Prancūzijos banką užpuolė per išorinį tiekėją: kalbama apie dešimtis milijonų eurų

Sekite TechNaujienos Google

Prancūzijoje išaiškėjo neįprasta banko kibernetinė ataka, kurios taikiniu tapo ne klientų sąskaitos, o paties banko valdomas finansinis kanalas. „Crédit Mutuel Arkéa“ oficialiai patvirtino, kad užpuolikai per išorinio paslaugų tiekėjo platformą pasiekė banko sistemą ir inicijavo neteisėtas operacijas. Iš pradžių viešojoje erdvėje minėta 118 mln. eurų suma, tačiau bankas jos nepatvirtina ir sako, kad galutiniai finansiniai padariniai dar skaičiuojami.

Lapkričio 4 d. paskelbtuose pranešimuose banko grupė nurodė, kad aptikusi įtartiną veiklą sustabdė dalį mokėjimų, informavo institucijas ir pradėjo saugumo patikras. Vėliau operacijos buvo atnaujinamos. Lapkričio 7 d. istorija sulaukė naujo dėmesio, nes saugumo specialistai išsamiau aptarė puolimo kelią ir galimą finansinių srautų nukreipimą per kriptovaliutų infrastruktūrą.

Svarbiausias banko teiginys – klientų lėšos nebuvo tiesiogiai paliestos. Neteisėti pavedimai atlikti per pačiai „Arkéa“ priklausančią sąskaitą, o ne per individualių klientų paskyras. Tai skiriasi nuo įprastų fišingo atvejų, kai sukčiai bando priversti žmogų pats patvirtinti pavedimą. Čia žala pirmiausia buvo patiriama pačios institucijos lygmeniu.

Kaip buvo pasiekti banko pinigai

Pasak „Crédit Mutuel Arkéa“, atakos kelias vedė per vieno iš jos paslaugų tiekėjų platformą. Bankas specialiai paneigė spėliones, kad užpuolikai pateko per „Fortuneo“ klientų sistemą. Tiksli tiekėjo tapatybė ir techninis pažeidimo mechanizmas pranešimuose neatskleisti, todėl nederėtų spėlioti apie konkrečias programines spragas ar darbuotojų veiksmus.

Naujausi straipsniai

3 min. skaitymo • prieš 2 val

Lietuvoje apie 46 tūkst. žmonių baigė pasirengimo krizei mokymus: ką būtina žinoti šeimoms?

3 min. skaitymo • prieš 2 val

Lietuvoje 40 organizacijų išbandė gynybą nuo DI išnaudojančių įsilaužėlių: dalyvavo 200 specialistų

3 min. skaitymo • prieš 2 val

JAV kariuomenė Lenkijoje išbandė FD-1 dronus perėmėjus: ieško pigesnės apsaugos nuo atakų

Visi naujausi straipsniai →

Bankas taip pat teigia, kad incidentas nebuvo paprasta jo darbuotojų klaida. Finansų įstaiga ataką įvardijo kaip sudėtingą išorinį įsilaužimą, dabar jau suvaldytą. Dalis susijusių lėšų, anot oficialios informacijos, buvo užblokuota, kitas dalis siekiama susigrąžinti. Ši detalė svarbi: paskelbta galima neteisėtų operacijų suma nebūtinai sutaps su galutiniais negrįžtamais nuostoliais.

Tyrėjai ir žiniasklaida aptarė galimą vėlesnį pinigų konvertavimą į kriptovaliutas per specializuotas platformas. Tačiau bankas savo pranešime nurodė tik tokią galimybę ir jos nepateikė kaip galutinės patvirtintos visų operacijų schemos. Dėl to saugiausia skirti tris klausimus: kaip užpuolikai pateko į sistemą, kokie pavedimai buvo atlikti ir kiek pinigų iš tikrųjų bus neatgauta.

Pamoka Lietuvos finansų ir technologijų bendrovėms

Ši istorija primena, kad įmonės saugumas neapsiriboja jos pačios serveriais. Bankai, mokėjimų organizacijos, el. prekybos bendrovės ir net mažesni paslaugų teikėjai naudoja išorines platformas duomenims perduoti ar operacijoms vykdyti. Jei toks tiekėjas tampa silpnąja grandimi, užpuolikas gali bandyti pasiekti ir gerai apsaugotą klientą. Tokia rizika ypač svarbi Lietuvai, kur veikia aktyvus finansinių technologijų sektorius.

Kartu svarbu nepamiršti, kad pranešimas apie banko ataką savaime nereiškia, jog klientams reikėtų skubiai išsiimti indėlius. Oficialiai „Arkéa“ teigia, kad jos finansiniam stabilumui incidentas grėsmės nekelia. Vartotojams bankas nurodė saugotis su įvykiu susijusių galimų sukčių laiškų ir neatskleisti prisijungimo bei mokėjimų patvirtinimo kodų.

Apie panašius sisteminius iššūkius esame rašę nagrinėdami Europolo tyrimą dėl investicinių sukčių, mokėjimų kortelėmis sukčiavimo mastą Lietuvoje ir bankų apsaugos pokyčius Azijoje. Prancūzijos atvejis išsiskiria tuo, kad apėjo įprastą klientų apgavystės kelią.

Galutinius skaičius paaiškins teisinis tyrimas ir lėšų susigrąžinimo rezultatai. Kol kas svarbiausia tiksliai atskirti banko pripažintus faktus nuo internete pasklidusių sumų, kurių jis oficialiai nepatvirtino.

Finansų institucijoms incidentas dar kartą iškelia vadinamosios trečiųjų šalių rizikos valdymo klausimą. Tiekėjo paslauga gali būti technologiškai patogi, bet ji taip pat turi atskiras prieigos teises, operatorius ir incidentų valdymo procesus. Todėl sutartyse ir praktikoje svarbu žinoti, kaip tikrinami prieigos žurnalai, ar yra mokėjimų limitai, kas gali sustabdyti neįprastus pervedimus ir kiek laiko užtrunka informacijos apsikeitimas tarp organizacijų. „Arkéa“ paskelbė, kad po incidento sustiprino apsaugą, tačiau neskelbia visų techninių kontrolės priemonių. Dėl šios priežasties iš pavienių viešų detalių nereikėtų kurti išsamaus, bet nepatvirtinto atakos scenarijaus.

Šaltiniai: pirminė oficiali publikacija; papildoma informacija.