Два иска к First Horizon Bank утверждают, что злоумышленники, представившись корпоративными клиентами и сославшись на переход на новый iPhone, убедили сотрудников банка перевыпустить защитные токены. После этого с бизнес-счетов были отправлены банковские переводы на сумму свыше $24 млн, часть средств вернуть не удалось. Дела ставят под вопрос порядок проверки звонков, защиту корпоративных счетов и то, распознал ли банк схожую схему после первого инцидента.
Две компании потеряли около $6,5 млн за два дня
Компании K&A Rosario Holdings и MJR Fund из района Орландо в мае подали иск к First Horizon в федеральный суд Орландо. Согласно заявлению, 3 марта звонивший представился Мисаэлем Росарио, который управлял K&A и отвечал за MJR. Он сообщил, что «перешел на iPhone 14», и попросил выдать новый защитный токен для доступа к счетам компаний.
Сотрудник службы поддержки First Horizon перевыпустил токен. В руководстве банка по работе с корпоративными счетами говорится, что токен, загруженный в мобильное приложение, генерирует новый код каждые 60 секунд. Для инициирования платежа корпоративному клиенту требуются этот код и пароль.
Примерно через 80 минут с одного из счетов были отправлены шесть переводов на общую сумму $4,85 млн. К 5 марта со счетов двух компаний ушло 12 переводов примерно на $6,5 млн. В иске говорится, что более $4,5 млн до сих пор не возвращено.
Адвокат компаний Виктор Веларде заявил, что его клиенты не знают, каким образом звонивший получил учетные данные для онлайн-банкинга. В иске указано, что звонок поступил из Калифорнии, хотя руководители компаний живут во Флориде и передавали банку только номера телефонов, зарегистрированные во Флориде. Кроме того, звонивший дважды произнес фамилию Росарио по-разному.
Со счета юридической фирмы ушло $17,3 млн
Примерно за пять недель до этого похожий инцидент произошел в юридической фирме Rabideau Klein из Палм-Бич, штат Флорида. В отдельном иске говорится, что звонивший использовал ту же историю о «новом iPhone», чтобы запросить замену защитного токена. В течение нескольких часов со счета условного депонирования фирмы были отправлены 13 переводов примерно на $17,3 млн.
На счете хранились средства, предназначенные для сделок с недвижимостью. Фирме удалось вернуть около $10,7 млн, однако примерно $6,55 млн, согласно иску, остаются невозмещенными.
Инцидент начался 27 января: фишинговое письмо предоставило злоумышленнику доступ к одной из учетных записей Microsoft 365 фирмы. На следующий день он убедил оператора связи перенаправить звонки фирмы на номер, находившийся под его контролем. В тот же вечер злоумышленник воспользовался функцией First Horizon «Забыли имя пользователя или пароль» в онлайн-банкинге, сбросил пароль Гая Рабидо и получил его имя пользователя.
Затем злоумышленник позвонил в банк, представился Рабидо и попросил новый токен. На вопрос о номере счета он сначала сказал, что ищет номер «их» счета, а затем предоставил нужные сведения. Он также назвал название бизнеса, которое не полностью совпадало с данными банка, последние четыре цифры номера социального страхования Рабидо и имя пользователя, только что показанное сайтом банка.
После перевода звонка в подразделение банка по управлению казначейскими операциями другой сотрудник запросил имя пользователя, полное имя, адрес электронной почты и последние четыре цифры номера счета. Представитель предложил отправить код подтверждения на зарегистрированный номер юридической фирмы. Звонивший попросил сообщить код голосовым звонком, и сотрудник согласился. Такой звонок был перенаправлен злоумышленнику. Затем банк отправил по электронной почте ссылку для активации токена, которую злоумышленник также перехватил.
Согласно иску, в течение следующих часов журналы банка зафиксировали входы в систему из Чикаго. Злоумышленник также создал второе имя пользователя на имя Рабидо, привязал его к собственным адресу электронной почты и номеру телефона и заблокировал онлайн-доступ для четырех других сотрудников фирмы.
