Storbritanniens finansiella tjänstesektor presterar långt över sin vikt. London är en god tvåa efter New York som världens främsta finansiella nav och landet är världens största nettoexportör av finansiella tjänster. Men denna framgång gör det till ett stort mål för cyberbrottslingar och aktörer i olika stater. Och trots att det är en av de mest reglerade sektorerna är cybermotståndskraften inte där den borde vara.

De fortsatta kostnaderna för ekonomin av cyberattacker mot sektorn, och risken för en systematisk incident, är anledningen till att Bank of England (BoE) fortsätter att använda ett ramverk för penntestning som kallas CBEST. Tyvärr belyser deras senaste rapport att det fortfarande är en lång väg att gå för branschen.

Vad rapporten fann

Poängen med CBEST är att simulera den typ av attacker som banker och andra företag inom finanssektorn skulle uppleva i verkligheten – från sofistikerade kriminella grupper, statliga aktörer och illvilliga insiders. Dessa insatser fokuserar på tredjepartsleverantörskompromettering, social ingenjörskonst och insideraktivitet eftersom det är de områden som branschen har svårast att hantera. Nolldagsattacker, anpassad skadlig kod, AI-driven automatisering och exakt målinriktning används alla i dessa red team-bedömningar – i attacker som simulerar slutmål som cyberspionage, ekonomisk vinning och sabotage.

Så, vad fann BoE?

  • Inkonsekvent konfigurerade och otillräckligt härdade/patchade system
  • Brist på kryptering för vilande data, inklusive privilegierade inloggningsuppgifter
  • Svaga identitets- och åtkomstkontroller (inklusive svaga lösenord och/eller osäker lösenordslagring)
  • Alltför tillåtande åtkomstkontroller
  • Undermålig detektering och respons (t.ex. "dåligt avstämd" EDR)
  • Ineffektiv trafikövervakning/inspektion (vilket gör det möjligt för angripare att gömma sig i legitim trafik)
  • Ineffektiv nätverkssegmentering (t.ex. mellan utvecklings- och produktionsmiljöer) förstärker den potentiella effekten av attacker
  • Personal som är sårbara för direkt och indirekt social ingenjörskonst
  • Personal lagrar rutinmässigt inloggningsuppgifter i oskyddade miljöer (t.ex. öppna fildelningar)
  • Osäkra helpdeskprotokoll som gör det möjligt för hackare att förstärka social ingenjörskonst

Rapporten noterade också att organisationers hotinformation saknades i fråga om ”strategisk planering, kravdefinition, upprättande av styrningsramverk och kartläggning av långsiktig kapacitet”. Detta har lett till en klyfta mellan den information som finansföretag samlar in och deras faktiska affärs-/operativa behov. Det innebär utmaningar med att skala upp och/eller utveckla dessa program, hävdade Bank of England.

Varför det gäller

De taktiker, tekniker och procedurer (TTP:er) som används av CBESTs penntestare valdes av en anledning. De återspeglar den typ av hot som finansinstitut står inför dagligen eller veckovis. I ett avsnitt i rapporten varnade National Cyber ​​Security Centre (NCSC) för att Scattered Spider-kollektivet är välkänt för att använda social engineering av IT-helpdeskpersonal för att återställa lösenord och MFA-tokens, till exempel. De tros ha gjort detta under M&S och Co-Op-gruppens ransomware-attacker.

Separat citerades den kinesiska APT-gruppen Volt Typhoon, som äventyrade stora delar av USA:s kritiska nationella infrastrukturnätverk med hemliga attacker. Bättre nätverksövervakning och segmentering skulle ha bidragit till att belysa dessa ansträngningar och begränsa attackernas explosionsradie, hävdade NCSC.

