Cibersegurança no ecossistema financeiro: a evolução e o impacto do Customer Security Programme da SWIFT

A SWIFT (Society for Worldwide Interbank Financial Telecommunication) é uma sociedade cooperativa global que fornece serviços de mensagens financeiras seguras a instituições financeiras de todo o mundo. Facilita a comunicação rápida, precisa e segura para transações, incluindo pagamentos, títulos e operações de tesouraria.

O Customer Security Programme (CSP), lançado pela SWIFT como resposta a uma onda de ciberataques sofisticados que ocorreram antes de 2016, visou melhorar a postura de cibersegurança dos utilizadores em todo o mundo. Estas ciberameaças complexas e diversificadas realçaram a necessidade de uma abordagem de segurança unificada em todo o setor financeiro.

O CSP introduziu o Customer Security Controls Framework (CSCF) para estabelecer medidas de segurança obrigatórias e opcionais para todos os utilizadores da SWIFT. Esta iniciativa marca a dedicação da SWIFT ao reforço da segurança e da resiliência do ecossistema financeiro global contra as ciberameaças, garantindo a integridade e a fiabilidade das transações financeiras internacionais.

Um olhar atento sobre o CSCF

O CSCF define os controlos de segurança obrigatórios e opcionais para os utilizadores SWIFT, com base em frameworks standard da indústria como NIST, ISO 27000 e PCI-DSS. Os controlos obrigatórios estabelecem uma base de segurança, enquanto os controlos opcionais, baseados nas melhores práticas, são recomendados para proteção adicional.

A estrutura do CSCF reflete uma abordagem proativa à cibersegurança, como demonstra a imagem abaixo. As medidas de segurança baseiam-se em três objetivos principais do framework:

Objetivo 1: Proteger o ambiente:

• Princípio 1: Restringir o acesso à Internet e proteger os sistemas críticos do ambiente informático geral.
• Princípio 2: Reduzir a superfície de ataque e as vulnerabilidades.
• Princípio  3: Proteger fisicamente o ambiente.

Objetivo 2: Conhecer e limitar o acesso:

• Princípio 4: Prevenir a exposição de credenciais.
• Princípio 5: Gerir identidades e separar privilégios.

Objetivo 3: Detetar e responder:

• Princípio 6: Detetar atividades anómalas nos sistemas ou nos registos de transações.
• Princípio 7: Planear a resposta a incidentes e a partilha de informações.

O CSCF especifica 5 tipos principais de arquitetura que determinam quais os controlos de segurança aplicáveis com base nos componentes e infraestruturas SWIFT que uma organização utiliza. Estes tipos de arquitetura, definidos através da propriedade e implementação de componentes de infraestrutura específicos da SWIFT, ajudam as organizações a identificar o âmbito das suas medidas de cibersegurança necessárias no âmbito do quadro CSP. Eis os tipos de arquitetura delineados:

• Arquitetura A1: Para utilizadores que possuem tanto a interface de mensagens como a interface de comunicação. Nesta configuração, as licenças da interface de envio de mensagens e da interface de comunicação são propriedade do utilizador e residem no seu ambiente.
• Arquitetura A2: Para utilizadores que possuem a interface de envio de mensagens, mas não a interface de comunicação. Aqui, a interface de envio de mensagens é propriedade do utilizador, mas a interface de comunicação é propriedade de um fornecedor de serviços.
• Arquitetura A3 (conector SWIFT): Implica a utilização de um conector SWIFT no ambiente do utilizador para facilitar a comunicação entre aplicações com uma interface de um prestador de serviços ou com serviços SWIFT, sem qualquer interface do lado do utilizador.
• Arquitetura A4 (conector de cliente): Para utilizadores que não têm qualquer histórico/pegada SWIFT, mas utilizam um servidor que executa uma aplicação de software no seu ambiente para facilitar uma ligação externa com uma interface num fornecedor de serviços ou diretamente com os serviços SWIFT.
• Arquitetura B (sem pegada de utilizador local): Para utilizadores que não utilizam qualquer componente de infraestrutura específica da SWIFT no seu ambiente. Inclui utilizadores que acedem aos serviços de mensagens SWIFT através de uma aplicação GUI (Graphical User Interface) no prestador de serviços, ou cujas aplicações de back-office comunicam diretamente com o prestador de serviços utilizando API, clientes de middleware ou clientes de transferência segura de ficheiros sem se ligarem ou transmitirem independentemente transações comerciais aos serviços SWIFT.

