Хакерська крадіжка золотовалютних резервів Бангладеш

Події 2016 року були не першим випадком крадіжки з рахунків центральних банків у Федеральному резервному банку Нью-Йорка. Так, чинний[К 1] голова юридичної служби банку Томас Бакстер був задіяний у пошуках вкрадених золотовалютних резервів Уганди з нью-йоркського рахунку ще в 1980-ті за часів телексної технології. Тоді особі, яку заарештували за спробу зняти вкрадені гроші зі швейцарського рахунку і яку перевезли в США, вдалося уникнути засудження[2].

Міжнародне товариство СВІФТ (англ. Society for Worldwide Interbank Financial Telecommunications (SWIFT)) було засновано для безпечної, стандартної та надійної передачі інформації по здійсненню платежів між фінансовими установами. СВІФТ — кооператив, яким володіють 3 тисячі членів. Системою СВІФТ користуються більше 11 тисяч банків і компаній з понад 200 країн. На початку лютого 2016 року трафік через мережу SWIFTNet становив майже 25 млн повідомлень за робочий день, з яких 47 % стосуються грошових переказів [3][4].

В обліковому записі банки мають вказати партнерів, яких вони обирають для здійснення грошових переказів. Для авторизації відсилки повідомлення про платіж СВІФТ вимагає автентифікації з використанням одноразового паролю, що створюється апаратним токеном[5]. У понад двох тисяч організацій СВІФТівські телекомунікації поєднуються з локальними застосунками та базами даних через СВІФТівський інтерфейс Alliance Access. Інтерфейс має 20-річну історію, його версія 7.2 з'явилась 6 січня 2016 року[6].

«Дака Триб'юн» висвітлила низку свіжих пограбувань банків через систему СВІФТ кібербандою Carbanak, що застосовує технологію APT у ретельно відпрацьованих операціях і позбавила банки загалом на мільярд доларів.[7][8] Carbanak складається з представників Росії, Китаю, України та інших європейських країн. Типово 10 млн доларів було вкрадено з кожної з близько 100 фінансових установ у 30 країнах, які користувалися різноманітним програмним забезпеченням[9].

Колишній старший віце-президент із глобальної інформаційної безпеки Банку Америки Ігор Байкалов зазначив чітку тенденцію росту складності кіберзлочинності. Минає час поодиноких простих наскоків, на кшталт захоплення облікового запису або невибіркового спаму. Для сучасних кібератак команда кримінальних спеціалістів розробляє складну багаторівневу, багатостадійну схему злочину. Вони користуються чорним ринком комплектів шкідливих програм і позичання ботнетів, грошовими кур'єрами та експлойтами, що виробляються на замовлення. Повторне використання програмних модулів, співробітництво та розподіл праці за фахом додає ефективності у виконанні проектів і ускладнює боротьбу з нападами на фінансові установи. Встановлення тієї чи іншої географічної точки входу в мережу не обов'язково дає місце знаходження нападників, а скоріше свідчить про частини мережевої інфраструктури, чиї власники навіть не підозрюють про атаку[10].

З іншого боку, передовий досвід захисту від кібератак усвідомлюється повільно. Так, протягом 6 місяців ніхто не реагував на дзвінок безпекової фірми FireEye про початок нападу на комп'ютерну мережу компанії Target, що закінчився крадіжкою російськими хакерами 40 млн номерів банківських карток і ще 70 млн адрес покупців[11][12]. Лише декілька комерційних банків, зокрема Банк Америки та Chase запровадили двофакторну автентифікацію для підвищення безпеки[13]. Щойно деякі банки почали запроваджувати автоматичні телефонні дзвінки замість СМС-повідомлень для двофакторної автентифікації, як Symantec помітила наприкінці 2015 року ріст застосування оновленої версії троянської програми Android.Bankosy, яка здатна переадресовувати дзвінки на зловмисників[14].

