Хакерська крадіжка золотовалютних резервів Бангладеш — події 2016 року, коли невідомі особи задіяли систему СВІФТ для переказу майже одного мільярда доларів США, з яких вдалося вивести лише 101 млн, з рахунку Банку Бангладеш у Федеральному резервному банку Нью-Йорка на рахунки в банках Філіппін і Шрі-Ланки. Опівночі 5 лютого хакери отримали повний контроль над мережею бангладеського банку та відправили 35 переказів до Нью-Йорка. Звідти 81 млн доларів пішли на 4 приватних рахунки в Юпітерському відділенні філіппінського комерційного банку у Макаті, ще 20 млн — на рахунок ланкійського благодійного фонду, відкритому в банку в Коломбо. Після цього нью-йоркський банк призупинив 25 переказів по 30 млн кожний та 5 по 20 млн доларів на 5 філіппінських рахунків і запитав через СВІФТ у Даки подробиці на одержувачів і підстави для розрахунків. Завдяки хакерському контролю та вихідним, міжбанківський діалог відбувся лише 8 лютого.

20-млн-доларовий переказ викликав підозру у ланкійського касира, між іншим через орфографічну помилку в назві одержувача, і був затриманий. Згодом гроші з Коломбо повернули до Нью-Йорка. Після вчасного перехоплення ще одної спроби невідомих хакерів викрасти цього разу 926,2 тис. доларів китайської компанії міжбанківським переказом до ланкійського банку, почав масштабну перевірку грошових переказів у банках країни.

За версією Кіма Вонга про надходження великих коштів на філіппінські рахунки знали заздалегідь організатори ігрового туризму мешканець Пекіну Ґао Шухва та прибувший з Макао Дін Чжицзе.

До розслідування бангладеської справи залучено фірми з комп'ютерної безпеки FireEye і World Informatix, фінансова розвідка і кримінальний розшук Бангладеш, Рада протидії відмиванню грошей, і податкова служба Філіппін, центральний банк і поліція Шрі-Ланки, ФБР і конгресвуман із Нью-Йорка , а також Інтерпол і Світовий банк.

Перша публікація про відмивання майже 100 млн доларів на Філіппінах з'явилася в через три тижні після події. Ще через тиждень газети та інформагентства оприлюднили джерело цих грошей. На думку колумніста Майкла Регана розголос хакерської бангладеської схеми затемнив усі інші події тижня на Волл-стріті та виявив центральні банки як найслабкіший ланцюг комп'ютерної безпеки в банковій галузі.

Стан на початок 2016 року

Міжбанківські фінансові телекомунікації та кіберзлочинність

Події 2016 року були не першим випадком крадіжки з рахунків центральних банків у Федеральному резервному банку Нью-Йорка. Так, чинний голова юридичної служби банку Томас Бакстер був задіяний у пошуках вкрадених золотовалютних резервів Уганди з нью-йоркського рахунку ще в 1980-ті за часів телексної технології. Тоді особі, яку заарештували за спробу зняти вкрадені гроші зі швейцарського рахунку і яку перевезли в США, вдалося уникнути засудження.

Міжнародне товариство СВІФТ ( було засновано для безпечної, стандартної та надійної передачі інформації по здійсненню платежів між фінансовими установами. СВІФТ — кооператив, яким володіють 3 тисячі членів. Системою СВІФТ користуються більше 11 тисяч банків і компаній з понад 200 країн. На початку лютого 2016 року трафік через мережу SWIFTNet становив майже 25 млн повідомлень за робочий день, з яких 47 % стосуються грошових переказів .

В обліковому записі банки мають вказати партнерів, яких вони обирають для здійснення грошових переказів. Для авторизації відсилки повідомлення про платіж СВІФТ вимагає автентифікації з використанням одноразового паролю, що створюється апаратним токеном. У понад двох тисяч організацій СВІФТівські телекомунікації поєднуються з локальними застосунками та базами даних через СВІФТівський інтерфейс Alliance Access. Інтерфейс має 20-річну історію, його версія 7.2 з'явилась 6 січня 2016 року.

висвітлила низку свіжих пограбувань банків через систему СВІФТ кібербандою , що застосовує технологію APT у ретельно відпрацьованих операціях і позбавила банки загалом на мільярд доларів. Carbanak складається з представників Росії, Китаю, України та інших європейських країн. Типово 10 млн доларів було вкрадено з кожної з близько 100 фінансових установ у 30 країнах, які користувалися різноманітним програмним забезпеченням.

