Bezpieczeństwo · 12 października 2026
Luki w standardach pilnych kontroli bezpieczeństwa w sektorze finansowym
Podczas posiedzenia komisji ds. spraw gospodarczych parlamentu z 8 października 2026 roku przedstawiono dowody na istnienie luk w kryteriach pilnych kontroli bezpieczeństwa stosowanych przez instytucje finansowe. Część banków zgłosiła brak nieprawidłowości po przeanalizowaniu jedynie trzech miesięcy logów dostępu, podczas gdy banki internetowe, które zbadały roczne dane, wykryły ślady podejrzanych adresów IP.
Regulator rynku finansowego rozdzielił firmom finansowym formularz pilnej kontroli wewnętrznej zawierający dwanaście pozycji. Dokument ten obejmował kwestie dotyczące prób naruszeń, poniesionych strat oraz funkcjonowania systemów monitorowania bezpieczeństwa w czasie rzeczywistym. Formularz nie precyzował jednak, z jakiego okresu należy analizować historyczne logi dostępu. Wskazano, że brak jasnych wytycznych prowadzi do niespójności w raportowaniu wyników przez różne podmioty.
Analiza logów dostępu w trzech bankach internetowych ujawniła, że dwa z nich odnotowały połączenia z tym samym adresem IP w dniu 24 stycznia bieżącego roku. Te dane zostały zidentyfikowane podczas przeglądu rocznych logów. Istnieje możliwość, że te wcześniejsze połączenia stanowiły wstępną rekonesans przed późniejszymi atakami, choć nie można jednoznacznie przypisać ich temu samemu sprawcy. Wykrycie tych logów nie oznacza, że doszło do faktycznego naruszenia bezpieczeństwa lub wycieku danych osobowych w tych instytucjach. Wymagana jest dalsza analiza treści żądań, statusu uwierzytelniania oraz odpowiedzi systemów, aby określić cel ataku.
Zidentyfikowano również problemy z opóźnionym wykrywaniem incydentów. Z danych przekazanych przez regulator wynika, że w okresie od 2022 roku do sierpnia 2026 roku odnotowano 91 przypadków, w których firmy finansowe wykryły incydenty elektroniczne lub naruszenia bezpieczeństwa dopiero po upływie ponad miesiąca od ich wystąpienia. W siedemnastu z tych przypadków wykrycie nastąpiło po upływie ponad roku, a w jednym przypadku trwało ono 902 dni. Statystyki te obejmują również wewnętrzne awarie programistyczne, a nie wyłącznie zewnętrzne ataki cybernetyczne.
W przypadku jednej z firm kapitałowych naruszenie z 27 września wykryto dopiero 2 października. W innym banku pierwsze oznaki anomalii zauważono w dziale rozwoju oprogramowania, mimo że usługa objęta była monitoringiem bezpieczeństwa. Szef regulatora uznał, że wyniki kontroli trzymiesięcznych i rocznych nie są równoważne. Zapowiedziano, że po zebraniu dodatkowych wyników z innych sektorów, takich jak firmy kartowe, zostaną rozważone dalsze działania. Wymagano, aby wszystkie instytucje ponownie przeanalizowały co najmniej roczne logi i raportowały szczegółowe informacje o okresie badania oraz wykrytych podejrzanych działaniach.