Włamanie do banku. Online

Taka jest cena na ToRRez, platformie aukcyjnej Dark Web; jeśli kupisz dane 3 kart naraz, czwartą dostaniesz za darmo. Zaledwie 5 dolarów kosztuje tutorial, dzięki któremu zbudujesz stronę internetową nieprzypadkowo identyczną ze stroną znanego banku. Za wszystko możesz zapłacić przelewem kryptowaluty na prawdziwe konto założone na fałszywe dokumenty (do kupienia w tym samym miejscu).

Na zlecenie tygodnika „The Economist” firma Intel 471 zbadała możliwość cyfrowego włamania do banku z wykorzystaniem wiedzy, którą można kupić na Dark Webie. By ująć to najprościej, należałoby powiedzieć, że Intel 471 zajmuje się cyfrowym kontrwywiadem: działając pod oświeceniowym hasłem „Twój głos rozumu i prawdy”, oferuje rządom, instytucjom, firmom obronę przed różnego rodzaju cyfrowymi włamaniami, której zasadniczym narzędziem jest eksploracja Dark Web. Warto zajrzeć na ich stronę oraz Twittera – prezentuje naprawdę niezwykłe specjalności zawodowe.

Okazuje się, że maju – na ten miesiąc padło zlecenie gazety – odbywała się tam aukcja danych osobowych 30 milionów klientóirańskiego Banku Mellat, dostępne było też ogłoszenie, w którym oferowano siedmiocyfrowe wynagrodzenie za każdy tydzień pracy, w którym pracownik banków JP Morgan Chase, Bank of America lub Wells Fargo pomógłby w autoryzacji serii nie całkiem oficjalnych przelewów.

Według tygodnika nowoczesność napadów na banki polega nie tylko na cyfrowej formie, ale działaniu na zlecenie – ogłoszenia i aukcje nie są raczej efektami działań pojedynczych spryciarzy czy nawet dobrze zorganizowanych gangów, z superinteligentnym hersztem i romantycznymi członkami o niezbyt ładnych, ale i nie całkiem zawinionych biografiach. Przestępców wspierają często rogue states, w rodzaju Korei Północnej lub tolerują inne państwa, o niejasnych intencjach politycznych (jak Rosja i Chiny). Dlatego banki są dobrym celem, ponieważ oprócz pieniędzy, na których może zależeć totalitarnemu państwu, które ma za mało zasobów, by wyżywić własnych mieszkańców, i jednocześnie jest odcięte od funduszy światowych, skraść można w nich również dane, informacje, które można wykorzystać w inny sposób. Ze wszystkich firm i sektorów państwowych i komercyjnych banki są atakowane najczęściej i najwięcej wydają pieniędzy na obronę. Są to, według „The Economist”, budżety porównywalne do wojskowych.

Czytaj dalej poniżej

Dzięki UOKiK nie musicie logować się do aplikacji mBanku, by uniknąć opłat Grzegorz Ułan

Tyle lat i ani jednego wirusa. Nikt też mnie nie zhackował. Gdzie tkwi sekret? Jakub Szczęsny

Schemat wstępu do włamania jest powszechnie znany; używa się albo phishingu, czyli krótko mówiąc odpowiednio spreparowanej wiadomości z załącznikiem, albo trojana, zakamuflowanego w atrakcyjnym dla pracownika i bezpiecznie wyglądającym programie. Wykonanie bywa niezwykłe, niemal imponujące: kiedy w 2019 hakerzy opanowali system bankomatów w Chile, pierwszym etapem było stworzenie fałszywego procesu rekrutacyjnego, wypełnionego dokumentami i nagranymi rozmowami, które w końcu skłoniły jednego pracownika do ściągnięcia zainfekowanego pliku.

Dwie klasyczne metody wzbogacania się to po pierwsze bezpośrednie wyprowadzanie przelewami pieniędzy z kont, na których najpierw powiększono odpowiednio saldo. Druga to wykradanie haseł autoryzacyjnych pracowników, pozwalających na wykonywanie przelewów SWIFT w międzynarodowym systemie bankowym – ta metoda pozwala na transfer pieniędzy prosto na konto założone przez złodziei. W największym napadzie w historii wykorzystano ten ostatni sposób: w 2016 roku wyczyszczono konto Banku Rezerw Federalnych w Nowym Jorku, na którym bank centralny Bangladeszu przechowywał 81 milionów dolarów; pieniądze zostały przelane na konta na Filipinach i Sri Lance.

Jedna z najnowszych metod jest jeszcze przedmiotem badań: chodzi o jackpotting, czyli zaawansowaną procedurę przejmowania kontroli nad bankomatami. Dawniej, czyli 3 lub 10 lat temu, przestępcy przejmowali pojedyncze bankomaty, modyfikując ich czytniki lub klawiatury. W jackpottingu chodzi o celowo napisane oprogramowanie malware dla bankomatów – celowo, ponieważ system obsługujący bankomaty jest państwowo zróżnicowany, niekiedy nawet regionalnie. Zainfekowana sieć bankomatów pozwala wybrać ogromne kwoty z użyciem fałszywych kart, nawet jeśli nie istnieją konta, do których karty powinny być przypisane.

Banki niechętnie przyznają się do strat; oblicza się, że od 2000 roku mogły stracić 12 miliardów dolarów, ale niewiele o tym wiadomo, bo chociaż z jednej strony instytucje finansowe są najczęściej prawnie zobowiązane do raportowania włamań,to z drugiej – skłaniają swoich pracowników do milczenia, ponieważ ujawnienie informacji o włamaniu prowadzi do odpływu klientów. W czerwcu i lipcu przed Senatem USA odbyło się szereg przesłuchań specjalistów i przedstawicieli branżowych dotyczących nie tylko bezpieczeństwa banków, ale również np. zasobów wodnych Ameryki. Wnioski nie były optymistyczne, wielokrotnie mówiono o braku dodatkowych, specjalistycznych procedur bezpieczeństwa; momentami ciekawe nagrania są dostępne na stronie www.senate.gov.

Mimo wszystko ofiary nie są bezbronne; we wrześniu zeszłego roku amerykańska armia znacząco osłabiła możliwości TrickBota, północnokoreańskiego trojana, który – jak pisze CyberDefense24 – tylko do końca 2016 roku dostał się na ponad milion urządzeń na całym świecie, a w Polsce dał się we znaki co czwartej dużej firmie. Specjaliści z Microsoft przestrzegali, że za skutecznością TrickBota stoi nie tylko dobra wiedza techniczna, ale również znajomość kontekstu społecznego i politycznego; trojan jest często umieszczany w plikach powiązanych z gorącymi sprawami i problemami – temat Covid-19 był ostatnio jednym z najlepszych nośników. Z kolei w styczniu 2021 aresztowanoprzestępców stojących za botnetem Emotet, działającym co najmniej od 2014 roku.

Innym środkiem obrony jest zatrudnienie „białych hakerów”, czyli hakerów-dżentelmenów sprawdzających w praktyce poziom zabezpieczeń banku. Odpowiednią laurkę pod adresem White Hats można znaleźć nawet na stronie www.gov.pl, na której luki w ochronie naszych rachunków bankowych nazywa się „cyberpodatnością”. Wydatki na obronę, zwłaszcza w USA, rosną co roku, ale perspektywy nie są dobre. Problemem jest sama złożoność systemu bankowego i płatniczego, który nieustannie dodaje nowe rozwiązania do istniejących – a każde, powiedzmy, ułatwienie czy przyspieszenie płatności, to potencjalna kolejna cyberluka.