Kradzież 2,4mln USD – zhackowali dwa razy bank w ciągu 8 miesięcy

Ciekawy przypadek opisuje Brian Krebs – w wyniku ataku na jeden z banków w USA wykradziono około 2,4 miliona dolarów. Sam atak był phishingiem i bazował na odpowiednio spreparowanym dokumencie Worda. Co ciekawe w dwóch całkiem sporych odstępach czasu była zaatakowana ta sama stacja robocza, a finalnie atakujący uzyskali dostęp do systemu STAR, gdzie trochę poszaleli wypłacając prawie $600 000 z bankomatów:

Armed with this access, the bank says, hackers were able to disable and alter anti-theft and anti-fraud protections, such as 4-digit personal identification numbers (PINs), daily withdrawal limits, daily debit card usage limits, and fraud score protections. (…) The hackers used hundreds of ATMs across North America to dispense funds from customer accounts.

Po całej operacji był audyt powłamaniowy i rekomendacje; rekomendacje pojawiły się również od operatora sieci STAR:

 (…) National Bank implemented additional security protocols, as recommended by FirstData. These protocols are known as “velocity rules” and were put in place to help the bank flag specific types of repeated transaction patterns that happen within a short period of time

Chyba aby przetestować nowe zapory, prawdopodobnie ci sami atakujący uruchomili kolejną kampanię phishingową,  która okazała się jeszcze bardziej skuteczna. Uzyskano bowiem dodatkowo dostęp do systemu Navigator:

This time not only did the intruders regain access to the bank’s STAR Network, they also managed to compromise a workstation that had access to Navigator, which is software used by National Bank to manage credits and debits to customer accounts.

Prior to executing the second heist, the hackers used the bank’s Navigator system to fraudulently credit more than $2 million to various National Bank accounts. As with the first incident, the intruders executed their heist on a weekend. Between Jan. 7 and 9, 2017, the hackers modified or removed critical security controls and withdrew the fraudulent credits using hundreds of ATMs.

Całość zakończyła się ponownie masowym wypłacaniem pieniędzy z bankomatów na kwotę prawie $1 900 000.

To jeszcze nie koniec historii (która miała miejsce w 2016 i 2017 roku), bo bank był ubezpieczony od cyber włamań, ale ubezpieczyciel nie chce wypłacić całej kwoty odszkodowania. Stąd pozew sądowy banku przeciwko ubezpieczycielowi, na który wskazuje Brian Krebs. Dziennikarz zaznacza również, że zazwyczaj z przygotowaniem polisy na ochronę przez cyberatakiem nie ma problemu. Gorzej jest kiedy trzeba ją zweryfikować w konkretnym naruszeniu, co porównane jest do dzikiego zachodu:

“While it is fairly easy to write a policy around data breach liability, when it comes to actual intrusions and managing intrusions, it’s a wild wild west,” she said.

-ms