First Horizon Bank กำลังเผชิญคดีฟ้องร้อง 2 คดีที่มีรูปแบบคล้ายกัน คือผู้โทรศัพท์แอบอ้างเป็นลูกค้าองค์กรและอ้างว่าเปลี่ยนมาใช้ iPhone เครื่องใหม่ เพื่อขอให้ฝ่ายบริการลูกค้าออกโทเคนความปลอดภัยสำหรับเข้าถึงบัญชีอีกครั้ง ก่อนมีการสั่งโอนเงินจำนวนมากออกจากบัญชี ทั้งสองคดีเกี่ยวข้องกับเงินรวมกว่า 24 ล้านดอลลาร์ โดยยังมีเงินบางส่วนที่ไม่สามารถเรียกคืนได้ ประเด็นสำคัญอยู่ที่การตรวจสอบตัวตนของลูกค้าทางโทรศัพท์ การตั้งค่าความปลอดภัยของบัญชีองค์กร และการที่ธนาคารอาจเคยพบสัญญาณของการหลอกลวงในลักษณะเดียวกันมาก่อน
บัญชีของสองบริษัทถูกโอนเงิน 6.5 ล้านดอลลาร์ในสองวัน
K&A Rosario Holdings และ MJR Fund ซึ่งเป็นบริษัทในพื้นที่ออร์แลนโด รัฐฟลอริดา ยื่นฟ้อง First Horizon ต่อศาลรัฐบาลกลางในออร์แลนโดเมื่อเดือนพฤษภาคมปีนี้ คำฟ้องระบุว่า เมื่อวันที่ 3 มีนาคม ผู้โทรรายหนึ่งอ้างว่าเป็น Misael Rosario ผู้บริหาร K&A และผู้รับผิดชอบ MJR โดยบอกว่าเขา “เปลี่ยนมาใช้ iPhone 14 เครื่องใหม่” และจำเป็นต้องขอรับโทเคนความปลอดภัยสำหรับเข้าถึงบัญชีของบริษัทอีกครั้ง
ฝ่ายบริการลูกค้าของ First Horizon จึงออกโทเคนใหม่ให้ ตามคู่มือการตั้งค่าบัญชีองค์กรของธนาคาร เมื่อโหลดโทเคนไว้ในแอปพลิเคชันบนโทรศัพท์แล้ว ระบบจะสร้างรหัสใหม่ทุก 60 วินาที และลูกค้าองค์กรต้องใช้รหัสดังกล่าวร่วมกับรหัสผ่านเพื่ออนุมัติการชำระเงิน
ประมาณ 80 นาทีต่อมา บัญชีหนึ่งเริ่มทำรายการโอนเงินระหว่างธนาคาร 6 รายการ รวมมูลค่า 4.85 ล้านดอลลาร์ ภายในวันที่ 5 มีนาคม บัญชีของทั้งสองบริษัทมีเงินถูกโอนออกทั้งหมด 12 รายการ คิดเป็นมูลค่าราว 6.5 ล้านดอลลาร์ คำฟ้องระบุว่า เงินมากกว่า 4.5 ล้านดอลลาร์ยังไม่สามารถเรียกคืนได้
Victor Velarde ทนายความของ K&A และ MJR กล่าวว่า ทั้งสองบริษัทไม่ทราบว่าผู้โทรได้รับข้อมูลเข้าสู่ระบบธนาคารออนไลน์มาได้อย่างไร คำฟ้องยังระบุว่า หมายเลขโทรศัพท์ที่ใช้โทรมาจากรัฐแคลิฟอร์เนีย ขณะที่ผู้บริหารของบริษัททั้งสองอาศัยอยู่ในฟลอริดา และก่อนหน้านี้ได้ลงทะเบียนหมายเลขโทรศัพท์ในรัฐฟลอริดาไว้กับธนาคารเท่านั้น นอกจากนี้ ผู้โทรยังออกเสียงชื่อ Rosario แตกต่างกันถึงสองแบบ
สำนักงานกฎหมายสูญเงินโอน 17.3 ล้านดอลลาร์
