Кібербезпека фінкомпаній: що вимагає НБУ до грудня 2026 року

Один фішинговий лист, повторно використаний пароль або заражений робочий ноутбук можуть відкрити зловмисникам доступ до пошти, бухгалтерських систем, клієнтських баз і платежів. Про основні кіберзагрози та способи захисту фінансового бізнесу на YouTube-каналі TAX Podcast розповів Євген Єгоров, CEO напряму «Кібербезпека» холдингу SHERIFF.

Для небанківських фінансових установ кіберзахист став ще й регуляторною вимогою. Постанова НБУ №143 визначає правила управління кіберризиками та ризиками інформаційної безпеки, реагування на інциденти й управління доступами. Вона поширюється, зокрема, на страховиків, кредитні спілки, фінансові компанії та ломбарди. Постанова набула чинності 13 грудня 2025 року, а привести діяльність у відповідність потрібно протягом року.

Кібербезпека фінансових компаній: чому головний ризик — людина

Облікові системи на кшталт 1С і BAS можуть містити критичну інформацію про операції, контрагентів і звітність. Але для доступу до неї зловмисникові часто простіше атакувати не програму, а співробітника.

Найпоширеніший інструмент — фішинг. Бухгалтеру чи фінансисту надходить повідомлення нібито від банку, податкової, НБУ, суду або іншої установи з вимогою терміново відкрити документ, перейти за посиланням чи підтвердити дані.

Мета — отримати логін і пароль через підроблену форму або змусити користувача запустити шкідливий файл. Ризик зростає, якщо однаковий пароль використовується в кількох сервісах: компрометація одного акаунта може відкрити шлях до пошти та корпоративних систем.

Ще одна загроза — внутрішній інсайдер. Доступи може передати підкуплений співробітник або людина, яка вже звільнилася, але її обліковий запис не заблокували.

Фішинг для бухгалтерів: як перевірити лист від «банку» чи «податкової»

Генеративний ШІ зробив шахрайські повідомлення переконливішими, тому помилки й неприродний стиль уже не є надійними маркерами підробки.

Перед виконанням незвичного запиту варто перевірити:

Якщо повідомлення нібито надійшло від банку чи державного органу, безпечніше самостійно знайти офіційний номер установи та перевірити запит.

Кібератака на фінкомпанію може готуватися пів року

Підписуйтеся на наші соцмережі

Шкідливе ПЗ здатне залишатися на робочому пристрої місяцями до активної фази атаки. В одному з показових випадків бухгалтер принесла робочий ноутбук додому, де дитина завантажила гру з торрент-файлу. Разом із нею на пристрій потрапила програма для віддаленого доступу.

Зараження сталося приблизно за пів року до атаки. Коли бухгалтер увійшла в робочі системи, керування ноутбуком перехопили дистанційно.

Приблизно за 15 хвилин була здійснена спроба вивести 1,5 млн грн. Основну частину переказів вдалося зупинити, але втрати становили орієнтовно 100–200 тис. грн.

Це показує, чому робочі пристрої не варто використовувати для сторонніх завантажень, а корпоративну пошту — для особистих сервісів. Якщо сторонній сервіс зламають, робочі облікові дані можуть стати точкою входу в інфраструктуру компанії.

BEC-атаки та ШІ: як захистити платежі від підміни

Компрометація пошти або месенджера допомагає шахраям відтворити структуру компанії, визначити керівників, фінансистів і контрагентів, а потім підготувати персоналізовану атаку.

Так працюють BEC-атаки: зловмисник видає себе за директора, колегу чи партнера. Один із небезпечних сценаріїв — підміна банківських реквізитів у корпоративному листуванні.

Синтез голосу й відео додав ще один ризик: шахраї можуть імітувати керівника під час дзвінка або онлайн-наради. Тому значний чи нетиповий платіж доцільно підтверджувати через другий незалежний канал — наприклад, окремим дзвінком уповноваженій особі.

Постанова НБУ №143: вимоги до кібербезпеки фінкомпаній

Постанова НБУ №143 охоплює чотири ключові напрями: управління кіберризиками та ризиками інформаційної безпеки, організацію кіберзахисту, управління кіберінцидентами та порядок управління правами доступу.

Це означає, що кібербезпека не може зводитися лише до антивірусу та роботи системного адміністратора. Потрібні формалізовані правила, контроль критичних систем, розмежування доступів і зрозумілий порядок реагування на інциденти.

Працівник повинен отримувати лише ті права, які необхідні йому для роботи. Після звільнення доступи потрібно своєчасно відкликати, а критичні повноваження не варто концентрувати в однієї людини.

Окреме завдання — моніторинг подій безпеки, адже атаки можуть починатися вночі або у вихідні. Одним із інструментів є Security Operations Center — SOC, що відстежує аномальну активність. Водночас виконання вимог Постанови №143 не зводиться до використання конкретного комерційного SOC.

Захист фінансової компанії від кібератак: що зробити до грудня 2026 року

Відкладати підготовку до завершення перехідного періоду ризиковано. Аудит доступів, розподіл відповідальності, внутрішні політики та процеси реагування потребують часу.

Практичний мінімум для фінансової компанії:

Самої наявності резервних копій недостатньо. Якщо їх відновлення ніколи не тестували, у момент атаки компанія може виявити, що швидко повернути системи до роботи неможливо.

Кібератака на фінансову компанію: як діяти після компрометації

Перше завдання — обмежити поширення атаки. Скомпрометовані пристрої або сегменти мережі потрібно ізолювати, після чого визначити джерело проникнення, масштаб інциденту та уражені системи.

Відновлювати роботу потрібно з перевірених резервних копій і чистої інфраструктури. За наявності ознак злочину компанія може звернутися до кіберполіції.

Шифрування баз даних, ключів та іншої критичної інформації здатне зупинити операційну роботу, заблокувати бухгалтерські системи й ускладнити своєчасну підготовку звітності.

Тому вартість кібератаки — це не лише викрадені кошти. До неї входять простій, відновлення систем, розслідування, втрачений робочий час і репутаційні збитки.

Кібербезпека бізнесу — частина фінансового ризик-менеджменту

Постанова НБУ №143 встановила для небанківських надавачів фінансових послуг конкретні вимоги, однак економічний сенс кіберзахисту значно ширший за виконання норми регулятора.

Атака може позбавити компанію доступу до бухгалтерських систем, клієнтської бази та критичних даних, зупинити операції або скомпрометувати платежі. Для фінансового бізнесу до прямих збитків додається довіра клієнтів, яку після витоку персональної чи фінансової інформації відновити значно складніше, ніж технічну інфраструктуру.

Тому бюджет на кібербезпеку доцільно порівнювати не з вартістю антивірусу чи аудиту, а з потенційною ціною простою, втрати даних та компрометації платежів. До грудня 2026 року управління кіберризиками має стати не окремим завданням IT, а частиною щоденних бізнес-процесів фінансової компанії.