מבנק צרפתי גדול נגנבו בתחילת נובמבר, לפי הבנק עצמו, כ‑ 100 מיליון אירו (כ‑ 112.6 מיליון דולר). חוקר בלוקצ'יין שעקב אחר הכספים מעריך שהסכום גבוה יותר. חלק מהכסף כבר נחסם. מה שהופך את האירוע לחריג הוא המסלול: לפי Crédit Mutuel Arkéa, התוקפים לא השתמשו בחשבונות של לקוחות. הם עברו דרך הפלטפורמה של אחד מספקי השירות של הבנק, הגיעו דרכה ישירות אל הבנק והעבירו כסף מהחשבון של הבנק עצמו לבנקים אחרים. לדברי הבנק, ייתכן שמשם הומר הכסף לקריפטו.
מה ידוע: מהאזהרה הראשונה ועד הודעת הבנק
האזהרה הפומבית הראשונה לא הגיעה מהבנק. ביום שני, 2 בנובמבר, פרסם ZachXBT, חוקר שמתמחה במעקב אחר כספים גנובים ברשתות בלוקצ'יין, התראה על "גוף אירופי" שנחשד כי איבד יום קודם יותר מ‑ 106 מיליון דולר, שנמשכו כמטבעות יציבים מחשבונות בבורסות קריפטו ריכוזיות. את זהות הגורם שמאחורי המשיכות לא ידע, אך קבע "ברמת ביטחון גבוהה" שלא מדובר בקבוצת Lazarus. לדבריו, כבר ביממה הראשונה הוחלף חלק מהכסף, עבר בין שירותים ורשתות והומר בחלקו ל‑ Monero.
למחרת עדכן שזיהה עוד 27 מיליון דולר במשיכות. בכך העמיד את האומדן על “133 מיליון דולר ומעלה”. בשעות הקטנות של יום רביעי, 4 בנובמבר, נקב בשם: לפי החשד, Crédit Mutuel Arkéa. לטענתו, המתקפה על הבנק נמשכה כמה ימים.
הבנק פרסם הודעה בצהרי אותו יום. לפי ההודעה, מתקפה אפשרה פעולות במרמה, הגופים המפקחים קיבלו עדכון ועסקאות מסוימות הושהו כאמצעי זהירות, מה שעיכב חלק מהעברות הלקוחות. בהמשך פרסם הבנק מסמך של שאלות ותשובות. לפיו, הכניסה לא עברה דרך חברת הבת Fortuneo, כפי שנכתב בתקשורת. הבנק גם שולל טעות אנוש מצידו ומתאר "מתקפה מתוחכמת מבחוץ". לפי רויטרס, התביעה בפריז פתחה בחקירה שמובילה משטרת הסייבר הצרפתית. הבנק עדכן את התביעה, את הרגולטורים בצרפת ואת הבנק המרכזי האירופי.
Crédit Mutuel Arkéa, שמרכזה בעיר ברסט שבבריטני, הינה קבוצה בנקאית קואופרטיבית עם מאזן של 211.5 מיליארד אירו, יותר מ‑ 12 אלף עובדים ויותר מ‑ 5.8 מיליון חברים ולקוחות.
הדלת: פלטפורמה של ספק
מעבר לקביעה שהתוקפים עברו דרך הפלטפורמה של אחד הספקים (מתקפת שרשרת אספקה) והגיעו ממנה ישירות אל הבנק, Arkéa לא פירט דבר: לא את זהות הספק, לא את האופן שבו נוצלה הפלטפורמה שלו ולא את המערכות שבהן נעשה שימוש. גם בפני רויטרס סירב דובר הבנק לחשוף את שם הספק.
Computing, בהסתמך על Le Monde, מוסיף פרט מהותי: הספק היה מורשה לבצע פעולות כספיות עבור הבנק. אם הדיווח מדויק, ייתכן שהכסף יצא בזכות הרשאה שהבנק עצמו העניק לגורם חיצוני, בלי צורך בפרטי הגישה של הלקוחות.
כמה נגנב ומתי זה התגלה: הגרסאות אינן זהות
שני נתונים עדיין שנויים במחלוקת.
הסכום. לפי רויטרס, הבנק מסר שנגנבו כ‑ 100 מיליון אירו (Computing מייחס לו "יותר מ‑ 100 מיליון"). במסמך השאלות והתשובות, לשאלה אם מדובר ב‑ 118 מיליון אירו, השיב הבנק שהוא "יכול רק לאשר את סדר הגודל". לדבריו, מוקדם מדי לנקוב בסכום סופי: חלק מהכספים נחסם ופעולות ההשבה נמשכות. ZachXBT מציג את 133 מיליון הדולר כרצפה. הוא חושד שהסכום גדול יותר אם מביאים בחשבון גם עסקאות מחוץ לבורסות (OTC). בכמה כלי תקשורת הנתון שלו הוצג כ‑ "עד 133 מיליון דולר", אך בפוסטים שלו הוא מופיע כ‑ “133 מיליון ומעלה”.
מהירות הגילוי. לפי הבנק, מערכות האבטחה שלו זיהו "מהר מאוד" את הפעילות החשודה ואפשרו לנקוט צעדים לתחימת המתקפה. ZachXBT טוען שהמתקפה נמשכה כמה ימים ושחלק מהמשיכות בוצעו אחרי ההתראה הראשונה שלו. לדבריו, היעדר הודעה מסודרת אפשר להלבין יותר מ‑ 30 מיליון דולר, שרשויות האכיפה באירופה יכלו להקפיא. הבנק לא פרסם לוח זמנים שמאפשר לבדוק את הטענות האלו.
