Хакерская группировка MoneyTaker смогла успешно атаковать российский банк через его рабочее место в ЦБ. До этого подобная атака была в 2018 году. У банка не из первой сотни смогли украсть более полумиллиарда рублей, выяснил РБК
В начале 2021 года хакеры после трехлетнего перерыва смогли украсть денежные средства одного из российских банков через атаку на автоматизированное рабочее место клиента Банка России (АРМ КБР). Об этом говорится в отчете компании Group-IB об угрозах безопасности финансового сектора «Большой куш: угрозы для финансовых организаций». С помощью АРМ проводятся межбанковские денежные переводы с корреспондентского счета, открытого в ЦБ.
«После долгого затишья группа MoneyTaker успешно атаковала российский банк. Очевидно, что злоумышленники на этом не остановятся и будут продолжать атаковать АРМ КБР», — говорится в отчете. В прошлый раз MoneyTaker успешно атаковала по такой схеме ПИР Банк. Инцидент произошел летом 2018 года, тогда злоумышленникам удалось украсть с корсчета в Банке России более 58 млн руб., сообщал «Коммерсантъ». В октябре 2018 года ЦБ отозвал лицензию у этого банка.
Как хакеры смогли похитить средства
«Атака началась в июне 2020 года через компрометацию аффилированной с банком компании. Предположительно, они начали с физического устройства, установленного в аффилированной сети», — говорится в отчете Group-IB.
Затем хакеры смогли получить доступ к сети банка — на это им понадобилось около месяца. Еще полгода они исследовали сеть с помощью программного обеспечения для хранения учетных данных проверки клиента, удаленного доступа и т.д.
Финальная стадия атаки началась в январе 2021 года. В результате хакеры получили доступ к системе межбанковских переводов, которые проводятся через АРМ КБР, а также смогли украсть цифровые ключи для подписания платежей, проходящих через ЦБ. Как объясняет собеседник РБК в одном из банков, при получении доступа к АРМ КБР в нем можно сформировать платежное поручение и отправить с корсчета деньги на свои счета. «[Хакеры] вручную скопировали поддельные подписанные платежи в специальную папку в системе АРМ КБР», — отмечается в отчете Group-IB.