Колишній старший віце-президент із глобальної інформаційної безпеки Банку Америки Ігор Байкалов зазначив чітку тенденцію росту складності кіберзлочинності. Минає час поодиноких простих наскоків, на кшталт захоплення облікового запису або невибіркового спаму. Для сучасних кібератак команда кримінальних спеціалістів розробляє складну багаторівневу, багатостадійну схему злочину. Вони користуються чорним ринком комплектів шкідливих програм і позичання ботнетів, та експлойтами, що виробляються на замовлення. Повторне використання програмних модулів, співробітництво та розподіл праці за фахом додає ефективності у виконанні проектів і ускладнює боротьбу з нападами на фінансові установи. Встановлення тієї чи іншої географічної точки входу в мережу не обов'язково дає місце знаходження нападників, а скоріше свідчить про частини мережевої інфраструктури, чиї власники навіть не підозрюють про атаку .

З іншого боку, передовий досвід захисту від кібератак усвідомлюється повільно. Так, протягом 6 місяців ніхто не реагував на дзвінок безпекової фірми FireEye про початок нападу на комп'ютерну мережу компанії Target, що закінчився крадіжкою російськими хакерами 40 млн номерів банківських карток і ще 70 млн адрес покупців. Лише декілька комерційних банків, зокрема Банк Америки та запровадили двофакторну автентифікацію для підвищення безпеки. Щойно деякі банки почали запроваджувати автоматичні телефонні дзвінки замість СМС-повідомлень для двофакторної автентифікації, як Symantec помітила наприкінці 2015 року ріст застосування оновленої версії троянської програми Android.Bankosy, яка здатна переадресовувати дзвінки на зловмисників.

У 2015 році правоохоронці Ізраїлю заарештували керівника кримінального світового конгломерату Джері Шалона. Його звинувачують у крадіжці даних 100 млн осіб, у тому числі 78 млн з 90 серверів банку JPMorgan Chase за рік до арешту, і перетворенні цих даних у сотні мільйонів доларів. Для крадіжки з комп'ютерів JPMorgan Chase був задіяний сервер командування й управління в Єгипті. В конгломерат також входили 12 онлайн-казино.

Банк Бангладеш

Федеральний резервний банк Нью-Йорка

Центральні банки з майже 250 країн мають рахунки в Федеральному резервному банку Нью-Йорка загальною вартістю 3 трильйона доларів, що становить половину світових офіційних запасів доларів. Кожний робочий день банк приймає або відправляє електронні перекази на суму близько 80 млрд доларів. З серпня 2014 року електронні комунікації з банком регулюються «Операційним циркуляром № 5» . Клієнти мають самостійно займатися безпекою електронного зв'язку. Офлайнові операції допускаються, але коштують дорожче. Резервний банк не зобов'язаний повідомляти про крадіжки з рахунків центральних банків або корпорацій. Випадок з Банком Уганди залишається єдиною розголошеною подією.

Випадок успішної хакерської атаки на сервери банку стався в жовтні 2012 року. ФБР звинувачує фінсько-британського активіста міжнародного руху підтримки акції «Захопи Волл-стріт» фахівця з інформатики зі (Саффолк, Англія) в захопленні ColdFusion — генератора вебсторінок із баз даних — методом SQL ін'єкції та крадіжці персональної інформації (ім'я, адреса електронної пошти, телефон) користувачів комп'ютерної мережі Федерального резервного банку Нью-Йорка. Лав має підтримку фонду , який був заснований Джуліаном Ассанжем із «ВікіЛікс» для захисту кількох хактивістів, зокрема Едварда Сноудена. Справа Лава послуговує полігоном тестування законів, що стосуються інтернету та приватності, в англійський судовій системіFree Lauri  — сайт з детальною інформацією про справу .

