Tin tặc tấn công hệ thống ngân hàng: 14 quốc gia, một tháng, không nước nào ra lệnh phong tỏa

Trong khoảng một tháng, ngân hàng và hệ thống thanh toán ở mười bốn quốc gia ghi nhận bị xâm nhập, rò rỉ dữ liệu hoặc mất tiền từ tài khoản khách hàng. Gần như không vụ nào cần chính phủ ra lệnh phong tỏa ngân hàng. Tiền đi ra bằng crypto.

Trong tháng vừa qua, báo chí ở ít nhất mười bốn quốc gia mô tả cùng một dạng sự việc: một ngân hàng, một hệ thống thanh toán hoặc một kho bạc mất tiền hoặc mất dữ liệu vì bị xâm nhập, và tổ chức đó biết chuyện sau khi đã xảy ra.

Gần như không vụ nào có lệnh của chính phủ buộc ngân hàng đóng cửa. Đường vào rất bình thường: một ứng dụng ngân hàng, một nhà cung cấp dịch vụ có quyền truy cập hợp lệ, hoặc một người bên trong có thể mở tài khoản bằng tay. Đường ra thì nhanh, và nhiều vụ kết thúc bằng tiền điện tử.

Một tháng, theo khu vực

Châu Á - Thái Bình Dương. Đài Loan: khoảng 1,3 triệu USD bị rút từ 418 khách hàng SinoPac trong một ngày, ngân hàng đã hoàn tiền. Hàn Quốc: 37 tổ chức tài chính bị xâm nhập, khoảng 473.000 bản ghi bị rò rỉ. Nhật Bản: hơn 6,1 triệu USD bị lấy từ các công ty ở Yamagata qua cuộc gọi giả mạo ngân hàng. Indonesia: hơn 6.600 tài khoản Bank Jambi bị ảnh hưởng, khoảng 8,8 triệu USD bị chuyển đi. Singapore: 12,8 triệu USD bị chuyển đi. Malaysia: gần hai triệu ringgit bị rút từ tài khoản của một thành viên hoàng gia. Việt Nam: một Phó thống đốc cho biết tin tặc đã ở trong hệ thống nhiều ngân hàng hàng tháng mà không bị phát hiện, và yêu cầu đầu tư nghiêm túc cho giám sát an toàn.

Châu Âu và châu Mỹ. Pháp: khoảng 133 triệu USD bị lấy từ Crédit Mutuel Arkéa và chuyển thành tiền điện tử; ứng dụng ngân hàng bị gián đoạn một thời gian, ngân hàng khẳng định tiền của khách không bị ảnh hưởng. Mỹ: mười bốn người ở Dallas bị cáo buộc dùng SIM swap và hối lộ nhân viên nội bộ để nhắm vào các tài khoản trị giá hơn 373 triệu USD; một công ty ở Florida mất 6,5 triệu USD qua mười lăm lệnh chuyển trong ba ngày. Canada: một cựu nhân viên RBC bị kết tội mở 43 tài khoản giả cho tội phạm có tổ chức. Brazil: ngân hàng trung ương ghi nhận 99 sự cố mạng trong chín tháng, 68 vụ liên quan gian lận.

Nơi khác. Ngân hàng trung ương Nepal yêu cầu các ngân hàng đưa website offline sau khi khách hàng bị lừa qua cuộc gọi KYC giả. Kho bạc Sri Lanka mất 2,5 triệu USD vì gian lận email. Tại Mexico, một nhóm tội phạm dùng công cụ AI tấn công hệ thống thanh toán SPEI.

Điểm chung

Bốn điều lặp lại ở những vụ không liên quan gì đến nhau.

AI đã vào phía tấn công, không chỉ phía phòng thủ. Giọng nói giả, giấy tờ giả và trinh sát tự động xuất hiện trong nhiều báo cáo. Chi phí để giả mạo thuyết phục đã giảm mạnh.

Danh tính là vành đai mới. SIM swap, cuộc gọi KYC giả, tài khoản do nhân viên mở: không vụ nào phá tường lửa, vì không vụ nào tấn công tường lửa. Chúng đến với tư cách người dùng hợp lệ.

Thời gian nằm trong hệ thống đến trước khi tiền di chuyển. Ở Việt Nam và nhiều vụ khác, xâm nhập kéo dài hàng tháng trước khi có bất kỳ lệnh chuyển tiền nào. Phát hiện, chứ không phải ngăn chặn, là chỗ đã mất.

Cửa ra là crypto. Tiền rời tài khoản ngân hàng và thành tiền điện tử thì gần như không lấy lại được. Tốc độ chuyển đổi chính là mục đích.

Vì sao chưa nước nào phong tỏa ngân hàng

Không quốc gia nào ra lệnh cho ngân hàng ngừng hoạt động. Đó không phải là tin an tâm; đó là thước đo cách các vụ tấn công vận hành. Phong tỏa là phản ứng với một ngân hàng đã sụp. Những vụ này không cần ngân hàng sụp — chúng cần một thông tin đăng nhập, một người bên trong, một tích hợp chưa vá, và vài giờ.

