Zwei Klagen gegen die First Horizon Bank werfen Unbekannten vor, sich am Telefon als Geschäftskunden ausgegeben und unter dem Vorwand eines neuen iPhones Ersatz-Sicherheitstoken erhalten zu haben. Anschließend wurden Überweisungen von mehr als 24 Millionen US-Dollar veranlasst. Ein Teil des Geldes ist noch nicht zurückgeholt. Die Verfahren stellen infrage, wie die Bank Anrufer identifizierte, wie Geschäftskonten abgesichert waren und ob sie nach einem früheren Vorfall ein ähnliches Betrugsmuster erkannt hatte.
Zwei Unternehmen verlieren innerhalb von zwei Tagen rund 6,5 Millionen Dollar
K&A Rosario Holdings und MJR Fund, zwei Unternehmen aus dem Raum Orlando, verklagten First Horizon im Mai vor einem Bundesgericht in Orlando. Der Klage zufolge gab sich ein Anrufer am 3. März als Misael Rosario aus. Rosario leitete K&A und war für MJR verantwortlich. Der Anrufer erklärte, er habe „auf ein iPhone 14 gewechselt“ und benötige deshalb ein neues Sicherheitstoken für den Zugriff auf die Unternehmenskonten.
Ein Mitarbeiter des First-Horizon-Kundenservice stellte daraufhin ein neues Token aus. Laut dem Leitfaden der Bank für Geschäftskonten erzeugt ein in einer mobilen Anwendung hinterlegtes Token alle 60 Sekunden einen neuen Code. Für die Ausführung von Zahlungen benötigen Geschäftskunden sowohl diesen Code als auch ein Passwort.
Etwa 80 Minuten später wurden von einem Konto sechs Überweisungen über insgesamt 4,85 Millionen Dollar veranlasst. Bis zum 5. März gingen von den Konten der beiden Unternehmen zwölf Überweisungen mit einem Gesamtvolumen von rund 6,5 Millionen Dollar ab. Mehr als 4,5 Millionen Dollar konnten nach Angaben der Klageschrift bislang nicht zurückgeholt werden.
Der Anwalt der Unternehmen, Victor Velarde, erklärte, seine Mandanten wüssten nicht, wie der Anrufer an ihre Zugangsdaten für das Onlinebanking gelangt sei. In der Klage heißt es, der Anruf sei aus Kalifornien gekommen, obwohl die Geschäftsführer der Unternehmen in Florida lebten und der Bank nur Telefonnummern aus Florida mitgeteilt hatten. Außerdem habe der Anrufer den Namen Rosario auf zwei unterschiedliche Arten ausgesprochen.
Anwaltskanzlei meldet Überweisungen über 17,3 Millionen Dollar
Rund fünf Wochen zuvor war die Kanzlei Rabideau Klein aus Palm Beach in Florida von einem ähnlichen Vorfall betroffen. Einer separaten Klage zufolge nutzte ein Anrufer ebenfalls die Erklärung vom „neuen iPhone“, um ein Ersatz-Sicherheitstoken anzufordern. Innerhalb weniger Stunden verließen 13 Überweisungen über insgesamt rund 17,3 Millionen Dollar das Treuhandkonto der Kanzlei.
Auf dem Konto lagen Gelder für Immobilientransaktionen. Die Kanzlei konnte etwa 10,7 Millionen Dollar zurückholen. Rund 6,55 Millionen Dollar gelten laut Klageschrift weiterhin als nicht wiedererlangt.
Der Vorfall begann am 27. Januar mit einer Phishing-E-Mail, über die ein Angreifer Zugriff auf eines der Microsoft-365-E-Mail-Konten der Kanzlei erhielt. Am folgenden Tag brachte er den Telefonanbieter der Kanzlei dazu, eingehende Anrufe auf eine von ihm kontrollierte Nummer umzuleiten. Noch am selben Abend nutzte der Angreifer die Funktion „Benutzer-ID oder Passwort vergessen“ im Onlinebanking von First Horizon, setzte das Passwort von Guy Rabideau zurück und erhielt dessen Benutzer-ID.
