Дните, в които крадци с маски носят оръжия и заплашват банковите служители, за да ограбят даден клон, са в миналото.

Днес все още се ограбват банки, но по далеч по-различен начин, като се използват лаптопи мобилни телефони и солидни технически познания. Целта на крадците е да използват слабите места в системите и да получат достъп до определена информация. Една такава атака остави хакери с откраднати 20 милиона долара ненаказани.

Разследването за случилото се през май 2018 г. с мексиканската система за плащане SPEI дълго време не даваше резултат. Наскоро обаче по време на Конференцията за сигурност RSA стана ясно как е била извършена кражбата през май, пише MarketWatch.

Жертвата тогава не е една банка, а цялата система за плащане SPEI. Хакерите са успели да пробият сигурността заради неадекватни протоколи, които са необходими за защита на данни и фондове.

Според близки до случая крадците са познавали хора, които работят в SPEI и са наясно с вътрешната инфраструктура на системата. Така групата хакери е използвала уязвимите места, които са направили по-лесно разбиването на защитата.

Един такъв недостатък е, че пълномощията на служителите са били защитени със слаби пароли и акредитивните им роли не са били правилно дефинирани. Веднъж получени акредитивните данни, чрез фишинг или злонамерен софтуер, те позволяват на хакерите по-голям контрол за по-дълъг период от време отколкото, ако имаше по-силни пароли, двустепенна автентификация и разрешение за достъп само според ролята на всеки служител.

Тези фактори в допълнение към тази особеност, че мрежите не са били сегментирани са позволили на хакерите да се ровят надълбоко в извършените транзакции на SPEI, използвайки компрометиран акаунт, чиято начална точка е била една от системите на някоя банка. Веднъж стигнали до данните за транзакциите, хакерите са успели да създадат сложен софтуер, способен да извърши поредица от незаконни сделки, които са им донесли милиони долари.

Хакерите, отговорни за атаката, са насочили средства към сметки, използвайки фалшиви източници като произход. Например, John Doe, Acct. № 007, ще преведе 100 000 песос (около $5,200) по сметка с псевдоним "a mule". Тази операция е била извършена многократно и хакерите са били способни да скриват и манипулират числата, неоставяйки възможност за проследяване с извършването на множество "мини кражби". Приложението на SPEI е имало някои неизправности и са липсвали проверки за транзакциите, което е позволило по-късно успешната атака на хакерската група.

Най-големият проблем обаче не е обирът, а отношението, което институциите имат към такъв тип сриване на сигурността. Прикриват се разследванията и не се дава достатъчно прозрачност. Разкритието на този случай е публично оповестено едва година след това. А за този период много други банки и системи навярно са допускали същите грешки в защитата си и кибер престъпниците са извличали полза от това.

Макар че няма как тези атаки да се прекратят изцяло, те могат да се ограничат, ако институциите обменят опит и внедрят по-добри системи за сигурност. Това няма да позволи на хакерите да променят съществуващи записи в базата данни.