Flare: Skradzione dane logowania FinServ wzrosły o 56%

Kradzież danych logowania w sektorze finansowym przeszła z kategorii szumu tła do systemowego ryzyka. Nowe badanie Flare pokazuje, że między wrześniem 2025 a sierpniem 2026 roku na podziemnych forach pojawiło się ponad 422 000 logów stealer z danymi logowania do banków i platform FinServ w Ameryce Północnej — to wzrost o 56,3% rok do roku. Dla CISO banków, fintechów i infrastruktury płatniczej ekspozycja wykracza już poza konta klientów i obejmuje konsole operatorów całych platform kart i płatności.

Co zostało ogłoszone

Flare, lider w dziedzinie identity-first Cyber Threat Intelligence (CTI), opublikowała badanie kwantyfikujące skalę kradzieży danych logowania do usług finansowych w USA, Kanadzie i Meksyku. Analizie poddano logi stealer z zainfekowanych maszyn geolokalizowanych w Ameryce Północnej, udostępnione na forach przestępczych między wrześniem 2024 a sierpniem 2026 roku.

Kluczowe liczby: 422 747 logów stealer z danymi FinServ w ostatnich 12 miesiącach wobec 270 444 rok wcześniej. Wolumen miesięczny osiągnął szczyt 50 541 w marcu 2026 i ustabilizował się na poziomie 37 000–40 000 logów — około dwukrotnie więcej niż wcześniejsza linia bazowa. USA odpowiadały za większość wzrostu — 83,1% rok do roku, Kanada wzrosła o 77,9%, Meksyk spadł o 4,8%.

Najbardziej krytyczne: Flare zidentyfikowała około 2 000 zainfekowanych maszyn z dostępem operatora do konsol wydawania kart, dostawców core banking i szyn płatniczych. Około połowa dotyczy platform programów kartowych.

Ogólne wolumeny mówią nam, że problem rośnie, ale to właśnie zainfekowane maszyny pracowników banków i operatorów infrastruktury są miejscem, w którym skompromitowane dane logowania mogą wyrządzić największe szkody. Jeden zainfekowany laptop z dostępem do platformy wydawania kart lub dostawcy core banking może jednocześnie narazić wiele instytucji. To są dane logowania, które zespoły bezpieczeństwa muszą znaleźć w pierwszej kolejności.

Dlaczego ma to znaczenie

Dla CIO, CISO i liderów zakupów w sektorze finansowym dane Flare przeformułowują ekspozycję danych logowania jako problem łańcucha dostaw. Gdy jeden zainfekowany endpoint należy do pracownika dostawcy programów kartowych lub providera core banking, pojedyncza kompromitacja może kaskadowo dotknąć wszystkie banki i fintechy działające na tej platformie.

Flare znalazła również 2 644 logi, w których login do platformy finansowej był sparowany z firmowym adresem e-mail tej samej firmy — mocny wskaźnik, że zainfekowane urządzenie należało do pracownika. W jednym dużym banku USA prawie 40% takich maszyn zawierało dane logowania do wewnętrznych systemów pracowniczych, a mniej niż 7% wyłącznie do bankowości osobistej.

Szczegóły techniczne

• Wolumen: 422 747 logów stealer FinServ w 12 miesięcy, +56,3% rok do roku.
• Ekspozycja operatorska: około 2 000 zainfekowanych maszyn z dostępem do systemów wydawania kart, core banking i szyn płatniczych.
• Logi powiązane z pracownikami: 2 644 przypadki sparowania loginów platform finansowych z firmową pocztą.
• Dynamika regionalna: USA +83,1%, Kanada +77,9%, Meksyk -4,8% rok do roku.
• Infrastrukturalny poziom ryzyka: około 3 300 logów powiązanych z firmami korzystającymi z systemów treasury i płatności ACH/wire.
• Kategorie platform: fintech i platformy specjalistyczne — 85,2% logów, tradycyjne banki — 36,2%, inwestycje i wealth management — 22,6%.
• Rekomendacje: oddzielić ekspozycję korporacyjną od klienckiej, priorytetyzować dane logowania infrastruktury bankowej, rozszerzyć monitoring na dostawców i spółki zależne.

Softprom i Flare

Softprom jest oficjalnym dystrybutorem Flare. Instytucje finansowe i MSSP uzyskują dostęp do platformy identity-first CTI Flare, która nieprzerwanie monitoruje logi stealer, fora przestępcze i darknet w celu wykrywania wysokiego ryzyka ekspozycji tożsamości.

Treść przygotowana w ramach projektu Softprom DistriFlow — zautomatyzowanego systemu monitorowania i adaptacji aktualności vendorów. Źródło: artykuł oryginalny.