Anschließend rief der Angreifer bei der Bank an, gab sich als Rabideau aus und verlangte ein neues Token. Auf die Frage nach der Kontonummer sagte er zunächst, er suche nach „deren“ Kontonummer, nannte dann aber die relevanten Daten. Außerdem gab er einen Firmennamen an, der nicht exakt mit den Bankunterlagen übereinstimmte, die letzten vier Ziffern von Rabideaus Sozialversicherungsnummer sowie die Benutzer-ID, die ihm die Website der Bank kurz zuvor angezeigt hatte.
Nach der Weiterleitung an die Treasury-Management-Abteilung fragte ein weiterer Bankmitarbeiter nach der Benutzer-ID, dem vollständigen Namen, der E-Mail-Adresse und den letzten vier Ziffern der Kontonummer. Der Mitarbeiter bot an, einen Bestätigungscode an die bei der Kanzlei hinterlegte Telefonnummer zu senden. Der Anrufer bat stattdessen um eine Übermittlung per Sprachmitteilung, der Mitarbeiter stimmte zu. Der Anruf mit dem Code wurde an den Angreifer weitergeleitet. Anschließend versandte die Bank per E-Mail einen Link zur Aktivierung des Tokens, den der Angreifer ebenfalls abfangen konnte.
Nach Angaben der Klageschrift verzeichneten die Bankprotokolle in den folgenden Stunden Anmeldungen aus Chicago. Der Angreifer legte zudem eine zweite Benutzer-ID auf den Namen Rabideau an, verknüpfte sie mit seiner eigenen E-Mail-Adresse und Telefonnummer und sperrte den Onlinebanking-Zugang für vier weitere Mitarbeiter der Kanzlei.
In beiden Fällen fließt Geld an denselben Empfänger
Überweisungen aus beiden Fällen gingen an dasselbe Unternehmen, Shaoxing Fanshun Import and Export. Nach Angaben der Klage von K&A wurden vier Überweisungen über insgesamt 2,29 Millionen Dollar von dessen Konto an das Unternehmen gesendet. Die Gerichtsunterlagen erläutern nicht, ob darüber hinaus eine Verbindung zwischen den beiden Fällen bestand.
First Horizon sieht eigene Kontrollen bestätigt
First Horizon mit Sitz in Memphis im Bundesstaat Tennessee weist im Fall Rabideau Klein den Vorwurf eines unzureichenden Risikomanagements zurück und verteidigt sich in beiden Verfahren. Ein Sprecher der Bank erklärte, die „Systeme, Kontrollen und Sicherheitsvorkehrungen hätten wie vorgesehen funktioniert“. First Horizon kündigte an, sich gegen die Ansprüche von K&A und MJR mit Nachdruck zu verteidigen.
Im Verfahren Rabideau Klein macht die Bank Sicherheitsprobleme innerhalb der Kanzlei für den Verlust verantwortlich. First Horizon argumentiert, die Phishing-E-Mail habe den Vorfall ausgelöst. Zudem habe die Kanzlei eine von der Bank empfohlene Kontrolle für Überweisungen abgelehnt. Dabei muss eine zweite Person jede Überweisung freigeben, bevor sie ausgeführt wird. Von der Kanzlei eingereichte Unterlagen zeigen, dass sie ein Formular zur Ablehnung dieser Funktion unterzeichnet hatte.
Velarde erklärte, K&A und MJR hätten keine Sicherheitsverfahren ausdrücklich abgewählt. Ob die Unternehmen das Vier-Augen-Prinzip für Überweisungen nutzten, sagte er jedoch nicht. First Horizon hat bislang nicht öffentlich dargelegt, wie die Bank Anrufer überprüft, die Ersatz-Sicherheitstoken anfordern, oder ob sie ihre Abläufe nach dem Vorfall im Januar geändert hat.
