Η πρόσφατη εξάρθρωση κυκλώματος που άρπαξε 30 εκατομμύρια ευρώ από τραπεζικούς λογαριασμούς αποδεικνύει ότι η αλυσίδα ασφαλείας μας εξαρτάται από τον πιο αδύναμο κρίκο της. Εμείς στο TechNoid εξετάζουμε πώς ένα λάθος σε πάροχο υπηρεσιών μπορεί να τινάξει στον αέρα ψηφιακές υποδομές εκατομμυρίων.
- Η επιχείρηση-μαμούθ των 30 εκατομμυρίων ευρώ βασίστηκε σε λογισμικό τρίτου παρόχου και όχι σε απευθείας παραβίαση της ίδιας της τράπεζας.
- Οι γερμανικές αρχές (BKA) σε συνεργασία με τη ομοσπονδιακή αστυνομία της Βραζιλίας (PF) συντόνισαν την «Operation Klonen».
- Τα κλεμμένα κεφάλαια διακινήθηκαν γρήγορα διασχιζοντας σύνορα, καταλήγοντας σε crypto πλατφόρμες και παράνομα χρηματοδοτώντας ακόμα και πολιτικές καμπάνιες.
Πώς ένα update τινάζει την ασφάλεια στον αέρα
Όταν μιλάμε για επιθέσεις σε χρηματοπιστωτικά ιδρύματα, το μυαλό σου πάει αμέσως σε sofisticated hacking απευθείας στα κεντρικά συστήματα. Στην πραγματικότητα, όπως επιβεβαίωσε η επίσημη αναφορά του BleepingComputer, η ζημιά των 30 εκατομμυρίων ευρώ στην Commerzbank προήλθε από ελαττωματική ενημέρωση λογισμικού σε εξωτερικό πάροχο πληρωμών. Η αυτοματοποιημένη φύση των σύγχρονων δικτύων σημαίνει ότι ένα σφάλμα κώδικα δίνει άμεση πρόσβαση σε αυτόματες χρεώσεις, παρακάμπτοντας τα εσωτερικά τείχη προστασίας της ίδιας της τράπεζας.
Ο κίνδυνος των κρυφών συνεργασιών fintech
Αν διαχειρίζεσαι ψηφιακές υπηρεσίες ή χρησιμοποιείς ευρέως fintech πλατφόρμες για τις συναλλαγές σου, πρέπει να γνωρίζεις ότι η μεγαλύτερη απειλή δεν είσαι εσύ, αλλά οι διασυνδέσεις. Σύμφωνα με τα στοιχεία της επιχείρησης “Klonen”, οι χάκερς αξιοποίησαν τα λεγόμενα pass-through accounts και κάρτες που εκδόθηκαν χωρίς τη συγκατάθεση των δικαιούχων. Αυτό σημαίνει ότι οφείλεις να ελέγχεις τακτικά το ιστορικό των συνδεδεμένων υπηρεσιών σου, καθώς μια διαρροή σε τρίτο συνεργάτη μπορεί να ενεργοποιήσει unauthorized direct debits χωρίς καμία ειδοποίηση.
Η διαδρομή του μαύρου χρήματος στα crypto
Το ξέπλυμα 30 εκατομμυρίων δεν γίνεται πια με βαλίτσες γεμάτες μετρητά σε υπεράκτιες εταιρείες, αλλά με αυτοματοποιημένους αλγόριθμους. Οι δράστες χρησιμοποίησαν πλατφόρμες ψηφιακών περιουσιακών στοιχείων και εικονικές εταιρείες σε Βραζιλία και Ευρώπη για να θολώσουν τα νερά. Όπως αναλύουμε συχνά στο TechNoid, η ανωνυμία που προσφέρουν ορισμένα δίκτυα κρυπτονομισμάτων παραμένει το αγαπημένο εργαλείο του οργανωμένου εγκλήματος, παρά τις προσπάθειες των ρυθμιστικών αρχών για αυστηρότερο KYC (Know Your Customer).
Η άποψή μας στο TechNoid
Πιστεύουμε ακράδαντα ότι η εποχή που οι τράπεζες και οι μεγάλοι πάροχοι πετούσαν το μπαλάφι της ευθύνης σε “τεχνικά ζητήματα τρίτων” έχει τελειώσει ανεπιστρεπτί. Όταν μια ευπάθεια σε σύστημα πληρωμών κοστίζει 30 εκατομμύρια και χρηματοδοτεί ακόμα και πολιτικές καμπάνιες, τα πρόστιμα ασφαλείας πρέπει να είναι εξοντωτικά για όλους τους κρίκους της αλυσίδας. Αν ήμασταν υπεύθυνοι ασφαλείας σε οποιοδήποτε χρηματοπιστωτικό ίδρυμα, θα απαιτούσαμεκλειδωμένα zero-trust πρωτόκολλα σε κάθε εξωτερικό API, αδιαφορώντας για το πόσο «βολική» είναι η διασύνδεση με εξωτερικούς παρόχους.
Συχνές Ερωτήσεις για την κυβερνοεπίθεση στην Commerzbank και τους παρόχους
Ποια τράπεζα επηρεάστηκε από την κυβερνοεπίθεση των 30 εκατομμυρίων;
Η Commerzbank ήταν το χρηματοπιστωτικό ίδρυμα του οποίου οι πελάτες επηρεάστηκαν από τις μη εξουσιοδοτημένες χρεώσεις.
Πώς κατάφεραν οι χάκερς να αποσπάσουν τα χρήματα;
Εκμεταλλεύτηκαν ένα σφάλμα σε ενημέρωση λογισμικού (software update) τρίτου παρόχου υπηρεσιών πληρωμών και συναλλαγών.
Έχασαν τελικά χρήματα οι απλοί πελάτες της τράπεζας;
Όχι, σύμφωνα με την επίσημη ανακοίνωση της τράπεζας, οι πελάτες δεν υπέστησαν καμία οικονομική απώλεια.
Πού εντοπίστηκαν και συνελήφθησαν οι δράστες;
Η αστυνομία συνέλαβε τέσσερα άτομα στη Βραζιλία και τρία επιπλέον άτομα στην Ευρώπη (σε Ισπανία και Βουλγαρία).
Τι είναι η «Operation Klonen»;
Είναι η κοινή αστυνομική επιχείρηση της Ομοσπονδιακής Αστυνομίας της Βραζιλίας και της γερμανικής BKA που οδήγησε στις συλλήψεις.
Πώς ξέπλεναν τα κλεμμένα κεφάλαια οι εγκληματίες;
Χρησιμοποίησαν pass-through accounts, εταιρείες-φαντάσματα, πλατφόρμες crypto και προπληρωμένες κάρτες χωρίς συγκατάθεση.
Πόσα χρήματα δέσμευσαν τελικά οι αρχές;
Τα βραζιλιανικά δικαστήρια διέταξαν τη δέσμευση περιουσιακών στοιχείων και ακινήτων αξίας έως 106 εκατομμυρίων ρεάλ (περίπου 22,4 εκατομμύρια δολάρια).
Για περισσότερες αναλύσεις γύρω από την ψηφιακή ασφάλεια, ρίξε μια ματιά στο news sitemap του TechNoid.