В обоих делах переводы включали платежи в адрес одной и той же компании — Shaoxing Fanshun Import and Export. В иске K&A говорится, что четыре перевода на общую сумму $2,29 млн были отправлены этой компании. Судебные документы не объясняют, существовала ли между двумя пострадавшими компаниями какая-либо иная связь.
First Horizon считает, что его процедуры сработали штатно
First Horizon, штаб-квартира которого находится в Мемфисе, штат Теннесси, отрицает ненадлежащее управление рисками по делу Rabideau Klein и защищается по обоим искам. Представитель банка заявил, что его «системы, средства контроля и меры защиты сработали в соответствии с назначением». Банк также сообщил, что будет активно оспаривать требования K&A и MJR.
По делу Rabideau Klein First Horizon связывает потери с проблемами безопасности в самой юридической фирме. Банк утверждает, что именно фишинговое письмо стало началом инцидента, а фирма отказалась от рекомендованного средства контроля переводов. Оно предусматривает одобрение каждого банковского перевода вторым пользователем до его отправки. Документы, поданные фирмой, показывают, что она подписала форму об отказе от этой функции.
Веларде заявил, что K&A и MJR не отказывались от каких-либо процедур безопасности в активной форме, однако не уточнил, использовали ли компании двухуровневое одобрение. First Horizon публично не раскрыл, каким образом проверяет звонящих, запрашивающих замену защитных токенов, и менял ли процедуры после январского инцидента.
Иск ставит вопрос о том, что банк знал о схеме
K&A и MJR утверждают, что First Horizon мог знать о похожем способе мошенничества еще до мартовских переводов. В их иске говорится, что после сообщения Rabideau Klein о мошенничестве 29 января банк «фактически знал», что кто-то получил доступ к счетам клиентов, заявляя о переходе на новые iPhone. Банк также, как утверждается, знал о подозрениях в мошенническом характере переводов в адрес Shaoxing Fanshun.
K&A считает, что эти обстоятельства могут повлиять на оценку того, были ли процедуры безопасности банка «коммерчески обоснованными» в соответствии со статьей 4A Единого торгового кодекса США. Эта норма в целом регулирует распределение ответственности за банковские переводы: банк может нести убытки по несанкционированной операции, однако результат может быть иным, если он действовал добросовестно и применял согласованные с клиентом коммерчески обоснованные процедуры безопасности.
First Horizon попросил суд исключить эти утверждения из иска K&A. Банк заявил, что адвокаты истцов заимствовали их из других, не связанных с делом исков и что они неуместны. K&A ссылается на судебное решение 2012 года, согласно которому бездействие банка при наличии предупреждений о мошенничестве может иметь значение для оценки обоснованности его процедур безопасности.
Регуляторные рекомендации требуют проверять зарегистрированные номера
Рекомендации Совета по проверке финансовых учреждений США (FFIEC), выпущенные в 2021 году, предупреждали банки об атаках социальной инженерии, направленных на службы поддержки клиентов и ИТ-помощи. Среди предлагаемых мер были отправка одноразовых кодов на заранее зарегистрированные устройства, обратные звонки клиентам по номерам из банковских записей, отметка незнакомых идентификаторов звонящих и отдельные процедуры для смены телефонных номеров или операторов связи.
В деле Rabideau Klein банк действительно отправил код на зарегистрированный номер фирмы. Однако к тому моменту злоумышленник уже убедил оператора связи перенаправлять звонки с этого номера. Этот эпизод показывает, что отправка кода на зарегистрированный номер сама по себе не подтверждает, что его получает именно клиент.
Джим Мортенсен, стратегический консультант по вопросам противодействия мошенничеству и отмыванию денег в Datos Insights, заявил, что проверки на основе знаний — например, просьба назвать написание имени или последние четыре цифры номера социального страхования — больше не соответствуют передовым практикам. Для корпоративных клиентов, запрашивающих замену защитного токена, он рекомендует звонить на зарегистрированный номер и требовать подтверждения от второго администратора.
По словам Мортенсена, социальная инженерия с большей вероятностью срабатывает, когда решение о сбросе защиты в основном зависит от оценки сотрудника службы поддержки, а не от системной проверки личности. В этих исках суду предстоит оценить действия First Horizon по проверке клиентов, настройки безопасности счетов и то, что банк знал о предполагаемой схеме мошенничества.