Trộm tiền ngân hàng trung ương Bangladesh

Vào tháng 2 năm 2016, có những chỉ thị để ăn cắp 951.000.000 $ Hoa Kỳ từ Ngân hàng Bangladesh, ngân hàng trung ương của Bangladesh, được phát hành thông qua mạng SWIFT. Năm giao dịch của tin tặc, trị giá 101 triệu $ được rút khỏi tài khoản Bangladesh Ngân hàng tại Ngân hàng Dự trữ Liên bang New York, đã thành công, với 20 $ triệu sau này được phục hồi từ Sri Lanka và 81 triệu $ đến Philippines (khoảng 18 triệu $ được phục hồi). Ngân hàng Dự trữ Liên bang New York chặn ba mươi giao dịch còn lại, lên tới 850 triệu $, theo yêu cầu của Ngân hàng Bangladesh. Sau đó nó được xác định là phần mềm độc hại Dridex được sử dụng cho cuộc tấn công này.

Ngân hàng Dự trữ Liên bang New York

Bối cảnh

Cuộc tấn công mạng 2016 vào Ngân hàng Trung ương Bangladesh không phải là cuộc tấn công đầu tiên của loại hình này. Trong cuộc trộm cắp mạng này, những tên trộm cướp đã cố gắng để chuyển trái phép 951.000.000 $ Hoa Kỳ tới một số tài khoản ngân hàng giả trên toàn thế giới. Trong năm 2013, Ngân hàng Sonali Bangladesh cũng là một mục tiêu thành công của tin tặc lấy đi mất $ 250,000. Trong năm 2015, hai nỗ lực hacking khác được ghi nhận, một hành vi trộm cắp 12 triệu $ từ Banco del Austro ở Ecuador vào tháng Giêng và một cuộc tấn công vào Ngân hàng Tiền Phong của Việt Nam trong tháng 12 nhưng không thành công. Trong tất cả các trường hợp này, thủ phạm bị nghi ngờ là được hỗ trợ bởi những người trong cuộc trong các ngân hàng bị nhắm tới, những người hỗ trợ trong việc lợi dụng yếu điểm trong mạng thanh toán toàn cầu SWIFT.

Biến cố

Tận dụng yếu điểm trong vấn đề an ninh của Ngân hàng Trung ương Bangladesh, bao gồm sự tham gia có thể có của một số nhân viên của mình, thủ phạm nỗ lực ăn cắp 951 triệu $ từ tài khoản ngân hàng trung ương của Bangladesh tại Ngân hàng Dự trữ Liên bang New York vào khoảng từ ngày 4-5 tháng 2 khi các văn phòng Ngân hàng Bangladesh đóng cửa. Những tên tội phạm xâm nhập thành công vào mạng máy tính Ngân hàng Bangladesh, quan sát cách chuyển tiền được thực hiện, và truy cập được các thông tin của ngân hàng để chuyển các khoản tiền. Họ sử dụng các thông tin về tài khoản để cho phép khoảng ba chục yêu cầu tới Ngân hàng Dự trữ Liên bang New York chuyển tiền từ tài khoản Ngân hàng Bangladesh ở đó vào các tài khoản ở Sri Lanka và Philippines.

Ba mươi giao dịch trị giá 851.000.000 $ đã được đánh dấu bởi các hệ thống ngân hàng để cho nhân viên xem xét lại, nhưng năm yêu cầu được cấp; 20 triệu $ được chuyển đến Sri Lanka (sau này phục hồi ), và $ 81 triệu mất ở Philippines, đi vào hệ thống ngân hàng Đông Nam Á này vào ngày 5 tháng 2 năm 2016. Số tiền này được rửa qua sòng bạc và một số sau đó chuyển đến Hồng Kông.

Số tiền dự định chuyển tới Sri Lanka

Việc chuyển 20 triệu đô-la sang Sri Lanka được dự định bởi tin tặc sẽ được gửi đến quỹ Shalika, một công ty tư nhân có trụ sở tại Sri Lanka. Các hacker viết sai chính tả "Foundation" trong yêu cầu chuyển tiền, đánh vần là "Fundation". Sai lầm chính tả này làm cho Deutsche Bank, một ngân hàng định tuyến, nghi ngờ và họ cho ngưng cuộc giao dịch chờ Ngân hàng Bangladesh làm rõ vấn đề.