Implementação e conformidade

Os utilizadores SWIFT devem garantir a conformidade com os controlos do CSCF através da aplicação KYC Security Attestation (KYC-SA). Este processo sublinha a responsabilidade partilhada da SWIFT e dos seus utilizadores na manutenção de uma rede segura. Apesar dos desafios, a comunidade financeira tem sido bem-sucedida na implementação destes controlos, com um diálogo e feedback contínuos que ajudam a aperfeiçoar e melhorar o CSP.

A tabela seguinte oferece um resumo abrangente de todos os controlos de segurança obrigatórios e opcionais (um total de 32), organizados pelo princípio orientador a que aderem e ligados ao modelo de arquitetura específico a que se aplicam:

O impacto do CSP na indústria financeira

O CSP melhorou significativamente a postura de segurança das instituições individuais e do ecossistema financeiro em geral. Reduziu os riscos de transações fraudulentas e promoveu uma cultura de transparência.

Apesar destas melhorias, registaram-se ainda alguns incidentes de segurança no sistema SWIFT, nomeadamente:

• O Tien Phong Bank (TPBank), sediado em Hanói, informou que interrompeu a tentativa de roubo de cerca de 1,1 milhões de dólares através de mensagens SWIFT fraudulentas. Podem ser consultados mais detalhes aqui: Vietnam's Tien Phong Bank Victim of SWIFT-Based Attack.
  

• Atacantes utilizaram malware para roubar 81 milhões de dólares ao Banco do Bangladesh: de acordo com a BAE Systems, os atacantes instalaram malware para comprometer as comunicações SWIFT e transferir ilegalmente 81 milhões de dólares. São fornecidas mais informações aqui: Bangladesh Bank Attackers Hacked SWIFT Software.
  

• 4,4 milhões de dólares transferidos para contas nos EUA, Reino Unido e Japão através de mensagens SWIFT fraudulentas: este caso envolveu atacantes que piratearam o servidor SWIFT de um banco nepalês para preparar a transferência. Os pormenores estão disponíveis no seguinte relatório: Attackers Hacked Nepalese Bank's SWIFT Server.

Ainda assim, o impacto positivo do CSP é inegável: ao partilharem dados certificados, os utilizadores SWIFT criam uma dinâmica conjunta no sentido de melhores práticas de segurança, contribuindo para um ambiente financeiro mais seguro para todos.

O futuro do CSP e a cibersegurança no mundo financeiro

O futuro do CSP está interligado com a rápida evolução da tecnologia e com a mudança do panorama das ciberameaças. Para fazer face a estas ameaças em constante evolução, a futura estratégia do CSP irá provavelmente incorporar várias adaptações fundamentais:

1. Técnicas de encriptação melhoradas: em antecipação das ameaças da Computação Quântica, será crucial adotar métodos de encriptação resistentes à quântica. Estes métodos são concebidos para serem seguros contra os ataques da computação clássica e da computação quântica;
2. Inteligência Artificial (IA)) e Machine Learning (ML) para defesa: ao utilizar a IA para fins defensivos, o CSP poderia melhorar os sistemas de deteção de anomalias para identificar e responder a atividades invulgares com maior rapidez e precisão. Isto poderia ser particularmente eficaz na deteção de engenharia social sofisticada e de ameaças internas;
3. Reforço da segurança da cadeia de abastecimento: o CSP terá de implementar requisitos de segurança mais rigorosos e auditorias regulares a fornecedores terceiros. Incentivar a transparência e a colaboração em todo o setor financeiro será vital para identificar e mitigar precocemente potenciais vulnerabilidades;
4. Framework de adaptação contínua: o CSP deve estabelecer um framework de adaptação contínua, que inclua atualizações regulares das suas normas e práticas de segurança, com base nas tecnologias emergentes e nas ciberameaças. Isto exigirá uma colaboração rigorosa com especialistas em cibersegurança, instituições financeiras e fornecedores de tecnologia.

Ao adotar estas estratégias, o CSP pode aumentar a sua capacidade de resistência e continuar a salvaguardar eficazmente o sistema financeiro mundial.

Conclusão

O CSP tem sido decisivo no reforço das defesas do setor financeiro contra ciberameaças. Salienta a importância da colaboração e do cumprimento dos controlos de segurança para manter a integridade do sistema financeiro mundial. Ao olharmos para o futuro, o CSP continuará a evoluir, dando resposta a novos desafios e garantindo a segurança do ecossistema financeiro.

As instituições financeiras são encorajadas a rever e atualizar regularmente as suas práticas de cibersegurança em conformidade com a última versão do CSCF. O envolvimento com a comunidade SWIFT para uma aprendizagem e melhoria partilhadas é vital para nos mantermos à frente de potenciais ameaças e salvaguardarmos o sistema financeiro global.

 Lê mais sobre cibersegurança no ecossistema financeiro neste artigo: Open Banking: riscos e vantagens da banca digital humanizada.