В начале 2021 года хакеры после трехлетнего перерыва смогли украсть денежные средства одного из российских банков через атаку на автоматизированное рабочее место клиента Банка России (АРМ КБР). Об этом говорится в отчете компании Group-IB об угрозах безопасности финансового сектора «Большой куш: угрозы для финансовых организаций». С помощью АРМ проводятся межбанковские денежные переводы с корреспондентского счета, открытого в ЦБ.
«После долгого затишья группа MoneyTaker успешно атаковала российский банк. Очевидно, что злоумышленники на этом не остановятся и будут продолжать атаковать АРМ КБР», — говорится в отчете. В прошлый раз MoneyTaker успешно атаковала по такой схеме ПИР Банк. Инцидент произошел летом 2018 года, тогда злоумышленникам удалось украсть с корсчета в Банке России более 58 млн руб., сообщал «Коммерсантъ». В октябре 2018 года ЦБ отозвал лицензию у этого банка.
Название банка и сумму похищенных средств Group-IB не называет. По словам источника РБК, близкого к ЦБ, хакеры таким образом смогли украсть более полумиллиарда рублей. Другой источник на рынке кибербезопасности отметил, что пострадал действующий «не очень крупный банк». Еще один собеседник знает, что это был маленький банк не из первой сотни. ЦБ известно об этом инциденте, сказал РБК представитель регулятора: «По итогам разбора его причин до участников информационного обмена доведен соответствующий информационный бюллетень ФинЦЕРТ». По данным РБК, бюллетень был разослан в апреле 2021 года.
Как хакеры смогли похитить средства
«Атака началась в июне 2020 года через компрометацию аффилированной с банком компании. Предположительно, они начали с физического устройства, установленного в аффилированной сети», — говорится в отчете Group-IB.
Затем хакеры смогли получить доступ к сети банка — на это им понадобилось около месяца. Еще полгода они исследовали сеть с помощью программного обеспечения для хранения учетных данных проверки клиента, удаленного доступа и т.д.
Финальная стадия атаки началась в январе 2021 года. В результате хакеры получили доступ к системе межбанковских переводов, которые проводятся через АРМ КБР, а также смогли украсть цифровые ключи для подписания платежей, проходящих через ЦБ. Как объясняет собеседник РБК в одном из банков, при получении доступа к АРМ КБР в нем можно сформировать платежное поручение и отправить с корсчета деньги на свои счета. «[Хакеры] вручную скопировали поддельные подписанные платежи в специальную папку в системе АРМ КБР», — отмечается в отчете Group-IB.
Опасно ли это для других банков
CEO Group-IB Дмитрий Волков сказал РБК, что риск повторения таких атак существует, но он не так высок, как в 2017–2018 годах, когда целевые атаки на банки проводились ежемесячно. По его словам, этому способствовала большая работа в сфере кибербезопасности самих банков, регулятора и правоохранительных органов, в результате которой проводить такие атаки для злоумышленников стало невыгодно и рискованно.
У российских банков есть большой запас прочности, соглашается главный эксперт «Лаборатории Касперского» Сергей Голованов: «Сейчас каждая крупная финансовая организация обеспечена комплексной системой безопасности, учитывающей все риски предыдущих годов». Он уточнил, что похищенная сумма зависит от размеров банка: в предыдущие годы суммы покушений на хищения в одном банке могли оцениваться и в триллионы рублей.
Реальной угрозой для банковского сектора в будущем являются атаки операторов программ-шифровальщиков, говорит Волков. Они зашифровывают всю информацию на сервере, для ее разблокировки хакеры требуют выкуп. «Такие инциденты наносят прямой финансовый ущерб, парализуют работу инфраструктуры банка и его возможность вести операционную деятельность», — говорит Волков. Как следует из обзора Group-IB, за второе полугодие 2020 года и первое полугодие 2021 года было выявлено 127 атак вирусов-шифровальщиков на финансовые компании по всему миру, хотя за тот же период годом ранее их было менее 50.
Для защиты от хакерских атак банкам следует оценивать главные векторы развития потенциальной атаки, считает Волков: «Например, электронная почта, она по-прежнему требует качественной защиты, которую необходимо регулярно тестировать. Также важно контролировать внешний периметр сети и все средства удаленного доступа».