Ngân hàng Pan Asia có trụ sở ở Sri Lanka ban đầu nhận được thông báo về giao dịch này, một viên chức lưu ý rằng giao dịch này quá lớn đối với một quốc gia như Sri Lanka. Ngân hàng Pan Asiado đó đã chuyển giao dịch bất thường tới Deutsche Bank. Số tiền gởi tới Sri Lanka được Ngân hàng Bangladesh thu hồi.

Số tiền chuyển tới Philippines

Số tiền chuyển đến Philippines được lưu giữ trong năm tài khoản riêng biệt với Rizal Commercial Banking Corporation (RCBC); Các tài khoản sau đó được tìm thấy dưới các nhân vật hư cấu. Các quỹ này sau đó được chuyển sang một nhà môi giới ngoại hối để chuyển đổi sang peso Philippine, trả lại cho RCBC và củng cố trong một tài khoản của một doanh nhân Trung Quốc-Filipino chuyển đổi được thực hiện từ ngày 5 đến 13 tháng 2 năm 2016. Người ta cũng tìm thấy rằng bốn tài khoản đô la Mỹ liên quan đã được mở tại RCBC sớm nhất là ngày 15 tháng 5 năm 2015,không được đụng tới cho đến ngày 4 tháng 2 năm 2016, ngày chuyển tiền từ Ngân hàng Dự trữ Liên bang New York về.

Vào ngày 8 tháng 2 năm 2016, trong dịp Tết Nguyên đán, Ngân hàng Bangladesh thông qua SWIFT thông báo với RCBC để ngăn chặn việc thanh toán, hoàn lại tiền, và "đóng băng và giữ lại ngân quỹ" nếu tiền đã được chuyển. Năm mới của Trung Quốc là một ngày lễ không làm việc ở Philippines và một thông báo SWIFT từ Ngân hàng Bangladesh có chứa thông tin tương tự được RCBC nhận chỉ một ngày sau đó. Vào thời điểm này, chi nhánh Rupiah Street (ở Makati City) đã thu hồi khoản tiền khoảng 58,15 triệu đô la.

Vào ngày 16 tháng 2, Thống đốc Ngân hàng Bangladesh yêu cầu Bangko Sentral ng Pilipinas trợ giúp trong việc thu hồi khoản tiền trị giá 81 triệu đô la, nói rằng các chỉ thị thanh toán tiền SWIFT được ban hành cho RCBC vào ngày 4 tháng 2 năm 2016 là gian lận.

Điều tra

Bangladesh

Ban đầu, Ngân hàng Bangladesh không chắc chắn là hệ thống của mình đã bị tổn hại. Thống đốc ngân hàng trung ương ủy nhiệm World Informatix Cyber Security, một công ty của Mỹ, để lãnh đạo phản ứng sự cố an ninh, đánh giá tính dễ tổn thương và để khắc phục. World Informatix Cyber Security đưa công ty điều tra pháp y hàng đầu Mandiant, một công ty của FireEye, vào tham dự để điều tra. Những chuyên gia bảo mật mạng máy tính này đã tìm ra "dấu chân" và phần mềm độc hại của tin tặc, cho thấy hệ thống đã bị xâm phạm. Các nhà điều tra cũng cho biết, tin tặc có trụ sở bên ngoài Bangladesh. Một cuộc điều tra nội bộ được Ngân hàng Bangladesh thực hiện liên quan đến vụ việc.

Cuộc điều tra của Ngân hàng Bangladesh phát hiện ra rằng phần mềm độc hại được cài đặt trong hệ thống của ngân hàng vào tháng 1 năm 2016 và thu thập thông tin về các thủ tục hoạt động của ngân hàng về việc thanh toán quốc tế và chuyển tiền. Cơ sở hạ tầng thô sơ làm cho việc chiếm đoạt tài khoản trở nên dễ dàng. Hệ thống máy tính của ngân hàng không có cả một tường lửa để mà ngăn chặn sự xâm nhập từ bên ngoài. Ngoài ra các máy chủ kết nối với hệ thống SWIFT không được ngăn cách từ mạng nội bộ. Có lẽ vì các router quá rẻ tiền không làm được chuyện đó. Nó làm cho việc truy tìm thủ phạm trở nên rất khó khăn.

Cuộc điều tra cũng xem xét vụ việc hack chưa được giải quyết vào năm 2013 tại ngân hàng Sonali, trong đó 250.000 đô la Mỹ bị đánh cắp bởi các hacker vẫn chưa được xác định. Theo các báo cáo, giống như vụ hack ngân hàng trung ương năm 2016, vụ trộm cũng dùng phương pháp chuyển tiền giả mạo qua mạng lưới SWIFT. Vụ việc bị các cơ quan cảnh sát Bangladesh để qua một bên cho đến khi ngân hàng Trung ương Bangladesh 2016 bị nghi ngờ có tình trạng tương tự.