У 2015 році правоохоронці Ізраїлю заарештували керівника кримінального світового конгломерату Джері Шалона. Його звинувачують у крадіжці даних 100 млн осіб, у тому числі 78 млн з 90 серверів банку JPMorgan Chase за рік до арешту, і перетворенні цих даних у сотні мільйонів доларів. Для крадіжки з комп'ютерів JPMorgan Chase був задіяний сервер командування й управління в Єгипті. В конгломерат також входили 12 онлайн-казино[15][16].

Федеральний резервний банк Нью-Йорка

Центральні банки з майже 250 країн мають рахунки в Федеральному резервному банку Нью-Йорка загальною вартістю 3 трильйона доларів, що становить половину світових офіційних запасів доларів[17]. Кожний робочий день банк приймає або відправляє електронні перекази на суму близько 80 млрд доларів[18]. З серпня 2014 року електронні комунікації з банком регулюються «Операційним циркуляром № 5»[19]. Клієнти мають самостійно займатися безпекою електронного зв'язку. Офлайнові операції допускаються, але коштують дорожче. Резервний банк не зобов'язаний повідомляти про крадіжки з рахунків центральних банків або корпорацій. Випадок з Банком Уганди залишається єдиною розголошеною подією[2].

Випадок успішної хакерської атаки на сервери банку стався в жовтні 2012 року. ФБР звинувачує фінсько-британського активіста міжнародного руху підтримки акції «Захопи Волл-стріт» фахівця з інформатики Лорі Лава зі Страдішалла (Суффолк, Англія) в захопленні ColdFusion — генератора веб-сторінок із баз даних — методом SQL ін'єкції та крадіжці персональної інформації (ім'я, адреса електронної пошти, телефон) користувачів комп'ютерної мережі Федерального резервного банку Нью-Йорка[20][21][22]. Лав має підтримку фонду «Кураж», який був заснований Джуліаном Ассанжем із «ВікіЛікс» для захисту кількох хактивістів, зокрема Едварда Сноудена. Справа Лава послуговує полігоном тестування законів, що стосуються інтернету та приватності, в англійський судовій системі[23].

Шрі-Ланка та Бангладеш є членами Азіатського клірингового союзу, штаб-квартира якого розташована в Тегерані (Іран). На початку 2016 року головуючим у союзі був голова Банку Бангладеш Атіур Рахман. Міжнародні грошові розрахунки між банками, підприємствами та мешканцями членів союзу здійснюються через центральні банки з урахуванням взаємних заліків усіх 9 країн. У наслідок цього зменшуються кількість і витрати на міжнародні перекази, кошт конвертації валют і залежність від золотовалютних резервів[24]. У 2014 році на зустрічі представників союзу директор департаменту Центрального банку Ірану Хосейн Якубі-Міаб ознайомив присутніх з планом можливого втілення банками союзу альтернативи СВІФТу — SEPAM — власної іранської розробки для міжбанківських фінансових телекомунікацій, яку використовують у банках країни[25]. Впродовж майже року напередодні лютого 2016 місячний обсяг розрахунків між Шрі-Ланкою та Бангладеш був менше 10 млн доларів[26].

Банк «Пан-Азія» має 80 відділень по всій країні. У 2014—2015 роках він ріс швидше ніж інші банки. У 2015 році «Пан-Азія» вперше перемогла в національному конкурсі найкращих бізнесів у номінації великих банків. Шрі-Ланкійський інститут навчання та розвитку нагородив «Пан-Азію» премією за гарну постановку навчання персоналу[27].

