Hakerzy ukradli 81 mln dolarów. Tak oszukali system bankowy (2016)

Bank centralny Bangladeszu, znany jako Bangladesh Bank, przechowywał część swoich rezerw walutowych w Banku Rezerwy Federalnej w Nowym Jorku. Pieniądze wykorzystywano do międzynarodowych rozliczeń, a dyspozycje przelewów przesyłano za pośrednictwem systemu SWIFT, umożliwiającego bankom bezpieczną wymianę komunikatów finansowych.

Cyberprzestępcy postanowili wykorzystać ten mechanizm. Nie musieli włamywać się do systemów nowojorskiego Fedu. Wystarczyło, że uzyskali dostęp do komputerów i danych uwierzytelniających używanych przez pracowników banku w Dhace.

Dzięki temu mogli wysyłać fałszywe zlecenia, które wyglądały na autoryzowane przez uprawnioną instytucję.

Według późniejszych ustaleń amerykańskiej prokuratury napastnicy wykorzystali m.in. wiadomości phishingowe kierowane do pracowników Bangladesh Bank. Pozwoliło im to przeniknąć do sieci bankowej i uzyskać dostęp do stanowisk obsługujących komunikację SWIFT.

Na początku lutego 2016 r. przestępcy rozpoczęli wysyłanie fałszywych dyspozycji płatniczych. Łączna wartość zleceń zbliżała się do miliarda dolarów. Pieniądze miały trafić na rachunki wskazanych odbiorców na Filipinach i Sri Lance.

Nie wszystkie operacje zakończyły się powodzeniem. Zrealizowano jednak cztery przelewy do filipińskiego Rizal Commercial Banking Corporation, opiewające łącznie na 81 mln dolarów.

Po dotarciu na Filipiny skradzione środki przepływały przez kolejne rachunki i transakcje. Część operacji była powiązana z miejscowymi kasynami, co utrudniało ustalenie, gdzie ostatecznie trafiły pieniądze.

Przestępcy wykorzystali fakt, że wiadomości przesyłane przez SWIFT były prawidłowo uwierzytelnione. Bank odbierający taką dyspozycję mógł uznać ją za autentyczne polecenie przelewu. Nie oznaczało to jednak, że zlecenie rzeczywiście pochodziło od uprawnionego pracownika banku w Bangladeszu.

Jedna z fałszywych dyspozycji dotyczyła 20 mln dolarów, które miały zostać przelane na Sri Lankę. Podczas jej realizacji pracownicy Deutsche Banku zauważyli błąd w nazwie odbiorcy.

Zamiast angielskiego słowa "foundation", oznaczającego fundację, pojawił się zapis "fandation". Bank zwrócił się do Bangladesh Bank z prośbą o wyjaśnienie niezgodności. Ostatecznie przelew został cofnięty, a 20 mln dolarów odzyskano.

Wiadomość o literówce szybko stała się jednym z najczęściej przywoływanych szczegółów całej kradzieży. Nie był to jednak jedyny powód, dla którego przestępcom nie udało się wyprowadzić niemal miliarda dolarów.

Podejrzenia wzbudziła również duża liczba nietypowych zleceń. Pracownicy nowojorskiego Fedu zwrócili uwagę, że część przelewów kierowano do prywatnych podmiotów, a nie do innych instytucji bankowych. Z tego powodu kolejne dyspozycje poddawano dodatkowej kontroli.

Literówka pomogła więc wykryć nieprawidłowość w konkretnym przelewie na Sri Lankę. Pozostałe transakcje zatrzymywano również z innych powodów.

Napastnicy zadbali także o to, aby pracownicy Bangladesh Bank nie zorientowali się zbyt szybko, że z rachunku znikają pieniądze.

W banku przestało prawidłowo działać drukowanie potwierdzeń komunikatów SWIFT. W normalnych warunkach pracownicy sprawdzali te dokumenty w wersji papierowej. Problemy z ich drukowaniem utrudniły bieżące kontrolowanie operacji.

Dopiero po odzyskaniu dostępu do zapisów ujawniono podejrzane przelewy oraz zapytania kierowane przez inne instytucje finansowe.

Dodatkową przeszkodą okazały się różnice w dniach pracy banków w Bangladeszu i Stanach Zjednoczonych. Kiedy pracownicy w Dhace próbowali wyjaśnić sytuację, w Nowym Jorku rozpoczynał się weekend. Ustalenie, które przelewy zostały już wykonane, a które można jeszcze zatrzymać, zajęło kolejne dni.

Ostatecznie udało się zapobiec realizacji większości fałszywych zleceń. Odzyskano również 20 mln dolarów skierowanych na Sri Lankę. Znacznie trudniejsze okazało się odzyskanie 81 mln dolarów, które trafiły na Filipiny i zostały przekazane dalej.

Sprawą zajęły się amerykańskie organy ścigania. W 2018 r. Departament Sprawiedliwości USA ogłosił zarzuty wobec północnokoreańskiego programisty Park Jin Hyoka.

Prokuratorzy łączyli go z grupą hakerską Lazarus, której przypisywano udział we włamaniu do Bangladesh Bank. Według śledczych grupa miała odpowiadać również za inne cyberataki wymierzone w zagraniczne instytucje i przedsiębiorstwa.

Postawienie zarzutów nie oznaczało jednak, że Park Jin Hyok został prawomocnie skazany za kradzież pieniędzy z banku centralnego Bangladeszu.

Atak z lutego 2016 r. pokazał, że przestępcy mogą przejąć ogromne sumy bez bezpośredniego włamania do banku przechowującego pieniądze. Wykorzystali dostęp do systemów nadawcy i wysłali fałszywe dyspozycje, które początkowo nie wzbudziły podejrzeń. Zanim wykryto oszustwo i zatrzymano większość przelewów, 81 mln dolarów zdążyło już opuścić rachunek banku.