Menselijke it-fouten bij gehackte Bangladese bank
Technisch personeel van de internationale bankorganisatie Swift heeft begin dit jaar fouten gemaakt bij het aansluiten van het eigen systeem op dat van de Centrale Bank van Bangladesh, waar hackers een paar maanden later 81 miljoen dollar wisten te stelen, zo laat een politiefunctionaris die het onderzoek naar de bankoverval leidt tegenover persbureau Reuters weten.
"We vonden veel fouten", zegt Mohammad Shah Alam. "De aanpassingen zorgden voor veel meer risico's voor de bank." De technici gingen de fout in bij het aansluiten van het eigen Swift-systeem op het transactiesysteem van de bank. De Society for Worldwide Interbank Financial Telecommunication (Swift) is een internationale coöperatieve organisatie voor internationale banktransacties. Banken kunnen via dit systeem transacties uitvoeren. Het Swift-systeem waarop de Bangladese bank werd aangesloten bevond zich in een afgesloten kamer.
De technici zouden de eigen procedures echter niet hebben gevolgd om ervoor te zorgen dat het systeem veilig was, aldus een functionaris van de Bangladese bank die anoniem wil blijven. Daardoor kon er met alleen een wachtwoord op het Swift-systeem worden ingelogd, ook via andere computers die met het systeem verbinding konden maken. Volgens de bankfunctionaris zou Swift het systeem hebben moeten controleren nadat het was geïnstalleerd, maar dat zou niet zijn gedaan. Dit is echter niet bevestigd en ook Swift wil er niet op reageren.
Fouten
In een politierapport over de bankoverval stellen onderzoekers dat de koppeling tussen het banksysteem en het Swift-systeem op het hetzelfde netwerk plaatsvond waar de ongeveer 5.000 computers van de Bangladese bank op zijn aangesloten en dat via internet toegankelijk is. De technici hadden echter een gescheiden netwerk moeten opzetten. Daarnaast werd er ook geen firewall tussen het banksysteem en het Swift-systeem in de afgesloten kamer geplaatst, zodat de bank geen kwaadaardig inkomend verkeer kon filteren.
Tijdens de installatie maakten de technici gebruik van remote toegang, zodat ze de computers in de vergrendelde Swift-kamer ook vanaf andere locaties binnen de bank konden benaderen. Nadat ze klaar waren werd de remote toegang echter niet uitgeschakeld. Om hier gebruik van te maken was alleen een wachtwoord vereist. Ook was de usb-poort van de computer die op het Swift-systeem was aangesloten niet uitgeschakeld. Iets dat volgens de Bangladese politie gebruikelijk is voor belangrijke netwerken om te voorkomen dat malware via besmette usb-sticks het systeem kan infecteren.
Exacte details over de overval ontbreken nog, maar de aanvallers zouden in ieder geval het juiste wachtwoord hebben bemachtigd om via het systeem van de Bangladese bank op het Swift-systeem in te loggen en vervolgens de miljoenen naar verschillende rekeningen over te maken.
Als dat niet zo gegaan is klopt het ongetwijfeld dat de mensen van SWIFT zich niet aan hun procedures gehouden hebben, maar als de IT- en infrastructuurmensen van de bank er niet in verdiept hebben en er niet met een kritische neus bovenop hebben gezeten dan zijn die net zo goed nalatig geweest. En stel dat die zo nalatig zijn geweest, dan lijkt het me niet denkbeeldig dat de mensen van SWIFT daardoor onmogelijk hun systeem zo konden aanleggen als had moeten gebeuren. In dat geval begint het probleem bij de bank zelf. Of SWIFT daar dan weer goed mee is om is gegaan (aangenomen dat het zo is) is de vraag, maar het lijkt me hoe dan ook heel onwaarschijnlijk dat de verantwoordelijkheid alleen bij SWIFT ligt.
Het is zelfs maar de vraag of deze diefstal wel een hack is, het kunnen ook gewoon een paar geautoriseerde medewerkers zijn die in pot met geld hebben zitten graaien. Als er één land ter wereld is waar je niets of niemand kunt vertrouwen, dan is het wel Bangladesh. Dit soort landen moet je afsluiten van je systemen, je haalt het paard van Troje in huis.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.