ราวห้าสัปดาห์ก่อนเกิดเหตุของ K&A และ MJR สำนักงานกฎหมาย Rabideau Klein ในเมืองปาล์มบีช รัฐฟลอริดา ก็เผชิญเหตุการณ์ในลักษณะเดียวกัน คำฟ้องอีกฉบับระบุว่า ผู้โทรใช้ข้ออ้างเรื่อง “iPhone เครื่องใหม่” เพื่อขอให้ธนาคารออกโทเคนความปลอดภัยใหม่ ภายในเวลาไม่กี่ชั่วโมง มีการโอนเงินออกจากบัญชีเอสโครว์ของสำนักงานกฎหมาย 13 รายการ รวมมูลค่าประมาณ 17.3 ล้านดอลลาร์
บัญชีดังกล่าวเก็บเงินเอสโครว์สำหรับธุรกรรมอสังหาริมทรัพย์ สำนักงานกฎหมายสามารถเรียกคืนเงินได้ประมาณ 10.7 ล้านดอลลาร์ แต่ยังมีเงินอีกราว 6.55 ล้านดอลลาร์ที่ไม่สามารถเรียกคืนได้
เหตุการณ์เริ่มต้นเมื่อวันที่ 27 มกราคม หลังผู้โจมตีใช้ฟิชชิงอีเมลเข้าถึงบัญชี Microsoft 365 ของสำนักงานกฎหมายได้ วันถัดมา ผู้โจมตียังโน้มน้าวให้ผู้ให้บริการโทรศัพท์โอนสายของสำนักงานไปยังหมายเลขที่อยู่ในการควบคุมของตนเอง
ในคืนนั้น ผู้โจมตีใช้ฟังก์ชัน “ลืมรหัสผู้ใช้หรือรหัสผ่าน” บนระบบธนาคารออนไลน์ของ First Horizon เพื่อรีเซ็ตรหัสผ่านของ Guy Rabideau และได้รับรหัสผู้ใช้ของเขาในเวลาต่อมา จากนั้นจึงโทรศัพท์ไปยังธนาคารโดยอ้างตัวเป็น Rabideau และขอให้ธนาคารออกโทเคนใหม่
เมื่อพนักงานธนาคารถามหมายเลขบัญชี ผู้โทรตอบในตอนแรกว่ากำลังค้นหา “หมายเลขบัญชีของพวกเขา” ก่อนจะให้ข้อมูลที่เกี่ยวข้องในภายหลัง เขายังระบุชื่อบริษัทที่ไม่ตรงกับข้อมูลในระบบทั้งหมด ให้เลขสี่หลักท้ายของหมายเลขประกันสังคมของ Rabideau และแจ้งรหัสผู้ใช้ที่เพิ่งแสดงอยู่บนเว็บไซต์ธนาคาร
หลังสายถูกโอนไปยังฝ่ายบริหารจัดการเงินของธนาคาร พนักงานอีกคนขอให้ตรวจสอบรหัสผู้ใช้ ชื่อ-นามสกุล อีเมล และเลขสี่หลักท้ายของบัญชี พร้อมเสนอให้ส่งรหัสยืนยันไปยังหมายเลขโทรศัพท์ที่สำนักงานลงทะเบียนไว้ ผู้โทรขอเปลี่ยนเป็นการรับรหัสผ่านการโทรด้วยเสียง และพนักงานตกลงดำเนินการ จากนั้นสายที่ใช้รับรหัสยืนยันก็ถูกโอนไปยังผู้โจมตี
ธนาคารยังส่งลิงก์เปิดใช้งานโทเคนทางอีเมล ซึ่งผู้โจมตีสามารถดักรับลิงก์ดังกล่าวได้เช่นกัน คำฟ้องระบุว่า บันทึกระบบของธนาคารแสดงการเข้าสู่ระบบจากชิคาโกในช่วงหลายชั่วโมงถัดมา ผู้โจมตียังสร้างรหัสผู้ใช้อีกหนึ่งชุดในชื่อของ Rabideau โดยผูกกับอีเมลและหมายเลขโทรศัพท์ของตนเอง พร้อมตัดสิทธิ์การเข้าถึงธนาคารออนไลน์ของพนักงานสำนักงานอีก 4 คน
ธุรกรรมของทั้งสองคดีมีรายการโอนเงินไปยังบริษัทเดียวกัน คือ Shaoxing Fanshun Import and Export คำฟ้องของ K&A ระบุว่า บัญชีของบริษัทมีการโอนเงินไปยังบริษัทดังกล่าว 4 รายการ รวม 2.29 ล้านดอลลาร์ เอกสารในคดียังไม่ได้ระบุว่าบริษัททั้งสองมีความเกี่ยวข้องกันในด้านอื่นหรือไม่