מה שאינו שנוי במחלוקת: האזהרה הפומבית הראשונה הגיעה מ‑ ZachXBT, כיומיים לפני הודעת הבנק. מתי זיהה הבנק את המתקפה בעצמו, הוא לא פרסם.
לפי Le Monde, כפי שדווח ב‑ Computing, בורסת הקריפטו האמריקאית Kraken עצרה כבר ביום שני העברות שטרם הושלמו, אחרי שזיהתה סכומים גדולים במיוחד שנכנסו מבנק אירופי.
הסיכון לארגון שלכם
האירוע של Arkéa חריג בהיקפו, אך המבנה שלו מוכר גם בארגונים קטנים בהרבה.
ספק שיכול להזיז כסף הוא נקודת כניסה אל הכסף עצמו. כל גורם חיצוני שהפלטפורמה שלו יכולה ליזום תשלומים בשם הארגון, כמו לשכת שכר, משרד הנהלת חשבונות, פלטפורמת תשלומים או מערכת ERP מנוהלת, נמצא בעמדה דומה לזו שמתאר Le Monde. בישראל, נפוץ שלשכות שכר ומשרדי הנהלת חשבונות מעבירים קובצי מס"ב בשם הלקוח. יש גם חברות שמעניקות לרואה החשבון החיצוני הרשאות באתר הבנק. פריצה לספק כזה אינה חייבת לעבור דרך תיבות הדואר של העובדים או דרך פרטי הגישה של הארגון. לכן ההגנות שנבנו סביבם לא בהכרח יראו אותה.
הזמן נמדד בשעות. לפי ZachXBT, כבר ביממה הראשונה הגורם שמאחורי המשיכות החליף כספים, העביר אותם בין שירותים והמיר חלק מהם ל‑ Monero. גם בהעברה בנקאית רגילה, הסיכוי לעצור כסף או להשיב אותו תלוי במהירות הפנייה לבנק ולרשויות.
בקרה שאינה תלויה בצד שנפרץ. במבזק על הונאת ה‑ AI של 129 מיליון דולר, שפורסם כאן אתמול, הניסיון היחיד שנכשל מבין המקרים שמפורטים בכתב האישום נעצר בבק‑אופיס, אחרי שהעובד כבר השתכנע. לא ידוע אם ב‑ Arkéa הייתה בקרה כזו. העיקרון הוא אישור תשלום שאינו עובר דרך הגורם שנפרץ.
אחרי אירוע סייבר כזה עלול להגיע דיוג – פישינג. הבנק עצמו הזהיר שבעקבות המתקפה ייתכנו ניסיונות פישינג. הוא הזכיר ללקוחות לא למסור סיסמה, שם משתמש, קוד אימות מ‑ SMS או מספר כרטיס. אירוע שמתפרסם בתקשורת מספק תירוץ נוח להודעה מתחזה, גם מול הספקים והלקוחות של הארגון שנפגע.
010 הגנה על מידע, אבטחת מידע והמשכיות עסקית
Arkéa לא פרסם פרטים טכניים על הפריצה. לכן אין כאן חולשה ידועה לתקן. ההמלצות הבאות נגזרות ממה שהבנק אישר: כניסה דרך פלטפורמה של ספק (שרשרת אספקה) והעברות מהחשבון של הבנק עצמו. מקור נוסף להן הוא הדיווח ב‑ Le Monde, שלפיו הספק היה מורשה לפעול בשם הבנק.
סקר סיכונים. מיפוי של כל גורם חיצוני שהמערכות שלו יכולות ליזום, לאשר או לשנות תשלומים בשם הארגון. לכל גורם כזה נבדקים תקרת הסכום, המוטבים שמותר להעביר אליהם, קיומו של אישור נוסף שאינו עובר דרך הספק והרישומים שהארגון מקבל על כל פעולה.
SIEM/SOC. כשרישומי הפעילות של חיבורי הספקים מגיעים לארגון, ניטור רציף נועד להציף סימנים כמו כניסה למערכת התשלומים בשעה חריגה, הוספת מוטב חדש או פרץ של העברות. התנאי הוא שהרישומים האלו אכן נאספים: ספק שמחזיק את כל היומנים אצלו משאיר את הארגון בלי תמונה. כשההעברות מתבצעות באתר הבנק, האות הזמין לרוב הוא התראות הבנק על מוטב חדש או על העברה חריגה. כדאי לוודא שהן מופעלות ומגיעות למי שמוסמך לעצור. בכל מקרה, זיהוי מועיל רק אם קיים נוהל מוסכם מראש שמתרגם התראה לעצירה של העברות.
גיבוי והמשכיות עסקית. ההחלטה של הבנק להשהות זמנית חלק מהעסקאות הייתה צעד זהירות שגבה מחיר, כי העברות של לקוחות התעכבו. תוכנית המשכיות עסקית צריכה לקבוע מראש מי מוסמך להקפיא תשלומים יוצאים, מול מי פועלים (הבנק, הספק, הרשויות) ואיך ממשיכים לשלם משכורות וספקים בזמן ההקפאה.
מודעות עובדים לסייבר וסינון דוא"ל. אזהרת הפישינג של הבנק היא תזכורת לכך שהשלב שאחרי הפרסום מסוכן בפני עצמו. הדרכה שמלמדת עובדים לזהות הודעות שמנצלות אירוע חדשותי נוגעת לשלב הזה ולא לפריצה עצמה. כך גם סינון דוא"ל שמסמן הודעות המתחזות לבנק או לספק.
למקור הידיעה ולקריאה נוספת לחצו כאן
