Menselijke it-fouten bij gehackte Bangladese bank
Technisch personeel van de internationale bankorganisatie Swift heeft begin dit jaar fouten gemaakt bij het aansluiten van het eigen systeem op dat van de Centrale Bank van Bangladesh, waar hackers een paar maanden later 81 miljoen dollar wisten te stelen, zo laat een politiefunctionaris die het onderzoek naar de bankoverval leidt tegenover persbureau Reuters weten.
"We vonden veel fouten", zegt Mohammad Shah Alam. "De aanpassingen zorgden voor veel meer risico's voor de bank." De technici gingen de fout in bij het aansluiten van het eigen Swift-systeem op het transactiesysteem van de bank. De Society for Worldwide Interbank Financial Telecommunication (Swift) is een internationale coöperatieve organisatie voor internationale banktransacties. Banken kunnen via dit systeem transacties uitvoeren. Het Swift-systeem waarop de Bangladese bank werd aangesloten bevond zich in een afgesloten kamer.
De technici zouden de eigen procedures echter niet hebben gevolgd om ervoor te zorgen dat het systeem veilig was, aldus een functionaris van de Bangladese bank die anoniem wil blijven. Daardoor kon er met alleen een wachtwoord op het Swift-systeem worden ingelogd, ook via andere computers die met het systeem verbinding konden maken. Volgens de bankfunctionaris zou Swift het systeem hebben moeten controleren nadat het was geïnstalleerd, maar dat zou niet zijn gedaan. Dit is echter niet bevestigd en ook Swift wil er niet op reageren.
Fouten
In een politierapport over de bankoverval stellen onderzoekers dat de koppeling tussen het banksysteem en het Swift-systeem op het hetzelfde netwerk plaatsvond waar de ongeveer 5.000 computers van de Bangladese bank op zijn aangesloten en dat via internet toegankelijk is. De technici hadden echter een gescheiden netwerk moeten opzetten. Daarnaast werd er ook geen firewall tussen het banksysteem en het Swift-systeem in de afgesloten kamer geplaatst, zodat de bank geen kwaadaardig inkomend verkeer kon filteren.
Tijdens de installatie maakten de technici gebruik van remote toegang, zodat ze de computers in de vergrendelde Swift-kamer ook vanaf andere locaties binnen de bank konden benaderen. Nadat ze klaar waren werd de remote toegang echter niet uitgeschakeld. Om hier gebruik van te maken was alleen een wachtwoord vereist. Ook was de usb-poort van de computer die op het Swift-systeem was aangesloten niet uitgeschakeld. Iets dat volgens de Bangladese politie gebruikelijk is voor belangrijke netwerken om te voorkomen dat malware via besmette usb-sticks het systeem kan infecteren.
Exacte details over de overval ontbreken nog, maar de aanvallers zouden in ieder geval het juiste wachtwoord hebben bemachtigd om via het systeem van de Bangladese bank op het Swift-systeem in te loggen en vervolgens de miljoenen naar verschillende rekeningen over te maken.
Als dat niet zo gegaan is klopt het ongetwijfeld dat de mensen van SWIFT zich niet aan hun procedures gehouden hebben, maar als de IT- en infrastructuurmensen van de bank er niet in verdiept hebben en er niet met een kritische neus bovenop hebben gezeten dan zijn die net zo goed nalatig geweest. En stel dat die zo nalatig zijn geweest, dan lijkt het me niet denkbeeldig dat de mensen van SWIFT daardoor onmogelijk hun systeem zo konden aanleggen als had moeten gebeuren. In dat geval begint het probleem bij de bank zelf. Of SWIFT daar dan weer goed mee is om is gegaan (aangenomen dat het zo is) is de vraag, maar het lijkt me hoe dan ook heel onwaarschijnlijk dat de verantwoordelijkheid alleen bij SWIFT ligt.
Het is zelfs maar de vraag of deze diefstal wel een hack is, het kunnen ook gewoon een paar geautoriseerde medewerkers zijn die in pot met geld hebben zitten graaien. Als er één land ter wereld is waar je niets of niemand kunt vertrouwen, dan is het wel Bangladesh. Dit soort landen moet je afsluiten van je systemen, je haalt het paard van Troje in huis.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