Phản ứng chính thức là diễn tập, không phải đóng cửa. G7 và Ngân hàng Trung ương châu Âu đang chạy các cuộc diễn tập an ninh mạng và yêu cầu ngân hàng chuẩn bị phương án phòng thủ bằng AI. Giám đốc điều hành IMF đã cảnh báo rằng nếu niềm tin suy giảm đủ xa, người dân có thể chọn giữ tiền mặt ở nhà.

Nếu bạn đang giữ tài khoản

Đừng để toàn bộ tiền trong một ứng dụng ngân hàng. Chia tiền hoạt động, tiền tiết kiệm và quỹ dự phòng sang nhiều tổ chức, để một lần đăng nhập bị chiếm không phải là toàn bộ số dư.
Bật những cảnh báo bạn vẫn bỏ qua. Một thông báo cho mỗi lệnh chuyển là cách phát hiện rẻ nhất bạn có thể mua.
Coi cuộc gọi từ "ngân hàng của bạn" là đáng ngờ mặc định. Không ngân hàng hợp lệ nào cần mã một lần, mật khẩu, hay quyền truy cập từ xa vào thiết bị của bạn.
Làm chậm những gì không thể đảo ngược. Một lệnh chuyển cần phê duyệt thứ hai, hoặc độ trễ cho người nhận mới, đáng giá với sự bất tiện đó.

Nếu bạn đang xây hệ thống

Bài học khó chịu cho các tổ chức là mọi vụ việc ở trên đều kết thúc bằng phần mềm. Cuộc gọi do phần mềm định tuyến. Tài khoản được mở trong phần mềm. Lệnh chuyển được phê duyệt, hoặc không bị chặn, bởi phần mềm. Cảnh báo không ai đọc do phần mềm tạo ra.

Đó là lý do những câu hỏi chúng tôi đặt ra trước khi viết dòng mã đầu tiên là những câu quyết định liệu một tháng như thế này có chạm tới bạn hay không:

Một mô hình mối đe dọa nêu rõ từng tài sản, kẻ tấn công, và doanh nghiệp mất gì nếu tài sản đó bị lấy đi hoặc bị điều khiển sai.

Đặc quyền tối thiểu được thực thi chứ không chỉ ghi trong tài liệu, kể cả với nhà thầu và hệ thống tự động vốn đã có quyền truy cập hợp lệ.

Cô lập giữa các khách hàng và các tập dữ liệu được chứng minh bằng kiểm thử, không phải bằng lời giới thiệu.

Kỷ luật chuỗi cung ứng: phụ thuộc được ghim phiên bản, rà soát và kiểm kê, vì phần lớn xâm nhập đến qua một thành phần không ai chọn một cách có chủ đích.

Bí mật không bao giờ nằm trong kho mã, trong một dòng log hay trong một tin nhắn.

Và khả năng phát hiện mà một con người thật sự đọc lúc ba giờ sáng.

ABN Asia

AI. Banking. Network Security. ABN Asia xây dựng và đánh giá phần mềm cho những tổ chức không thể để khách hàng là người đầu tiên báo cho mình biết về một vụ xâm nhập. Chúng tôi làm việc với các đội ngũ ở Mỹ, Hà Lan, Hungary, Nhật Bản, Hàn Quốc, Singapore và Việt Nam, và chúng tôi muốn rà soát một hệ thống trước khi nó được xây hơn là sau khi nó đã hỏng.

Nếu Quý doanh nghiệp đang vận hành ngân hàng, hệ thống thanh toán hoặc bất kỳ phần mềm nào có thể làm di chuyển tiền, hãy viết cho chúng tôi tại [email protected]. Chúng tôi sẽ rà soát kiến trúc, thực hiện đánh giá bảo mật, hoặc xây đúng ngay từ đầu.

Nguồn: tổng hợp từ báo chí khu vực và các tuyên bố chính thức trong tháng vừa qua, bao gồm VnExpress (Việt Nam), cùng các công bố của ngân hàng trung ương và cơ quan quản lý trong từng vụ. Số liệu giữ nguyên như các nguồn đó đưa tin.

TÁC GIẢ

Về ABN Asia: Ai-Banking-NetworkSecurity (ABN), ABN Asia được thành lập từ năm 2012, là một công ty xuất phát từ học thuật, do những giảng viên, cựu du học sinh Hungary, Hà Lan, Nga, Đức, và Nhật Bản sáng lập. Chúng tôi chia sẻ đam mê chung và tầm nhìn vững chắc về công nghệ, mang đến sự đổi mới và chất lượng đỉnh cao cho khách hàng. Phương châm của chúng tôi là: Tốt hơn. Nhanh hơn. An toàn hơn. Trong nhiều trường hợp: Rẻ hơn.

Hãy liên hệ với chúng tôi khi Quý doanh nghiệp có các nhu cầu về dịch vụ công nghệ thông tin, tư vấn chuyển đổi số, tìm kiếm các giải pháp phần mềm phù hợp, hoặc nếu Quý doanh nghiệp có đấu thầu CNTT (RFP) để chúng tôi tham dự. Quý doanh nghiệp có thể liên hệ với chúng tôi qua địa chỉ email [email protected]. Chúng tôi sẵn lòng hỗ trợ với mọi nhu cầu công nghệ của Quý doanh nghiệp.