Philippines

Cục Điều tra Quốc gia (NBI) của Philippines đưa ra một cuộc thăm dò và xem xét doanh nhân Philippines gốc Trung Quốc bị cáo buộc đóng vai trò quan trọng trong việc rửa tiền cho số tiền bất hợp pháp. NBI phối hợp với các cơ quan chính phủ liên quan bao gồm Hội đồng Chống Rửa tiền của Philippines (AMLC). AMLC bắt đầu điều tra vào ngày 19 tháng 2 năm 2016 về các tài khoản ngân hàng liên quan đến một nhà điều hành các sòng bạc. AMLC đã đệ đơn khiếu nại về rửa tiền trước Bộ Tư pháp chống lại giám đốc chi nhánh của RCBC và năm người không rõ tên có tên giả tưởng liên quan đến vụ kiện.

Một cuộc điều trần Thượng viện Philippines được tổ chức vào ngày 15 tháng 3 năm 2016 dưới sự chỉ đạo của Thượng nghị sĩ Teofisto Guingona III, người đứng đầu Ủy ban Bầu xanh và Uỷ ban Giám sát Quốc hội về Luật Chống Rửa tiền . Một buổi điều trần kín sau đó được tổ chức vào ngày 17 tháng 3. Tổng công ty Giải trí và Trò chơi Philippine (PAGCOR) cũng đã tiến hành điều tra riêng. Vào ngày 12 tháng 8 năm 2016, RCBC được báo cáo phải trả một nửa số tiền phạt P1 tỷ do Ngân hàng Trung ương Philippines áp đặt. Trước đó, ngân hàng đã tổ chức lại ban giám đốc bằng cách tăng số lượng giám đốc độc lập từ 4 lên 7 người.

Hoa Kỳ

Bộ phận điều tra dấu vết Mandiant của FireEye và World Informatix Cyber Security, cả hai công ty ở Mỹ, điều tra trường hợp hack này. Theo các nhà điều tra, sự hiểu biết của thủ phạm đối với các thủ tục nội bộ của Ngân hàng Bangladesh có lẽ đạt được bằng cách dọ thám các nhân viên của hãng. Trong một báo cáo riêng, Cục Điều tra Liên bang Hoa Kỳ (FBI) cho biết các nhân viên đã tìm thấy bằng chứng cho thấy có ít nhất một nhân viên ngân hàng đóng vai trò đồng lõa, với bằng chứng cho thấy có nhiều người hơn có thể giúp hacker điều hướng hệ thống máy tính của Ngân hàng Bangladesh. Chính phủ Bangladesh xem xét khởi kiện Ngân hàng Dự trữ Liên bang New York nhằm thu hồi những khoản tiền bị đánh cắp.

Các công tố viên liên bang tại Hoa Kỳ tiết lộ mối liên hệ có thể có giữa chính phủ Bắc Triều Tiên với vụ trộm cắp. Các công tố viên Hoa Kỳ được báo cáo đang làm việc để hình thành các vụ án có khả năng cáo buộc Bắc Triều Tiên chỉ đạo việc đánh cắp 81 triệu đô la từ tài khoản của Ngân hàng Bangladesh tại Ngân hàng Dự trữ Liên bang New York. Báo cáo cũng nói rằng trong các cáo buộc này có "người trung gian bị tình nghi Trung Quốc", người tạo điều kiện cho việc chuyển tiền khi nó đã được chuyển tới Philippines.

Phó giám đốc Cơ quan an ninh quốc gia Mỹ Rick Ledgett được trích dẫn đã nói: "Nếu liên kết từ các thủ phạm của vụ hãng phim Sony với các thủ phạm ngân hàng ở Bangladesh là chính xác - điều này có nghĩa là một quốc gia đang cướp các ngân hàng".

Các cuộc tấn công khác

Các nhà nghiên cứu về an ninh máy tính đã kết nối hành vi trộm cắp này với 11 cuộc tấn công khác và cho là Bắc Triều Tiên có một vai trò trong các cuộc tấn công, nếu đúng, sẽ là sự kiện đầu tiên được biết đến của một thủ phạm nhà nước sử dụng mạng không gian mạng để ăn cắp tiền.

