Comment des hackers Nord-Coréens ont volé un milliard

O Maior Braquage de Banco da História

Introdução ao Caso

• Em uma noite de quinta-feira em 2016, ocorreu o maior roubo bancário da história, com quase um bilhão de dólares visados e 81 milhões de dólares roubados sem uso de armas.

• No retorno dos funcionários no domingo, descobriram que cerca de 35 ordens de transferência foram enviadas em poucas horas, totalizando quase um bilhão de dólares.

A Infiltração Inicial

• Um e-mail aparentemente comum foi a porta de entrada para o ataque; um funcionário clicou e abriu um anexo que continha um software espião.

• O software não era apenas um CV; ele instalou uma presença invisível na infraestrutura da segurança bancária.

Coleta de Informações

• Assim que o software espião começou a funcionar, ele coletou informações sobre acessos e hábitos dos usuários sem levantar suspeitas.

• Durante meses, os atacantes monitoraram discretamente a rotina interna da instituição financeira.

Estrutura do Ataque

• Os hackers criaram circuitos ocultos dentro do sistema para se manterem conectados e operarem à distância sem serem detectados.

• A operação tinha como objetivo desviar centenas de milhões ou até mesmo bilhões, demonstrando uma ambição muito além do simples roubo.

O Sistema SWIFT

• A próxima fase crítica envolveu o sistema SWIFT, utilizado por mais de 11.000 instituições financeiras globalmente para transferências internacionais seguras.

• O SWIFT é uma cooperativa internacional que fornece mensagens seguras entre bancos para garantir transações autênticas e precisas.

Conclusão sobre a Segurança Bancária

• Apesar da reputação do sistema SWIFT como altamente seguro, sua complexidade também representa vulnerabilidades que podem ser exploradas por ataques sofisticados.

O Roubo da Banco Central de Bangladesh: Estratégias e Táticas

A Estrutura do Sistema SWIFT

• O sistema SWIFT é uma plataforma de mensageria financeira que não verifica a legitimidade dos conteúdos das ordens enviadas, permitindo que mensagens fraudulentas sejam transmitidas sem questionamento.

• Os atacantes buscam imitar procedimentos legítimos para desviar grandes quantidades de dinheiro, estudando quem pode autorizar transferências e como as transações são verificadas.

Métodos de Camuflagem dos Ataques

• Os hackers reformulam instruções para parecerem autênticas, utilizando o mesmo vocabulário e formato esperado pelos funcionários da instituição financeira.

• Em vez de realizar um único grande roubo, os atacantes fragmentam o valor em várias transações menores que parecem legítimas, evitando assim disparar alarmes.

Execução do Ataque

• A estratégia envolve realizar múltiplas transações ao longo do tempo, aproveitando janelas de baixa supervisão para acumular grandes somas sem serem detectados.

• Em fevereiro de 2016, os hackers precisavam contornar um protocolo importante: a verificação das transações através de impressões em papel.

Manipulação das Impressões

• O malware instalado intercepta as instruções antes da impressão, fazendo com que as transações fraudulentas desapareçam dos registros físicos.

• Isso permite que os verdadeiros ordens continuem seu caminho nos circuitos bancários globais sem levantar suspeitas.

Preparação e Execução Final

• Antes do ataque principal, contas bancárias foram abertas na Filipinas com pequenas quantias para evitar chamar atenção. Essas contas serviram como destino final para os fundos desviados.

• No dia 4 de fevereiro de 2016, essas contas quase vazias receberam ordens significativas de transferência, marcando o início da execução do plano criminoso.

O Grande Roubo Cibernético: Como Funciona o Esquema

A Orquestração do Roubo

• O roubo é orquestrado através da rede Swift, onde contas bancárias com poucos dólares se transformam em receptáculos de milhões rapidamente.

• A Reserva Federal dos EUA (Fed) recebe 35 mensagens Swift solicitando a transferência de 951 milhões de dólares, principalmente para a RCBC nas Filipinas.

• As ordens parecem autênticas, utilizando códigos e procedimentos válidos do sistema Swift.

O Papel da RCBC e das Transações

• A RCBC não possui conta direta na Fed e utiliza a Deutsche Bank Trust Company como intermediária para transações em dólares.

• Os fundos são enviados à RCBC, que desempenha um papel central no processo de lavagem de dinheiro através de contas fantasmas.

Lavagem de Dinheiro nos Casinos

• Os casinos nas Filipinas operam em uma "zona cinza" legal, permitindo grandes movimentações financeiras sem a mesma rastreabilidade que os bancos convencionais.

• Kim Wong, um operador influente nos casinos, recebe e redistribui parte do dinheiro desviado pela RCBC.

Estruturas Paralelas e Disfarces Legais

• Philrem Service Corporation atua como canal para conversão e transferência dos fundos desviados.

• Uma fundação caritativa fictícia chamada Shalika Foundation é criada para dar legitimidade aos transferências financeiras.

O Erro Crítico que Desencadeou a Investigação

• Um erro simples na ortografia durante uma transação levanta suspeitas sobre as transferências feitas pela fundação caritativa.