Філіппіни

Шрі-Ланка

Шрі-Ланка та Бангладеш є членами , штаб-квартира якого розташована в Тегерані (Іран). На початку 2016 року головуючим у союзі був голова Банку Бангладеш . Міжнародні грошові розрахунки між банками, підприємствами та мешканцями членів союзу здійснюються через центральні банки з урахуванням взаємних заліків усіх 9 країн. У наслідок цього зменшуються кількість і витрати на міжнародні перекази, кошт конвертації валют і залежність від золотовалютних резервів. У 2014 році на зустрічі представників союзу директор департаменту Центрального банку Ірану Хосейн Якубі-Міаб ознайомив присутніх з планом можливого втілення банками союзу альтернативи СВІФТу — SEPAM — власної іранської розробки для міжбанківських фінансових телекомунікацій, яку використовують у банках країни. Впродовж майже року напередодні лютого 2016 місячний обсяг розрахунків між Шрі-Ланкою та Бангладеш був менше 10 млн доларів.

Банк має 80 відділень по всій країні. У 2014—2015 роках він ріс швидше ніж інші банки. У 2015 році «Пан-Азія» вперше перемогла в національному конкурсі найкращих бізнесів у номінації великих банків. Шрі-Ланкійський інститут навчання та розвитку нагородив «Пан-Азію» премією за гарну постановку навчання персоналу .

На рубежі 2015—2016 років, зіткнувшись із проблемою таючих золотовалютних резервів (7,3 млрд доларів) і прогнозом важких фінансових умов від Сороса та Стіґліца, міністр фінансів Шрі-Ланки намагався втілити політику «не запитувати ніяких питань» щодо валютних рахунків і міжнародних переказів на будь-яку суму. На нараді з представниками центрального та комерційних банків він пропонував пом'якшити жорсткий контроль бодай на суми менше мільйона доларів, але банкіри не погодилися та запевнили, що будуть повністю слідкувати законам протидії відмиванню грошей і тероризму 2006—2007 років. «Санді Таймс» навіть передрукувала урядову газету від 27 січня 2016 року з повідомленням від Центрального банку про жорсткі правила банківського нагляду за рахунками та переказами на суму більше рупій (1,4 тис. доларів) в будь-якій валюті.

Крадіжка

Підготовка Підготовка мала складатися з розробки або замовлення на чорному ринку шкідливого програмного забезпечення, складання схеми відмивання грошей, відкриття банківських рахунків для прийому переказів, вибору оптимальної дати та часу кібератаки. Протягом принаймні п'яти місяців після атаки ніхто з учасників, причетних до бангладеських грошей, не сказав, що знав під час подій про кримінальне походження цих грошей. Навпаки, всі мають свою законну версію та стверджують, що їх використали в темну.

Попередній далеко не повний погляд на комплект хакерських програм з'явився у звіті про унікальні зразки коду, опублікованому Сергієм Шевченком — керівником лабораторії сіднейського відділення BAE Systems AI. Шкідлива програма evtdiag.exe містить у собі логіку роботи з клієнтським програмним забезпеченням SWIFT Alliance Access, яке використовується для спілкування з базою даних Oracle. Програма була написана спеціально для атаки на Банк Бангладеш. Вона може перехоплювати повідомлення, редагувати та видаляти записи в базі даних та файли для принтеру, змінювати суми переказів і баланси на рахунку, надсилати повідомлення з логу до серверу командування й управління в Єгипті з IP-адресою в Каїрі.

+Зразки шкідливих програмКриптографічна геш-функція SHA-1Дата та час компіляціїРозмір (байтів)Назва файлу525a8e3ae4e3df8c9c61f2a49e38541d196e92282016-02-05 11:46:20evtdiag.exe76bab478dcc70f979ce62cd306e9ba50ee84e37e2016-02-04 13:45:39evtsys.exe70bf16597e375ad691f2c1efa194dbe7f60e4eeb2016-02-05 08:55:19nroff_b.exe6207b92842b28a438330a2bf0ee8dcab7ef0a163—gpca.dat За версією Шевченка та Адріана Ніша файли потрапили в онлайновий репозиторій шкідливих програм із Бангладеш, де їх розшукали дослідники з BAE Systems. Програма evtsys.exe, що стежить за логами, була скомпільована напередодні кібератаки; nroff_b.exe, яка контролює принтер, скомпільована вранці після атаки; а evtdiag.exe — трохи пізніше. Коду на саме відправку запитів на грошові перекази у BAE Systems немає. Знайденні в репозиторії файли дали змогу показати лише один із можливих шляхів хакінгу, але таких саме файлів у комп'ютерній мережі бангладеського банку не знайшли.

Хакінг

Рух грошей