Bezpieczeństwo

Włamanie do banku. Online

MG
Maciej Gorczyński
0

25 dolarów za dane twojej karty płatniczej.

Taka jest cena na ToRRez, platformie aukcyjnej Dark Web; jeśli kupisz dane 3 kart naraz, czwartą dostaniesz za darmo. Zaledwie 5 dolarów kosztuje tutorial, dzięki któremu zbudujesz stronę internetową nieprzypadkowo identyczną ze stroną znanego banku. Za wszystko możesz zapłacić przelewem kryptowaluty na prawdziwe konto założone na fałszywe dokumenty (do kupienia w tym samym miejscu).

Na zlecenie tygodnika „The Economist” firma Intel 471 zbadała możliwość cyfrowego włamania do banku z wykorzystaniem wiedzy, którą można kupić na Dark Webie. By ująć to najprościej, należałoby powiedzieć, że Intel 471 zajmuje się cyfrowym kontrwywiadem: działając pod oświeceniowym hasłem „Twój głos rozumu i prawdy”, oferuje rządom, instytucjom, firmom obronę przed różnego rodzaju cyfrowymi włamaniami, której zasadniczym narzędziem jest eksploracja Dark Web. Warto zajrzeć na ich stronę oraz Twittera – prezentuje naprawdę niezwykłe specjalności zawodowe.

Okazuje się, że maju – na ten miesiąc padło zlecenie gazety – odbywała się tam aukcja danych osobowych 30 milionów klientóirańskiego Banku Mellat, dostępne było też ogłoszenie, w którym oferowano siedmiocyfrowe wynagrodzenie za każdy tydzień pracy, w którym pracownik banków JP Morgan Chase, Bank of America lub Wells Fargo pomógłby w autoryzacji serii nie całkiem oficjalnych przelewów.

Według tygodnika nowoczesność napadów na banki polega nie tylko na cyfrowej formie, ale działaniu na zlecenie – ogłoszenia i aukcje nie są raczej efektami działań pojedynczych spryciarzy czy nawet dobrze zorganizowanych gangów, z superinteligentnym hersztem i romantycznymi członkami o niezbyt ładnych, ale i nie całkiem zawinionych biografiach. Przestępców wspierają często rogue states, w rodzaju Korei Północnej lub tolerują inne państwa, o niejasnych intencjach politycznych (jak Rosja i Chiny). Dlatego banki są dobrym celem, ponieważ oprócz pieniędzy, na których może zależeć totalitarnemu państwu, które ma za mało zasobów, by wyżywić własnych mieszkańców, i jednocześnie jest odcięte od funduszy światowych, skraść można w nich również dane, informacje, które można wykorzystać w inny sposób. Ze wszystkich firm i sektorów państwowych i komercyjnych banki są atakowane najczęściej i najwięcej wydają pieniędzy na obronę. Są to, według „The Economist”, budżety porównywalne do wojskowych.

Schemat wstępu do włamania jest powszechnie znany; używa się albo phishingu, czyli krótko mówiąc odpowiednio spreparowanej wiadomości z załącznikiem, albo trojana, zakamuflowanego w atrakcyjnym dla pracownika i bezpiecznie wyglądającym programie. Wykonanie bywa niezwykłe, niemal imponujące: kiedy w 2019 hakerzy opanowali system bankomatów w Chile, pierwszym etapem było stworzenie fałszywego procesu rekrutacyjnego, wypełnionego dokumentami i nagranymi rozmowami, które w końcu skłoniły jednego pracownika do ściągnięcia zainfekowanego pliku.

Dwie klasyczne metody wzbogacania się to po pierwsze bezpośrednie wyprowadzanie przelewami pieniędzy z kont, na których najpierw powiększono odpowiednio saldo. Druga to wykradanie haseł autoryzacyjnych pracowników, pozwalających na wykonywanie przelewów SWIFT w międzynarodowym systemie bankowym – ta metoda pozwala na transfer pieniędzy prosto na konto założone przez złodziei. W największym napadzie w historii wykorzystano ten ostatni sposób: w 2016 roku wyczyszczono konto Banku Rezerw Federalnych w Nowym Jorku, na którym bank centralny Bangladeszu przechowywał 81 milionów dolarów; pieniądze zostały przelane na konta na Filipinach i Sri Lance.

Jedna z najnowszych metod jest jeszcze przedmiotem badań: chodzi o jackpotting, czyli zaawansowaną procedurę przejmowania kontroli nad bankomatami. Dawniej, czyli 3 lub 10 lat temu, przestępcy przejmowali pojedyncze bankomaty, modyfikując ich czytniki lub klawiatury. W jackpottingu chodzi o celowo napisane oprogramowanie malware dla bankomatów – celowo, ponieważ system obsługujący bankomaty jest państwowo zróżnicowany, niekiedy nawet regionalnie. Zainfekowana sieć bankomatów pozwala wybrać ogromne kwoty z użyciem fałszywych kart, nawet jeśli nie istnieją konta, do których karty powinny być przypisane.

Banki niechętnie przyznają się do strat; oblicza się, że od 2000 roku mogły stracić 12 miliardów dolarów, ale niewiele o tym wiadomo, bo chociaż z jednej strony instytucje finansowe są najczęściej prawnie zobowiązane do raportowania włamań,to z drugiej – skłaniają swoich pracowników do milczenia, ponieważ ujawnienie informacji o włamaniu prowadzi do odpływu klientów. W czerwcu i lipcu przed Senatem USA odbyło się szereg przesłuchań specjalistów i przedstawicieli branżowych dotyczących nie tylko bezpieczeństwa banków, ale również np. zasobów wodnych Ameryki. Wnioski nie były optymistyczne, wielokrotnie mówiono o braku dodatkowych, specjalistycznych procedur bezpieczeństwa; momentami ciekawe nagrania są dostępne na stronie www.senate.gov.

Mimo wszystko ofiary nie są bezbronne; we wrześniu zeszłego roku amerykańska armia znacząco osłabiła możliwości TrickBota, północnokoreańskiego trojana, który – jak pisze CyberDefense24 – tylko do końca 2016 roku dostał się na ponad milion urządzeń na całym świecie, a w Polsce dał się we znaki co czwartej dużej firmie. Specjaliści z Microsoft przestrzegali, że za skutecznością TrickBota stoi nie tylko dobra wiedza techniczna, ale również znajomość kontekstu społecznego i politycznego; trojan jest często umieszczany w plikach powiązanych z gorącymi sprawami i problemami – temat Covid-19 był ostatnio jednym z najlepszych nośników. Z kolei w styczniu 2021 aresztowanoprzestępców stojących za botnetem Emotet, działającym co najmniej od 2014 roku.

Innym środkiem obrony jest zatrudnienie „białych hakerów”, czyli hakerów-dżentelmenów sprawdzających w praktyce poziom zabezpieczeń banku. Odpowiednią laurkę pod adresem White Hats można znaleźć nawet na stronie www.gov.pl, na której luki w ochronie naszych rachunków bankowych nazywa się „cyberpodatnością”. Wydatki na obronę, zwłaszcza w USA, rosną co roku, ale perspektywy nie są dobre. Problemem jest sama złożoność systemu bankowego i płatniczego, który nieustannie dodaje nowe rozwiązania do istniejących – a każde, powiedzmy, ułatwienie czy przyspieszenie płatności, to potencjalna kolejna cyberluka.

Hej, jesteśmy na Google News - Obserwuj to, co ważne w techu

Więcej na tematy: