Duas ações judiciais contra o First Horizon Bank alegam que pessoas que se fizeram passar por clientes empresariais usaram a história de um novo iPhone para convencer funcionários do banco a reemitir tokens de segurança. Em seguida, foram realizadas transferências bancárias superiores a US$ 24 milhões, parte das quais ainda não foi recuperada. Os processos questionam como o banco verificou a identidade dos interlocutores, como as contas empresariais estavam protegidas e se a instituição reconheceu um padrão de fraude semelhante após um incidente anterior.
Duas empresas perderam cerca de US$ 6,5 milhões em dois dias
A K&A Rosario Holdings e a MJR Fund, empresas da região de Orlando, processaram o First Horizon num tribunal federal de Orlando em maio. Na petição, as empresas afirmam que, em 3 de março, um interlocutor se apresentou como Misael Rosario, responsável pela gestão da K&A e pela MJR. O homem disse que tinha “mudado para um iPhone 14” e precisava de um novo token de segurança para aceder às contas das empresas.
Um representante do serviço de apoio ao cliente do First Horizon reemitiu o token. O guia de contas empresariais do banco explica que um token carregado numa aplicação móvel gera um novo código a cada 60 segundos. Para iniciar pagamentos, os clientes empresariais precisam desse código e de uma palavra-passe.
Cerca de 80 minutos depois, uma das contas enviou seis transferências bancárias num total de US$ 4,85 milhões. Até 5 de março, as contas das duas empresas tinham enviado 12 transferências, no valor aproximado de US$ 6,5 milhões. Mais de US$ 4,5 milhões continuam por recuperar, segundo a petição.
O advogado das empresas, Victor Velarde, afirmou que os clientes não sabem como o interlocutor obteve as credenciais de acesso ao banco online. A petição diz que a chamada foi feita a partir da Califórnia, embora os gestores das empresas vivam na Florida e só tenham fornecido ao banco números de telefone da Florida. O documento também afirma que o interlocutor pronunciou o apelido Rosario de duas formas diferentes.
Escritório de advogados registou transferências de US$ 17,3 milhões
Cerca de cinco semanas antes, o escritório de advogados Rabideau Klein, de Palm Beach, na Florida, enfrentou um incidente semelhante. Numa ação separada, o escritório afirma que um interlocutor usou a mesma explicação sobre um “novo iPhone” para pedir a substituição de um token de segurança. Em poucas horas, 13 transferências, num total de aproximadamente US$ 17,3 milhões, saíram da conta de escrow do escritório.
A conta continha fundos destinados a operações imobiliárias. O escritório recuperou cerca de US$ 10,7 milhões, deixando aproximadamente US$ 6,55 milhões por recuperar, segundo a petição.
O incidente começou em 27 de janeiro, quando uma mensagem de phishing deu ao atacante acesso a uma das contas de correio eletrónico Microsoft 365 do escritório. No dia seguinte, o atacante convenceu a operadora telefónica do escritório a reencaminhar as chamadas para um número que controlava. Nessa noite, utilizou a função “Esqueci-me do nome de utilizador ou da palavra-passe” do serviço de banca online do First Horizon para redefinir a palavra-passe de Guy Rabideau e obter o respetivo nome de utilizador.
Depois, o atacante telefonou ao banco, fazendo-se passar por Rabideau, e pediu um novo token. Quando lhe pediram o número da conta, respondeu inicialmente que estava à procura do número da conta “deles” e, em seguida, forneceu a informação relevante. Também indicou uma designação empresarial que não correspondia exatamente aos registos do banco, os últimos quatro algarismos do número da Segurança Social de Rabideau e o nome de utilizador que o site do banco acabara de apresentar.
A chamada foi transferida para o departamento de gestão de tesouraria do banco. Outro representante pediu o nome de utilizador, o nome completo, o endereço de correio eletrónico e os últimos quatro algarismos do número da conta. O funcionário propôs enviar um código de verificação para o número de telefone registado pelo escritório. O interlocutor pediu que o código fosse transmitido por chamada de voz, e o representante aceitou. Como as chamadas desse número já estavam reencaminhadas, o atacante recebeu o código. O banco enviou depois por correio eletrónico uma ligação para ativar o token, que também foi intercetada.
Os registos do banco indicaram acessos a partir de Chicago nas horas seguintes, segundo a petição. O atacante criou ainda um segundo nome de utilizador em nome de Rabideau, associou-o ao seu próprio endereço de correio eletrónico e número de telefone e bloqueou o acesso à banca online de outros quatro funcionários do escritório.
