First Horizon Bank berdepan dua saman berhubung dakwaan bahawa individu yang menyamar sebagai pelanggan korporat meminta token keselamatan baharu dengan alasan bertukar kepada iPhone baharu, sebelum mengarahkan pindahan kawat bernilai besar. Jumlah pindahan dalam kedua-dua kes melebihi AS$24 juta, dan sebahagian wang masih belum diperoleh semula. Kes-kes itu turut membangkitkan persoalan tentang pengesahan identiti oleh khidmat pelanggan bank, tetapan keselamatan akaun perniagaan serta tindakan bank terhadap corak penipuan yang serupa.
Dua syarikat kehilangan kira-kira AS$6.5 juta dalam dua hari
K&A Rosario Holdings dan MJR Fund, dua syarikat dari kawasan Orlando, Florida, menyaman First Horizon di mahkamah persekutuan Orlando pada Mei tahun ini. Menurut saman itu, pada 3 Mac seorang pemanggil mengaku sebagai Misael Rosario, yang menguruskan K&A dan bertanggungjawab terhadap MJR. Dia berkata telah “bertukar kepada iPhone 14” dan memerlukan token keselamatan baharu untuk mengakses akaun perniagaan.
Kakitangan khidmat pelanggan First Horizon kemudian mengeluarkan token baharu. Panduan tetapan akaun perniagaan bank menyatakan bahawa selepas token dimuatkan ke dalam aplikasi telefon, kod baharu dijana setiap 60 saat. Pelanggan korporat perlu memasukkan kod itu bersama kata laluan untuk membuat pembayaran.
Kira-kira 80 minit kemudian, enam pindahan kawat berjumlah AS$4.85 juta dibuat daripada salah satu akaun. Menjelang 5 Mac, sebanyak 12 pindahan berjumlah kira-kira AS$6.5 juta telah keluar daripada akaun kedua-dua syarikat. Saman itu menyatakan lebih AS$4.5 juta masih belum diperoleh semula.
Peguam yang mewakili K&A dan MJR, Victor Velarde, berkata kedua-dua syarikat tidak mengetahui bagaimana pemanggil itu mendapatkan butiran log masuk perbankan dalam talian. Saman itu juga mendakwa panggilan berkenaan datang dari California, sedangkan pengurus kedua-dua syarikat menetap di Florida dan sebelum ini hanya mendaftarkan nombor telefon Florida dengan bank. Pemanggil itu turut menyebut nama Rosario dengan dua sebutan yang berbeza.
Firma guaman kehilangan AS$17.3 juta dalam kes berasingan
Kira-kira lima minggu sebelum itu, firma guaman Rabideau Klein di Palm Beach, Florida, mengalami kejadian serupa. Saman berasingan mendakwa seorang pemanggil menggunakan alasan “iPhone baharu” yang sama untuk meminta token keselamatan baharu. Dalam beberapa jam, 13 pindahan kawat berjumlah kira-kira AS$17.3 juta dibuat daripada akaun amanah firma itu.
Menurut saman, akaun tersebut menyimpan wang amanah bagi urus niaga hartanah. Firma guaman itu berjaya mendapatkan semula kira-kira AS$10.7 juta, manakala kira-kira AS$6.55 juta masih belum diperoleh.
Kejadian bermula pada 27 Januari apabila e-mel pancingan data memberi penyerang akses kepada satu akaun e-mel Microsoft 365 milik firma itu. Keesokan harinya, penyerang memujuk penyedia perkhidmatan telefon supaya mengalihkan panggilan firma ke nombor yang dikawalnya. Pada malam itu, dia menggunakan fungsi “lupa ID pengguna atau kata laluan” di perbankan dalam talian First Horizon untuk menetapkan semula kata laluan Guy Rabideau dan mendapatkan ID penggunanya.
Penyerang kemudian menghubungi bank, menyamar sebagai Rabideau dan meminta token baharu. Apabila ditanya nombor akaun, pemanggil itu pada mulanya berkata dia sedang mencari nombor akaun “mereka”, sebelum memberikan maklumat berkenaan. Dia turut memberikan nama perniagaan yang tidak sepadan sepenuhnya dengan rekod bank, empat digit terakhir nombor Keselamatan Sosial Rabideau dan ID pengguna yang baru dipaparkan di laman web bank.
Selepas panggilan dipindahkan kepada bahagian pengurusan dana bank, seorang lagi kakitangan meminta pengesahan ID pengguna, nama penuh, alamat e-mel dan empat digit terakhir nombor akaun. Kakitangan itu juga menawarkan untuk menghantar kod pengesahan ke nombor telefon yang didaftarkan oleh firma guaman. Pemanggil meminta kod dihantar melalui panggilan suara dan kakitangan bersetuju; panggilan yang membawa kod itu kemudian dialihkan kepada penyerang. Bank turut menghantar pautan pengaktifan token melalui e-mel, yang menurut saman turut dipintas oleh penyerang.
Saman itu menyatakan log bank merekodkan beberapa percubaan log masuk dari Chicago dalam beberapa jam berikutnya. Penyerang juga membuat ID pengguna kedua atas nama Rabideau, memautkannya kepada alamat e-mel dan nombor telefonnya sendiri, serta menyekat akses perbankan dalam talian bagi empat lagi pekerja firma itu.
Kedua-dua kes melibatkan pindahan kepada syarikat yang sama, Shaoxing Fanshun Import and Export. Saman K&A menyatakan empat pindahan berjumlah AS$2.29 juta daripada akaunnya dihantar kepada syarikat itu. Dokumen saman tidak menjelaskan sama ada terdapat hubungan lain antara kedua-dua perniagaan berkenaan.