Карунанаяке

На рубежі 2015—2016 років, зіткнувшись із проблемою таючих золотовалютних резервів (7,3 млрд доларів)[28] і прогнозом важких фінансових умов від Сороса та Стіґліца, міністр фінансів Шрі-Ланки Раві Карунанаяке намагався втілити політику «не запитувати ніяких питань» щодо валютних рахунків і міжнародних переказів на будь-яку суму[29]. На нараді з представниками центрального та комерційних банків він пропонував пом'якшити жорсткий контроль бодай на суми менше мільйона доларів, але банкіри не погодилися та запевнили, що будуть повністю слідкувати законам протидії відмиванню грошей і тероризму 2006—2007 років[30]. «Санді Таймс» навіть передрукувала урядову газету від 27 січня 2016 року з повідомленням від Центрального банку про жорсткі правила банківського нагляду за рахунками та переказами на суму більше 7005200000000000000♠200000 рупій (1,4 тис. доларів) в будь-якій валюті[31].

Підготовка мала складатися з розробки або замовлення на чорному ринку шкідливого програмного забезпечення, складання схеми відмивання грошей, відкриття банківських рахунків для прийому переказів, вибору оптимальної дати та часу кібератаки. Протягом принаймні п'яти місяців після атаки ніхто з учасників, причетних до бангладеських грошей, не сказав, що знав під час подій про кримінальне походження цих грошей. Навпаки, всі мають свою законну версію та стверджують, що їх використали в темну[32][33][34][35][36].

Попередній далеко не повний погляд на комплект хакерських програм з'явився у звіті про унікальні зразки коду, опублікованому Сергієм Шевченком — керівником лабораторії сіднейського відділення BAE Systems AI[37]. Шкідлива програма evtdiag.exe містить у собі логіку роботи з клієнтським програмним забезпеченням SWIFT Alliance Access, яке використовується для спілкування з базою даних Oracle. Програма була написана спеціально для атаки на Банк Бангладеш. Вона може перехоплювати повідомлення, редагувати та видаляти записи в базі даних та файли для принтеру, змінювати суми переказів і баланси на рахунку, надсилати повідомлення з логу до серверу командування й управління в Єгипті з IP-адресою в Каїрі[38].

За версією Шевченка та Адріана Ніша файли потрапили в онлайновий репозиторій шкідливих програм із Бангладеш, де їх розшукали дослідники з BAE Systems[39]. Програма evtsys.exe, що стежить за логами, була скомпільована напередодні кібератаки; nroff_b.exe, яка контролює принтер, скомпільована вранці після атаки; а evtdiag.exe — трохи пізніше. Коду на саме відправку запитів на грошові перекази у BAE Systems немає. Знайденні в репозиторії файли дали змогу показати лише один із можливих шляхів хакінгу, але таких саме файлів у комп'ютерній мережі бангладеського банку не знайшли[38].

У день публікації звіту Шевченка[37] товариство СВІФТ попередило своїх клієнтів про низку кіберінцідентів і надіслало їм спеціальне оновлення програмного забезпечення, яке допоможе у підвищенні безпеки[40][41].

Фірми з комп'ютерної безпеки FireEye (відділ Mandiant) і World Informatix знайшли сліди логінів комп'ютерних злочинців у логах із 24 січня до 6 лютого[42]. Банк Бангладеш тимчасово впровадив подвійну систему безпеки, — електронні перекази мають супроводжуватися телефонним дзвінком[43]. Новини про залучення FireEye до розслідування кібератаки допомогли зупинити падіння акцій компанії[44]. У червні 2016 року після виплати розслідувачам 280 тис. доларів за 700 годин роботи, керівництво бангладеського банку відмовилося від ще 570 годин роботи по 400 доларів за годину, запропонованих FireEye для доведення розслідування до кінця. Банкіри вирішили, що сплати за комп'ютерну безпеку дуже високі, та що вони обійдуться своїми силами[45].

Сергій Шевченко та Адріан Ніш виявили певні збіги між бангладеським шкідливим програмним забезпеченням і ПЗ, використаним для атаки на в'єтнамський банк «Т’єн Фонг» та сервери Sony Pictures Entertainment в 2014 році[46][47][48][49]. Поступово безпекові фахівці та журналісти почали знаходити та публікувати про СВІФТівські крадіжки, зокрема 12-млн-доларову справу еквадорського Banco del Austro в січні 2015 року[50].