Phản ứng của các tổ chức liên quan

Tổng công ty Ngân hàng Thương mại Rizal cho biết họ không dung thứ cho hoạt động bất hợp pháp trong chi nhánh RCBC liên quan đến vụ việc. Lorenzo V. Tan, Chủ tịch RCBC, cho biết ngân hàng đã hợp tác với Hội đồng Chống Rửa tiền và Bangko Sentral ng Pilipinas về vấn đề này. Tư vấn pháp lý của Tan yêu cầu giám đốc chi nhánh RCBC Jupiter Street giải thích tài khoản ngân hàng giả mạo được sử dụng trong gian lận rửa tiền.

Hội đồng quản trị của RCBC cũng đưa ra một cuộc điều tra riêng về sự tham gia của ngân hàng trong việc lừa đảo rửa tiền. Chủ tịch RCBC Lorenzo V. Tan đệ đơn xin nghỉ vắng mặt vô thời hạn để nhường chỗ cho cuộc điều tra của chính quyền về vụ kiện. Vào ngày 6 tháng 5 năm 2016, mặc dù điều tra nội bộ không cho thấy bất kỳ sai trái nào, Tan từ chức Chủ tịch của RCBC để "chịu trách nhiệm hoàn toàn về đạo đức" cho vụ việc. Helen Yuchengco-Dee, con gái của người sáng lập RCBC Alfonso Yuchengco, đảm nhiệm các hoạt động của ngân hàng. Ngân hàng cũng xin lỗi công chúng vì sự dính líu của nó vào cuộc trộm cắp.

Thống đốc Ngân hàng Bangladesh Atiur Rahman từ chức trong cuộc điều tra về vụ cướp và rửa tiền. Ông gửi lá thư từ chức của mình lên Thủ tướng Sheikh Hasina vào ngày 15 tháng 3 năm 2016. Trước khi tuyên bố từ chức, ông Rahman nói rằng ông sẽ từ chức vì lợi ích của đất nước mình.

Vào ngày 5 tháng 8 năm 2016, Bangko Sentral ng Pilipinas chấp thuận một khoản tiền phạt 52,92 triệu US$ đối với RCBC vì không tuân thủ luật ngân hàng và các quy định liên quan đến vụ trộm cắp ngân hàng này. Đây là tiền phạt tiền lớn nhất từng được BSP chấp thuận đối với bất kỳ tổ chức nào. RCBC tuyên bố rằng ngân hàng sẽ tuân theo quyết định của BSP, và sẽ trả số tiền phạt đó.

Ảnh hưởng

Vụ việc cho thấy những rủi ro mà các ngân hàng kết nối với hệ thống SWIFT bị phơi bày do hậu quả của các lỗ hổng bảo mật của các ngân hàng thành viên khác. Bằng cách vi phạm tường lửa an ninh của Ngân hàng Trung ương Bangladesh, các hacker đã có thể hack hệ thống và chuyển tiền qua mạng lưới ngân hàng toàn cầu đã được thiết lập hầu như không bị phát hiện. Sự thất bại của chính phủ Bangladesh trong việc xây dựng các biện pháp bảo vệ thích hợp cho hệ thống tài chính của họ trở thành điểm khởi đầu cho một chương trình rửa tiền toàn cầu trị giá hàng triệu đô la, có ảnh hưởng vượt ra ngoài biên giới của nước này.

Vụ này cũng đe doạ việc Philippines bị đưa trở lại danh sách đen của các nước không nỗ lực hiệu quả chống lại rửa tiền bởi Nhóm Đặc nhiệm Hành động Tài chính về Rửa tiền. Một điểm yếu tiềm ẩn của các nhà cầm quyền Philippines trong nỗ lực chống lại rửa tiền được chú ý tới, sau khi các nhà lập pháp trong năm 2012 loại trừ các sòng bạc khỏi danh sách các tổ chức được yêu cầu phải báo cáo lên Hội đồng Chống Rửa tiền về các giao dịch đáng nghi ngờ.

Trường hợp này cũng nhấn mạnh mối đe dọa của các cuộc tấn công không gian mạng cho cả chính phủ và các tổ chức tư nhân bởi các tội phạm không gian mạng bằng cách sử dụng mã ngân hàng thực sự để làm cho các đơn chuyển tiền giống như là có thật. SWIFT tư vấn các ngân hàng sử dụng hệ thống Truy cập Liên minh SWIFT để tăng cường tình trạng bảo mật trên mạng của họ và đảm bảo họ tuân thủ các hướng dẫn về bảo mật của SWIFT. Bangladesh được biết đến là quốc gia bị tấn công nhiều nhất thứ 20 trên thế giới, theo một bản đồ đe doạ mạng được phát triển bởi Kaspersky Lab, chạy theo thời gian thực.