As transferências dos dois casos incluíram pagamentos para a mesma empresa, Shaoxing Fanshun Import and Export. A petição da K&A afirma que quatro transferências, num total de US$ 2,29 milhões, foram enviadas da sua conta para essa empresa. Os documentos judiciais não explicam se existia outra ligação entre as duas empresas.
First Horizon afirma que os controlos funcionaram como previsto
Com sede em Memphis, no Tennessee, o First Horizon nega ter falhado na gestão do risco no caso Rabideau Klein e está a defender-se nas duas ações. Um porta-voz do banco afirmou que os seus “sistemas, controlos e salvaguardas funcionaram como previsto”. A instituição disse que irá contestar com firmeza as alegações da K&A e da MJR.
No processo Rabideau Klein, o First Horizon atribuiu a perda a problemas de segurança no escritório de advogados. O banco afirma que a mensagem de phishing deu início ao incidente e que o escritório tinha recusado um mecanismo de controlo de transferências recomendado pela instituição. Esse mecanismo exige que um segundo utilizador aprove cada transferência antes do envio. Documentos apresentados pelo escritório mostram que foi assinado um formulário a rejeitar a funcionalidade.
Velarde afirmou que a K&A e a MJR não renunciaram ativamente a procedimentos de segurança, mas não esclareceu se as empresas utilizavam aprovação por dois responsáveis. O First Horizon não detalhou publicamente como verifica a identidade de pessoas que pedem a substituição de tokens de segurança nem se alterou os seus procedimentos depois do incidente de janeiro.
Ação questiona o que o banco sabia sobre o padrão de fraude
A K&A e a MJR argumentam que o First Horizon poderá ter tomado conhecimento de um método semelhante antes das transferências de março. A petição afirma que, depois de o Rabideau Klein ter comunicado a fraude em 29 de janeiro, o banco tinha “conhecimento efetivo” de que alguém tinha acedido a contas de clientes alegando ter mudado de iPhone. O banco também teria conhecimento de que transferências para a Shaoxing Fanshun eram suspeitas de fraude.
A K&A sustenta que esses factos podem influenciar a avaliação sobre se os procedimentos de segurança do banco eram “comercialmente razoáveis” ao abrigo do artigo 4A do Uniform Commercial Code, o código comercial uniforme dos Estados Unidos. A norma estabelece, em termos gerais, como é distribuída a responsabilidade por transferências bancárias: o banco pode suportar a perda resultante de uma transferência não autorizada, mas o resultado pode ser diferente se tiver atuado de boa-fé e seguido procedimentos de segurança comercialmente razoáveis acordados com o cliente.
O First Horizon pediu ao tribunal que elimine essas alegações da petição da K&A. O banco argumenta que os advogados dos autores as retiraram de processos sem relação com o caso e que são irrelevantes e inadequadas. A K&A cita uma decisão judicial de 2012 para sustentar que a falta de resposta de um banco a alertas de fraude que estavam na sua posse pode influenciar a avaliação sobre a razoabilidade dos seus procedimentos de segurança.
Orientações federais destacam números registados e verificação
Orientações emitidas em 2021 pelo Federal Financial Institutions Examination Council alertaram os bancos para ataques de engenharia social dirigidos aos serviços de apoio ao cliente e às linhas de assistência informática. Entre os controlos sugeridos estavam o envio de códigos de utilização única para dispositivos previamente registados, o contacto com os clientes através de números já arquivados, a sinalização de identificadores de chamada não reconhecidos e a adoção de procedimentos específicos para alterações de números de telefone ou de operadoras.
No caso Rabideau Klein, o banco enviou efetivamente um código para o número registado pelo escritório. No entanto, o atacante já tinha convencido a operadora telefónica a reencaminhar as chamadas desse número. O caso mostra que enviar um código para um número registado não prova, por si só, que o destinatário seja o cliente.
Jim Mortensen, consultor estratégico especializado em fraude e branqueamento de capitais na Datos Insights, afirmou que verificações baseadas em informação pessoal, como soletrar um nome ou fornecer os últimos quatro algarismos de um número da Segurança Social, já não são suficientes para cumprir as melhores práticas. Para clientes empresariais que peçam a substituição de tokens de segurança, recomenda uma chamada para um número registado e a confirmação por um segundo administrador.
Mortensen acrescentou que a engenharia social tem maior probabilidade de resultar quando a aprovação de uma reposição depende sobretudo da avaliação de um funcionário do serviço de apoio, em vez de uma verificação de identidade baseada em sistemas. A decisão nos processos dependerá da avaliação judicial sobre as etapas de verificação adotadas pelo First Horizon, as configurações de segurança das contas dos clientes e o que o banco sabia sobre o alegado padrão de fraude.