου στην παρακολούθηση και μοντελοποίηση των κυβερνοκινδύνων θα συνεχίσει να εξελίσσεται βραχυπρόθεσμα, ανοίγοντας νέες ευκαιρίες για την κάλυψη της ζήτησης. Η Fitch προβλέπει ότι καθώς οι ασφαλιστικές θα χτίζουν εσωτερικές δομές προστασίας κατά των κινδύνων του διαδικτύου, θα αυξάνεται και η εξειδίκευσή τους στην προστασία των πελατών, από τη στιγμή που ασφαλιστικές και ασφαλιζόμενοι στην ουσία αντιμετωπίζουν τους ίδιους κινδύνους.

Πηγή :https://www.asfalistikomarketing.gr/