В отчете об актуальных киберугрозах для финансовых организаций Group-IB раскрыла подробности новой атаки преступной группы MoneyTaker. Проникнув в сеть российского банка, хакеры получили доступ к системе межбанковских переводов и вывели более 500 млн руб. с корсчета жертвы в Центробанке.
Более трех лет назад MoneyTaker таким же образом украла у ПИР Банка 58 млн рублей. Как выяснил РБК, доступ к АРМ КБР (автоматизированному рабочему месту клиента Банка России) позволяет сформировать платежное поручение и отправить с корсчета деньги указанному адресату. Платеж при этом должен быть подписан цифровыми ключами.
Согласно Group-IB, атака на неназванный банк началась в июне 2020 года. Хакерам удалось взломать системы аффилированной компании, откуда они спустя месяц перекочевали в целевую сеть. Ее изучение позволило злоумышленникам получить доступ к АРМ КБР жертвы и украсть ключи для удостоверения платежей.
В январе они приступили к выполнению основной задачи: сфабриковали платежные поручения, вручную скопировали их в специальную папку в системе АРМ КБР и в итоге благополучно вывели деньги жертвы на свои счета.
Имя новой жертвы MoneyTaker в отчете Group-IB не указано; РБК удалось узнать лишь, что это небольшой банк, а сумма похищенного превышает полмиллиарда рублей. Представитель ЦБ заявил журналистам, что регулятору известно об инциденте, и в банки был разослан (еще в апреле) соответствующий бюллетень ФинЦЕРТ.
Опрошенные РБК эксперты отметили, что риск целевых атак на банки существует, но он заметно меньше, чем лет пять назад. Участники рынка и регулятор уделяют много внимания вопросам кибербезопасности, и взламывать финансовые организации стало невыгодно.