First Horizon ยืนยันว่าระบบควบคุมทำงานตามปกติ
First Horizon ซึ่งมีสำนักงานใหญ่ในเมืองเมมฟิส รัฐเทนเนสซี ปฏิเสธข้อกล่าวหาว่าไม่สามารถป้องกันความเสี่ยงในคดี Rabideau Klein ได้อย่างเหมาะสม และกำลังต่อสู้กับคดีฟ้องร้องทั้งสองคดี โฆษกของธนาคารระบุว่า “ระบบ การควบคุม และมาตรการป้องกัน” ที่เกี่ยวข้องทำงานตามที่ออกแบบไว้ ส่วนในคดี K&A และ MJR ธนาคารกล่าวว่าจะต่อสู้คดีอย่างเต็มที่
สำหรับคดี Rabideau Klein ธนาคารระบุว่าความเสียหายมีต้นเหตุมาจากปัญหาด้านความปลอดภัยของสำนักงานกฎหมาย โดยฟิชชิงอีเมลเป็นจุดเริ่มต้นของเหตุการณ์ และสำนักงานยังปฏิเสธคำแนะนำก่อนหน้านี้ของธนาคารเกี่ยวกับการใช้ระบบอนุมัติการโอนเงินแบบสองบุคคล
ระบบดังกล่าวกำหนดให้ผู้ใช้อีกคนต้องยืนยันธุรกรรมทุกครั้งก่อนที่การโอนเงินจะเสร็จสมบูรณ์ เอกสารของสำนักงานกฎหมายแสดงว่า สำนักงานเคยลงนามในแบบฟอร์มเพื่อปฏิเสธการเปิดใช้ฟังก์ชันนี้
Velarde กล่าวว่า K&A และ MJR ไม่ได้จงใจสละขั้นตอนรักษาความปลอดภัยใด ๆ แต่เขาไม่ได้ระบุว่าทั้งสองบริษัทใช้ระบบอนุมัติแบบสองบุคคลหรือไม่ ขณะเดียวกัน First Horizon ยังไม่ได้เปิดเผยรายละเอียดว่าธนาคารตรวจสอบสายที่ขอออกโทเคนความปลอดภัยใหม่อย่างไร และไม่ได้ระบุว่ามีการปรับขั้นตอนหลังเกิดเหตุในเดือนมกราคมหรือไม่
คดีตั้งคำถามว่าธนาคารเคยเห็นสัญญาณหลอกลวงมาก่อนหรือไม่
K&A และ MJR ระบุในคำฟ้องว่า First Horizon อาจรับรู้รูปแบบการหลอกลวงลักษณะนี้ก่อนเกิดเหตุในเดือนมีนาคม โดยอ้างว่า หลัง Rabideau Klein แจ้งเหตุฉ้อโกงเมื่อวันที่ 29 มกราคม ธนาคาร “รับรู้โดยตรง” แล้วว่ามีผู้ใช้ข้ออ้างเรื่องการเปลี่ยน iPhone เพื่อเข้าถึงบัญชีลูกค้า และธุรกรรมที่ส่งเงินไปยัง Shaoxing Fanshun อาจเกี่ยวข้องกับการฉ้อโกง
ฝ่าย K&A เห็นว่า ข้อเท็จจริงดังกล่าวอาจมีผลต่อการพิจารณาว่าขั้นตอนรักษาความปลอดภัยของธนาคารเป็นไปตามมาตรฐาน “สมเหตุสมผลในทางการค้า” ภายใต้มาตรา 4A ของประมวลกฎหมายพาณิชย์แบบเดียวกันของสหรัฐฯ หรือไม่ มาตราดังกล่าวมักใช้กับการจัดสรรความรับผิดในธุรกรรมโอนเงิน โดยทั่วไป หากเกิดการโอนเงินโดยไม่ได้รับอนุญาต ธนาคารอาจต้องรับผิดชอบต่อความเสียหาย อย่างไรก็ตาม การจัดสรรความรับผิดอาจแตกต่างออกไป หากธนาคารดำเนินการโดยสุจริตและปฏิบัติตามขั้นตอนความปลอดภัยที่ลูกค้ายอมรับและถือว่าสมเหตุสมผลในทางการค้า