First Horizon berkata kawalan keselamatannya berfungsi seperti biasa
First Horizon, yang beribu pejabat di Memphis, Tennessee, menafikan bahawa ia gagal menguruskan risiko dalam kes Rabideau Klein dan kini berdepan kedua-dua saman itu. Jurucakap bank berkata “sistem, kawalan dan perlindungan” berkaitan berfungsi seperti yang dirancang. Bagi kes K&A dan MJR, bank menyatakan akan mempertahankan diri dengan bersungguh-sungguh.
Dalam kes Rabideau Klein, First Horizon mengaitkan kerugian dengan kelemahan keselamatan di pihak firma guaman. Bank berkata e-mel pancingan data mencetuskan kejadian itu dan firma tersebut menolak kawalan kelulusan pindahan kawat oleh dua pengguna yang pernah disarankan oleh bank. Kawalan itu memerlukan pengguna kedua mengesahkan setiap pindahan sebelum wang dihantar. Dokumen yang dikemukakan firma itu menunjukkan ia pernah menandatangani borang untuk menolak fungsi tersebut.
Velarde berkata K&A dan MJR tidak pernah secara sukarela mengetepikan sebarang prosedur keselamatan, tetapi tidak menjelaskan sama ada kedua-duanya menggunakan kelulusan dua pengguna. First Horizon belum mendedahkan cara ia mengesahkan identiti pemanggil yang meminta token keselamatan baharu, atau sama ada proses itu diubah selepas kejadian pada Januari.
Persoalan tentang pengetahuan bank terhadap corak penipuan
Dalam saman mereka, K&A dan MJR mendakwa First Horizon mungkin sudah mengetahui taktik serupa sebelum kejadian pada Mac. Menurut saman itu, selepas Rabideau Klein melaporkan penipuan pada 29 Januari, bank telah “mengetahui secara nyata” bahawa seseorang menggunakan alasan bertukar iPhone untuk mengakses akaun pelanggan dan bahawa pindahan kepada Shaoxing Fanshun disyaki penipuan.
K&A berhujah bahawa maklumat tersebut mungkin relevan untuk menentukan sama ada prosedur keselamatan bank memenuhi piawaian “kewajaran komersial” di bawah Perkara 4A Kod Komersial Seragam (UCC). Peruntukan itu lazimnya terpakai dalam menentukan tanggungjawab bagi pindahan kawat: bank biasanya boleh menanggung kerugian jika pindahan dibuat tanpa kebenaran. Namun, pembahagian tanggungjawab mungkin berbeza jika bank bertindak dengan niat baik dan mengikut prosedur keselamatan yang dipersetujui pelanggan serta munasabah dari segi komersial.
First Horizon telah memohon supaya dakwaan berkaitan dalam saman K&A digugurkan. Bank berkata peguam plaintif mengambil dakwaan tersebut daripada tindakan undang-undang lain yang tidak berkaitan, lalu menyifatkannya tidak relevan dan tidak wajar. K&A pula merujuk keputusan mahkamah pada 2012 untuk berhujah bahawa kegagalan bank bertindak terhadap amaran penipuan yang diketahuinya sendiri boleh mempengaruhi penilaian terhadap kewajaran prosedur keselamatannya.
Panduan pengawal selia tekankan nombor berdaftar dan pengesahan sistem
Panduan yang dikeluarkan pada 2021 oleh Federal Financial Institutions Examination Council (FFIEC) mengingatkan bank tentang risiko serangan kejuruteraan sosial terhadap khidmat pelanggan dan meja bantuan IT. Antara kawalan yang disarankan ialah menghantar kod sekali guna ke peranti komunikasi yang telah didaftarkan, menghubungi semula pelanggan melalui nombor telefon berdaftar, menandakan nombor pemanggil yang tidak dikenali serta menetapkan proses khusus bagi perubahan nombor telefon atau penyedia perkhidmatan.
Dalam kes Rabideau Klein, bank memang menghantar kod pengesahan ke nombor yang didaftarkan oleh firma itu. Namun, penyerang telah terlebih dahulu memujuk penyedia perkhidmatan telefon untuk mengalihkan panggilan daripada nombor tersebut kepadanya. Kejadian itu menunjukkan bahawa penghantaran kod ke nombor berdaftar sahaja tidak semestinya mengesahkan bahawa pelanggan masih pihak yang menerimanya.
Jim Mortensen, penasihat strategi bagi bidang penipuan dan pencegahan pengubahan wang haram di Datos Insights, berkata soalan berasaskan maklumat seperti ejaan nama dan empat digit terakhir nombor Keselamatan Sosial tidak lagi memadai sebagai amalan terbaik. Bagi pelanggan perniagaan yang memohon token keselamatan baharu, beliau menyarankan bank menghubungi semula nombor berdaftar dan meminta pengesahan daripada pentadbir kedua pelanggan.
Mortensen berkata serangan kejuruteraan sosial lebih mudah berjaya apabila kelulusan penetapan semula banyak bergantung pada pertimbangan kakitangan khidmat pelanggan, bukannya pengesahan identiti oleh sistem. Pertikaian dalam kedua-dua saman itu kini bergantung pada penilaian mahkamah terhadap langkah pengesahan First Horizon ketika kejadian, tetapan keselamatan pelanggan dan sejauh mana bank mengetahui petunjuk penipuan yang berulang.