У червні 2016 року президент «ІСАКА Київ» Олексій Янковський повідомив, що хакерські угруповання Carbanak/Akunak і Buhtrap задіяли бангладеську СВІФТівську схему для крадіжок сотень мільйонів доларів з десятків українських і російських банків. Банки не діляться інформацією про атаки та бояться розголосу[51][52]. Прес-служба Національного банку підтвердила, що конфіденційне застереження щодо СВІФТівських крадіжок було надіслано банкам 28 квітня та що в ньому згадується схожа на бангладеську хакерська атака на один з українських банків, але відмовилася розкрити деталі[53].

Рахман

Атіур Рахман залишив посаду голови Банку Бангладеш 15 березня на тлі звинувачень з боку міністра фінансів, якого вчасно не повідомили про втрати[54][55]. Через дві години після його відставки почалося кримінальне провадження крадіжки[56]. На цій підставі група криміналістів вперше дісталася комп'ютерної кімнати центрального банка через 40 діб після події[57].

Бьорн і Барретт повідомили про залучення ФБР до міжнародного розшуку злочинців[58]. Перша зустріч агента ФБР з бангладеськими колегами відбулася в Даці 20 березня[59].

19 лютого філіппінська Рада протидії відмиванню грошей почала розслідування бангладеської справи[60][61]. 15 березня почалися засідання Комітету з питань звітності посадовців і розслідувань Філіппінського сенату з метою вивчення обставин крадіжки та ролі винятку казино із закону про протидію відмиванню грошей, прийнятому в 2002 році[62].

21 березня суд заборонив виїзд із країни 6 директорам фонду Shalika[63]. Сасукі Тадасі, який базувався в Хамбантоті, але більшість часу перебував у Японії, оголошено в міжнародний пошук через Інтерпол[64][65].

Центральний банк Шрі-Ланки

Ланкійський центральний банк 13 березня почав масштабну перевірку грошових переказів на підставі, що виявлена хакерська операція була не одинокою[66][67].

Малоні

Член Комітету з питань фінансових послуг Палати представників США нью-йоркський демократ і вдова волл-стрітівського банкіра Каролин Малоні надіслала листа президентові Федерального резервного банку Нью-Йорка Вільяму Дадлі. Вона запитала, чому нью-йоркський банк запросив у Банка Бангладеш підтвердження на всі 35 переказів, але здійснив перші 5 переказів не дочекавшись відповіді. Малоні вказала на необхідність ретельно розслідувати як саме злочинцям удалося обдурити систему та посіяти сумніви серед центральних банкірів світу в надійність американської Федеральної резервної системи[68].

Частина історії, що стосується відмивання грошей, вкрадених з неідентифікованого бангладеського банку китайськими хакерами, була вперше розголошена філіппінським журналістом Даксимом Лукасом в «Філіппін дейлі інквайєрер» через три тижні після події, 29 лютого 2016 року[69]. Історія здобула розголосу у світі 7—10 березня завдяки детальнішим публікаціям в «Нью-Йорк Пост»[70][71] і «Волл-стріт джорнел»[72] та повідомленням інформагентств Франс Прес[73], Блумберґ Ньюс[74] і Рейтер[75]. На думку колумніста компанії Блумберґ Майкла Регана розголос хакерської бангладеської схеми затемнив усі інші події тижня на Уолл-стріті та виявив центральні банки як найслабкіший ланцюг комп'ютерної безпеки в банковій галузі[76]. Реган був вражений простотою відправки СВІФТівського повідомлення в порівнянні з важкою працею грабителів зі стрічок на кшталт «Одинадцять друзів Оушена» та «Пограбування по-італійськи», але попередній аналіз хакерського коду свідчить, що програмісти поклали чимало зусиль на виготовлення цільових шкідливих програм одноразового застосування в комп'ютерному середовищі жертви[39]. «Це й є „Одинадцять друзів Оушена“ цифрового світу», — відзначив Адріан Ніш із BAE Systems[77].