First Horizon ยื่นคำร้องขอให้ศาลตัดข้อกล่าวหาบางส่วนออกจากคำฟ้องของ K&A โดยระบุว่า ทนายความของโจทก์นำเนื้อหาจากคดีอื่นที่ไม่เกี่ยวข้องมาใช้ และเห็นว่าเนื้อหาดังกล่าวไม่เกี่ยวข้องกับคดีนี้และไม่เหมาะสม ฝ่าย K&A อ้างคำพิพากษาของศาลในปี 2012 เพื่อโต้แย้งว่า หากธนาคารไม่ดำเนินการตามสัญญาณเตือนการฉ้อโกงที่ธนาคารมีอยู่ การประเมินความสมเหตุสมผลของขั้นตอนรักษาความปลอดภัยก็อาจได้รับผลกระทบ
แนวทางกำกับดูแลเน้นเบอร์ที่ลงทะเบียนและการตรวจสอบผ่านระบบ
คณะกรรมการตรวจสอบสถาบันการเงินของรัฐบาลกลางสหรัฐฯ เผยแพร่แนวทางในปี 2021 เพื่อเตือนธนาคารถึงความเสี่ยงที่ฝ่ายบริการลูกค้าและฝ่ายช่วยเหลือด้านไอทีอาจถูกโจมตีด้วยวิธีวิศวกรรมสังคม แนวทางดังกล่าวเสนอให้ใช้มาตรการต่าง ๆ เช่น ส่งรหัสใช้ครั้งเดียวไปยังอุปกรณ์สื่อสารที่ลงทะเบียนไว้ล่วงหน้า โทรกลับไปยังหมายเลขโทรศัพท์ที่ลูกค้าลงทะเบียนไว้ ทำเครื่องหมายหมายเลขโทรศัพท์ที่ไม่สามารถระบุได้ และกำหนดขั้นตอนเฉพาะเมื่อมีการเปลี่ยนหมายเลขโทรศัพท์หรือผู้ให้บริการ
ในคดี Rabideau Klein ธนาคารได้ส่งรหัสยืนยันไปยังหมายเลขที่สำนักงานลงทะเบียนไว้จริง แต่ผู้โจมตีได้โน้มน้าวให้ผู้ให้บริการโทรศัพท์โอนสายของหมายเลขดังกล่าวไปยังตนเองก่อนแล้ว เหตุการณ์นี้แสดงให้เห็นว่า การส่งรหัสไปยังหมายเลขที่ลงทะเบียนเพียงอย่างเดียวอาจไม่เพียงพอที่จะยืนยันว่าผู้รับรหัสยังเป็นลูกค้าตัวจริง
Jim Mortensen ที่ปรึกษาด้านกลยุทธ์ธุรกิจฉ้อโกงและการต่อต้านการฟอกเงินของ Datos Insights กล่าวว่า การพึ่งพาคำถามที่ใช้ข้อมูลซึ่งผู้โจมตีอาจรู้ได้ เช่น การสะกดชื่อหรือเลขสี่หลักท้ายของหมายเลขประกันสังคม ไม่เพียงพอสำหรับแนวปฏิบัติที่เหมาะสมในปัจจุบันอีกต่อไป สำหรับลูกค้าองค์กรที่ขอออกโทเคนความปลอดภัยใหม่ เขาเสนอให้ธนาคารโทรกลับไปยังหมายเลขที่ลงทะเบียนไว้ และให้ผู้ดูแลระบบคนที่สองของลูกค้ายืนยันคำขอ
Mortensen ระบุว่า เมื่อการอนุมัติการรีเซ็ตระบบพึ่งพาดุลยพินิจของพนักงานบริการลูกค้าเป็นหลัก แทนที่จะใช้การตรวจสอบตัวตนผ่านระบบโดยตรง การโจมตีด้วยวิศวกรรมสังคมก็มีโอกาสประสบความสำเร็จมากขึ้น ท้ายที่สุด ประเด็นในทั้งสองคดีจะขึ้นอยู่กับการพิจารณาของศาลว่า มาตรการตรวจสอบของ First Horizon ในขณะนั้น การตั้งค่าความปลอดภัยของลูกค้า และการรับรู้ของธนาคารต่อสัญญาณการหลอกลวงที่เกิดซ้ำ มีน้ำหนักต่อความรับผิดอย่างไร