Klage stellt Kenntnis eines ähnlichen Betrugsmusters infrage
K&A und MJR argumentieren, First Horizon könnte bereits vor den Überweisungen im März von einer ähnlichen Vorgehensweise gewusst haben. Nach Darstellung der Klage hatte die Bank am 29. Januar, nachdem Rabideau Klein den Betrug gemeldet hatte, „tatsächliche Kenntnis“ davon, dass jemand über den Hinweis auf einen iPhone-Wechsel Zugriff auf Kundenkonten erlangt hatte. Zudem habe der Verdacht bestanden, dass Überweisungen an Shaoxing Fanshun betrügerisch waren.
K&A zufolge könnte dies für die Frage relevant sein, ob die Sicherheitsverfahren der Bank nach Artikel 4A des Uniform Commercial Code als „wirtschaftlich angemessen“ galten. Die Vorschrift regelt grundsätzlich die Verteilung der Haftung bei Überweisungen. Eine Bank kann für eine nicht autorisierte Überweisung haften. Die Bewertung kann jedoch anders ausfallen, wenn sie in gutem Glauben gehandelt und die mit dem Kunden vereinbarten, wirtschaftlich angemessenen Sicherheitsverfahren eingehalten hat.
First Horizon beantragte, diese Vorwürfe aus der Klage von K&A zu streichen. Die Bank argumentiert, die Anwälte der Kläger hätten die Passagen aus anderen, nicht verbundenen Verfahren übernommen; sie seien daher irrelevant und unzulässig. K&A verweist auf eine Gerichtsentscheidung aus dem Jahr 2012. Daraus leitet das Unternehmen ab, dass es für die Beurteilung der Angemessenheit von Sicherheitsverfahren relevant sein kann, wenn eine Bank auf ihr vorliegende Warnungen vor Betrug nicht reagiert.
Bundesleitlinien empfehlen Rückruf und registrierte Geräte
Leitlinien des Federal Financial Institutions Examination Council aus dem Jahr 2021 warnen Banken vor Social-Engineering-Angriffen auf Kundenservice- und IT-Helpdesks. Zu den empfohlenen Kontrollen gehören der Versand einmaliger Codes an vorab registrierte Geräte, Rückrufe über bereits hinterlegte Telefonnummern, die Kennzeichnung unbekannter Anrufernummern sowie feste Verfahren für Änderungen von Telefonnummern oder Mobilfunkanbietern.
Im Fall Rabideau Klein sendete die Bank zwar einen Code an die registrierte Telefonnummer der Kanzlei. Der Angreifer hatte den Telefonanbieter jedoch bereits dazu gebracht, Anrufe von dieser Nummer an ihn weiterzuleiten. Der Fall zeigt damit, dass der Versand eines Codes an eine registrierte Nummer allein nicht beweist, dass die tatsächlich empfangende Person der Kunde ist.
Jim Mortensen, strategischer Berater für Betrugsbekämpfung und Geldwäscheprävention bei Datos Insights, erklärte, wissensbasierte Prüfungen wie das Buchstabieren eines Namens oder die Nennung der letzten vier Ziffern einer Sozialversicherungsnummer reichten nach heutigen Best Practices nicht mehr aus. Bei Geschäftskunden, die ein Ersatz-Sicherheitstoken anfordern, empfiehlt er einen Rückruf über eine registrierte Nummer und zusätzlich die Bestätigung durch einen zweiten Administrator.
Nach Mortensens Einschätzung sind Social-Engineering-Angriffe besonders erfolgversprechend, wenn die Freigabe eines Token-Resets vor allem vom Ermessen eines Kundenservicemitarbeiters abhängt und nicht von einer systemgestützten Identitätsprüfung. In den beiden Verfahren wird es daher darauf ankommen, wie das Gericht die Verifizierungsschritte von First Horizon, die Sicherheitskonfigurationen der Kundenkonten und die Kenntnis der Bank über das mutmaßliche Betrugsmuster bewertet.