Архієпископ Сократес Вільєгас

Після святкування Великдня Конференція католицьких єпископів Філіппін оприлюднила заяву під назвою «Відмивання грошей у республіці азартних ігор». Єпископи висловили позицію по трьом головним темам:

• Відмивання бангладеських грошей це сором для всієї країни.
• Уряд сприяє зростанню відвідувачів онлайн-казино та ігровому туризму попри заборони і навіть криміналізації онлайн ігор в багатьох країнах.
• Церков буде сумлінно протидіяти розповсюдженню азартних ігор у будь-якому вигляді, щоб запобігти корозії моралі, особливо серед молоді[78][79].

Через дві години після інавгурації 30 червня на першому засіданні уряду президент Родріго Дутерте запропонував заборонити онлайнові азартні ігри на Філіппінах. Він зазначив, що ігри шкодять людині, а також визнав неможливість збирання податків з онлайнових операцій[80][81]. Галузеві аналітики вирішили, що президент мав на увазі насамперед ігрові термінали, які поширюються немов гриби після дощу, але не буде чіпати онлайн-казино у Кагаянській спеціальній економічній зоні, що належать гігантам світової індустрії та працюють із закордонними відвідувачами[82].

Національний секретаріат неурядових організацій (НУО), що підпорядковується Міністерству оборони Шрі-Ланки, запропонував підсилити бюрократичний контроль за волонтерськими організаціями, які надають соціальні послуги. Вони скористались нагодою, що Шаліка Перера зареєструвала свій фонд лише в Департаменті реєстрації компаній Міністерства промисловості та комерції та знехтувала секретаріатом НУО, та підготували новий порядок, щоб НУО реєструвалися спочатку в Національному секретаріаті й мали отримувати дозвіл у голови Державної служби безпеки. Крім того, якщо серед волонтерів є іноземці, або НУО залучає пожертви із-за кордону, то в цьому випадку слід отримати додатково дозвіл від Міністерства закордонних справ. Після видачі сертифікату волонтерській організації Національний секретаріат буде проводити щорічні перевірки[83].

Манільський колумніст Бен Кріц оцінив дії філіппінської Ради протидії відмиванню грошей як один з найкращих прикладів імітації мистецтва в реальному житті. Він згадав фільм-дистопію «Бразилія», де надмірно роздута бюрократія переймається створюванням довідок на довідки. Так само, Рада почала знущатися з посла Бангладеш Джона Ґомеса, який три години сумлінно спостерігав перелік готівки з валізи, повернутої Кімом Вонгом, сподіваючись якнайшвидше повернути частину вкрадених резервів до його країни та підписав акт прийому[84][85][86]. Кріц пригадав власний досвід митарств з цією Радою стосовно 14-тисячного переказу від американської страховки та порівняв із фантастичною неувагою в разі 10-мільйонних транзакцій у бангладеській справі. Він висміяв заклики влади посилити регуляцію та законодавство, тому що дотримання існуючих правил було би достатньо, щоб зупинити рух вкрадених коштів[87].

Бангладеський інженер, стендап-комік і чоловік віце-президента банку BRAC[88] Навід Махбуб написав гумореску Touch of Grey («Дотик Грея»), в який обігрується тема хакерської крадіжки з частим застосуванням каламбурів та іронії. Так, зігравши на омонімії назв цивілізації майя та планети Юпітер з, відповідно, іменем начальниці Майя Деґіто та вулицею Юпітеру, на який розташоване її відділення, Махбуб подовжив назву бестселера Джона Грея: «Чоловіки з Марсу, жінки з Венери, а Майя з Юпітеру». З іронією він пише про те, що майже все в Бангладеш закордонне: поради, радники, IT фірма, що розслідує фаєрвол, який сама же й поставила. Навіть ідея йти з посади після великого проколу нарешті дісталася країни завдяки тепер уже колишньому голові національного банку[89].