2013年8月26日 星期一

駭客攻擊銀行新手段 電匯系統成目標

駭客攻擊銀行新手段 電匯系統成目標

分析師指出,駭客攻擊銀行的手法出現一些新的轉變,有別於過去專門鎖定個人帳戶以盜取金額,如今出現的新手法是直接攻擊銀行電匯系統,藉此竊取更高金額,在過去三個月內,已經有至少3家美國銀行業者因為電匯系統遭受攻擊,導致數百萬美元的損失。

Gartner副總裁Avivah Litan說明,過去銀行攻擊事件中,駭客往往藉由取得帳號、密碼而入侵個人帳戶,然後再將帳戶中的錢轉出,並透過如錢騾(money mules)等手法,經由假帳戶把帳款轉到海外帳戶。然而,最近幾個月發生的攻擊案件中,駭客攻擊目標轉向電匯系統,攻擊者不用再像過去一樣一次入侵一個帳戶,而是直接控制主系統,同時從多個帳戶將錢轉出,不過Litan沒有指出是哪些銀行業者受到攻擊。

Litan分析,這種新的攻擊型態意味著,駭客攻擊正朝向更深入銀行系統的方向發展,而且可能為銀行業帶來更大的破壞和損失。此外,值得注意的是,駭客還藉由分散式阻斷服務攻擊(Distributed Denial of Service,DDoS)作為此行動的掩護,Litan表示,駭客在攻擊電匯系統時會同時發動DDoS攻擊以轉移銀行的注意力,讓他們可以盡可能地騙取更多的錢,直到行動受到注意。

此外,這種攻擊手法並非一朝一夕就可達到目標,在入侵電匯系統前,駭客可能採取了進階持續性滲透攻擊(Advanced Persistent Threat,APT)手法。一般而言,電匯系統會受到高度保護,僅有少數銀行員工擁有特殊的帳號才能進入系統,因此,駭客很可能先透過惡意軟體進入銀行內部的網路、並入侵這些特定帳號,有了精密的布局後才發動攻擊。

為了避免這種新式攻擊手法造成龐大損失,Litan建議,銀行應該建立一個機制,一旦系統遭受DDoS攻擊時,轉帳系統運作的速度就會減緩,以降低損失。此外,她也強調,分層的詐欺預防和安全機制是絕對必要的。

KPMG最新甫發布的一份銀行績效指標報告(Bank Performance Benchmarking Report)指出,銀行業未來要面對的最大衝擊,很可能是網路犯罪,而不再是經濟問題。這一波鎖定電匯系統的新型態攻擊,也許只是一個新的開端,銀行業者應放眼未來,為未來更多可能的網路威脅做準備。

轉載自《資安人科技網》