Из украинского банка похищено $10 млн: новая атака взломщиков системы SWIFT

Киевский филиал международной ассоциации Information Systems Audit and Control Association (ISACA), объединяющей профессионалов в области ИТ-аудита, консалтинга, управления и информационной безопасности, сообщил о краже денежных средств из украинского банка в размере $10 млн. Название банка, из которого были выведены средства, не сообщается, однако известно, что взломщики смогли манипулировать сообщениями межбанковской информационной платформы SWIFT. И это уже не первая подобная атака.

Краткая история взломов SWIFT

Атака на финансовое учреждение была произведена через систему платежей. SWIFT — это международная межбанковская система передачи информации и совершения платежей, которая была основана 1973 году. Атака на украинские банки через эту систему — не единичный случай. За последнее время SWIFT многократно подвергалась хакерским атакам.

Через нее хакером ранее удалось украсть из банка Бангладеш $81 млн. Атака на Центробанка Бангладеш считается одним из самых громких киберпреступлений. Мы писали об этой истории ранее.

Помимо этого, нападениям по аналогичной схеме подвергался также банк Banco del Austro в Эквадоре. В результате кибератаки было похищено $9 млн.Кроме того, в СМИ попадала информация о неудачной атаке на вьетнамский Tien Phong Bank из Вьетнама. По данным специалистов Symantec, за описанными выше атаками может стоять хакерская группировка Lazarus. О группировке Lazarus, и о том, кто, по всей вероятности за ней стоит, можно более подробнее прочитать в опубликованном ранее материале.

Как осуществляется взлом

Сценарий действия злоумышленников один и тот же. После проникновения в банк, хакеры несколько месяцев вникают в его работу, тщательно изучая внутренние процессы. Затем они используют полномочия легитимных пользователей для проведения платежей через международную межбанковскую систему платежей SWIFT Хакеры получают возможность читать транзакции и посылать вместо них свои, подделанные.

А для того, чтобы фальшивые транзакции не попали в логи, запущенная хакерами служба наблюдает за входящими сообщениями и удаляет ответы на эти транзакции из базы. Кроме того модифицируются файлы PCL, отсылаемые через процесс, ответственный за печать логов на лазерном принтере — до печати из них удаляется информация о транзакции, а после печати «затирается» нулями.

Что говорят эксперты по безопасности

«На данный момент скомпрометирована десятки банков, из которых украдено сотни миллионов долларов. В зоне риска, главным образом, банки, находящиеся в России и Украине», — комментируют инцидент специалисты ISACA. В организации полагают, что хакерам уже удалось проникнуть в большинство украинских банков. На данный момент злоумышленники проводят изучение бизнес-процессов и готовятся к проведению дальнейших масштабных мошеннических операций.

По заявлению президента киевского отделения ISACA Алексея Янковского, банки крайне боятся огласки и поэтому с большой неохотой делятся с представителями СМИ подобного рода информацией. По его мнению, в целях предотвращения атак на государственном уровне необходимо создать центр обмена информацией, где можно было бы обмениваться информацией и совместными усилиями планировать каким образом, можно отразить будущие атаки.

Эксперты исследовательской компании FireEye призывают все финансовые организации, подключенным к SWIFT, не оставлять без внимание участившиеся атаки и принимать меры по усилению собственной защищенности — например, чаще проводить независимые аудиты безопасности.

Реакция SWIFT

Самой системой финансовых переводов SWIFT также выработаны многочисленные меры, призванные улучшить безопасность. Однако, введение этих мер сопряжено с большими финансовыми затратами. Тем не менее, успех целиком и полностью зависит от участия всех заинтересованных сторон внутри и вокруг отрасли. «Только общими усилиями всех представителей индустрии удастся достигнуть результатов» — подчеркивает в своих заявлениях генеральный директор SWIFT Готтфрид Лейббрандт (Gottfried Leibbrandt).

Финансовые компании разрабатывают различные средства защиты и самостоятельно — прием они могут быть направлены не только на борьбу с последствиями взломов, но и обычных ошибок ИТ-систем. К примеру, ошибки в работе биржевых систем могут приводить в том числе и к некорректному отображению торговых данных или неверному расчету гарантийного обеспечения для удержания позиции (ошибка может привести даже к преждевременному закрытию сделки). Для того, чтобы минимизировать возможный ущерб брокерские компании разрабатывают различные системы защиты клиентов.