Finansiella tjänsteföretag bör inte bara se CBEST som en viktig grund för att bygga motståndskraft mot verkliga attacker. Många kommer också att behöva förbättra sin säkerhetsställning mot bakgrund av EU:s lag om digital operativ motståndskraft (DORA), som föreskriver strikta nya krav i hela bankens leveranskedja. Leveranskedjor är en särskild risk. En rapport från 2025 hävdade att 58 % av stora finansiella tjänsteföretag drabbades av minst en tredjepartsattack föregående år, varav en femtedel (23 %) var måltavlor tre eller fler gånger.

Vad händer sedan?

I förordet till rapporten uppmanade Bank of England och tillsynsmyndigheterna FCA och Prudential Regulation Authority (PRA) organisationer inom sektorn att ta itu med "de underliggande orsakerna" till risker snarare än att tillämpa tillfälliga korrigeringar. Det innebär att man använder en teknisk och kulturell strategi som omfattar förebyggande, upptäckt och respons.

Mer specifikt vill BoE/FCA/PRA se organisationer inom sektorn:

  • Patcha och konfigurera kritiska applikationer och operativsystem
  • Stärka hanteringen av autentiseringsuppgifter, tillämpa starka lösenord, använda MFA och segmentera nätverk
  • Säkerställa tidig upptäckt och effektiv övervakning för att minska attackernas effekter
  • Implementera riskbaserade åtgärdsplaner i samarbete med riskhanterare och internrevisorer

Utöver detta vill NCSC se förbättringar i personalutbildningen, särskilt mot bakgrund av AI-genererad phishing, för att bidra till att bygga en positiv säkerhetskultur. Man vill också ha striktare hantering av privilegierade konton (PAM) i linje med bästa praxis. Och närmare tillsyn av tillgångar, särskilt äldre IT-tjänster, delvis för att underlätta resan mot postkvantkryptografi (PQC).

Nätverkssegmentering, enhetshärdning och kontinuerlig övervakning bör alla användas som en del av en nolltrust-strategi för säkerhet, sades det. Och omfattande loggning och incidenthanteringsprocesser kan förbättra motståndskraften hos övervaknings- och detekteringsfunktioner. Hotjakt ger viktiga extra insikter för att avslöja mer sofistikerad skadlig aktivitet, avslutade NCSC.

Komma igång

Så var börjar finansföretag? Carl Hunt, chef för Beyond Blue, menar att upptäckt är en bra utgångspunkt.

”Detta inkluderar att förbättra detektering och respons på slutpunkter, men också att korrelera händelser över organisationens sannolika attackvägar för att upptäcka avvikande beteenden”, säger han till IO (tidigare ISMS.online). ”För att genomföra detta krävs en god förståelse för kritiska tillgångar, attackvägar och effektiv finjustering av detekteringsregler.”

Den mänskliga aspekten av responsen är en annan viktig strävan som säkerhetsteam ofta missar.

”CISO:er måste ha befogenhet att isolera en attack i tid, vilket kräver att affärssammanhanget fattar nödvändiga beslut. Detta är en särskild utmaning där säkerhetsoperationer outsourcas”, fortsätter Hunt. ”Man bör komma ihåg att i en verklig attack agerar angripare snabbt för att uppnå sina mål snarare än på ett mer kontrollerat sätt som vid en simulerad övning som CBEST. En snabb respons är avgörande för att begränsa effekten.”

Han pekar på nätverkssegmentering som lika viktigt för att begränsa attackernas explosionsradie. ”Detta ligger också till grund för återställningsstrategier genom att kartlägga IT och nätverk till viktiga affärsfunktioner, effektiv inneslutning och sedan slutligen utrotning av en attack kan uppnås”, säger Hunt.

Den goda nyheten är att standarder som ISO 27001 kan hjälpa organisationer att lägga grunden för att accelerera dessa bästa metoder. Och leverera den riskbaserade strategi för cybersäkerhet som tillsynsmyndigheter i allt högre grad förväntar sig, grundad i en kultur av kontinuerlig förbättring.