• A Deutsche Bank identifica a anomalia lexical no sistema Swift, questionando como uma instituição respeitável poderia enviar milhões para uma fundação mal escrita.

O Grande Roubo do Banco de Bangladesh

Problemas Iniciais com o Sistema

• No domingo, ao chegar ao trabalho, um funcionário percebe que as impressoras conectadas ao sistema Swift apresentavam falhas. Após reiniciar as máquinas, ele consegue relançar as impressões, pois os hackers haviam saído do sistema.

• Ele nota a ausência de impressões para transações em que o dinheiro já havia sido retirado das contas. As quantias envolvidas são astronômicas e levantam suspeitas.

Descoberta da Fraude

• A operação suspeita detectada pela Dutch Bank foi bloqueada devido a um erro de digitação. Isso leva a uma revisão mais ampla das operações emitidas pelo banco do Bangladesh.

• Durante essa revisão, descobrem 35 instruções Swift que totalizam quase um bilhão de dólares. Um montante significativo para um país como o Bangladesh, que ainda é considerado uma economia de baixo rendimento.

Consequências da Falha

• Cinco transferências foram concluídas, totalizando cerca de 101 milhões de dólares. A maioria dos fundos foi enviada às Filipinas através da RCBC.

• O roubo de 81 milhões se torna o maior assalto bancário realizado em um único golpe. Uma simples falha humana impediu que quase um bilhão deixasse os cofres do banco.

Especulações sobre os Autores

• A complexidade da operação levanta questões sobre quem poderia estar por trás dela: uma organização criminosa altamente organizada ou algo mais amplo ligado a um estado?

• Investigações são iniciadas pelo FBI e Interpol, com foco em uma possível ciberataque sofisticado e não em um roubo interno.

Análise Técnica e Identificação dos Hackers

• Especialistas em cibersegurança analisam malwares usados na invasão e encontram semelhanças com ataques anteriores notórios, como o contra a Sony Pictures em 2014.

• Os investigadores concluem que os autores pertencem ao grupo Lazarus, conhecido por suas habilidades técnicas avançadas e operações metódicas.

Impacto Global das Ciberataques

• O ataque à Sony Pictures marcou um ponto crucial nas ciberseguranças globais, mostrando como esses incidentes podem afetar indústrias inteiras e até mesmo relações diplomáticas.

• O ransomware WannaCry também exemplifica como ataques cibernéticos podem paralisar sistemas globalmente, destacando a necessidade urgente de segurança digital robusta.

Ataques Cibernéticos e o Grupo Lazarus

Impacto das Ciberataques

• As principais vítimas dos ataques cibernéticos incluem o NHS britânico, a segurança social do país, Renault, Telefónica, FedEx e Deutsche Bank, com perdas globais estimadas entre 4 e 8 bilhões de dólares.

Identificação do Grupo Atacante

• O grupo responsável pelos ataques é identificado como Lazarus, vinculado ao escritório 121 da unidade de ciber-guerra do governo norte-coreano, ativo desde 2009. Este grupo tem como objetivos espionagem política e militar, roubo de fundos para financiar o regime norte-coreano e sabotagem de infraestruturas adversárias.

Modus Operandi em Ataques Financeiros

• O ataque à banca do Bangladesh não é isolado; em 2017, outras instituições financeiras conectadas ao sistema Swift foram atacadas em países como Equador, Vietnã e México. O modus operandi envolve infiltração no sistema bancário e manipulação de transferências internacionais.

Padrões Repetitivos nas Ciberataques

• A repetição do termo "Jupiter", associado à sucursal RCBC nas Filipinas, aparece em nomes de arquivos utilizados em outras ciberataques pelo grupo Lazarus. Essa conexão sugere um padrão que liga as operações.

Campanha Coordenada Globalmente

• As agências americanas identificam que o grupo Lazarus está conduzindo uma campanha financeira global para desviar fundos de bancos ao redor do mundo. O FBI rastreia endereços IP e metadados relacionados às campanhas.

Encobrimento através da Chosun Expo

• A empresa Chosun Expo John Venture é suspeita de ser uma fachada legal para programadores norte-coreanos trabalharem fora da Coreia do Norte sob controle militar. Os analistas notam que os mesmos emails usados nas ciberataques contra Sony também são utilizados aqui.

Provas Contra Park Jingok

• Park Jingok é identificado como um desenvolvedor ligado ao grupo Lazarus. Provas acumuladas mostram sua participação direta em várias ciberataques significativas entre 2014 e 2017.

Acusações Formais nos EUA

• Em setembro de 2018, o Departamento de Justiça dos EUA apresenta uma acusação formal contra Park por conspiração para realizar ciberataques a mando do governo norte-coreano. A Chosun Expo é reconhecida oficialmente como uma fachada governamental.

Consequências Legais Limitadas

• Apesar das acusações formais contra Park Jingok e sanções impostas pelos EUA, ele permanece na Coreia do Norte sem possibilidade de extradição devido à falta de tratado com os Estados Unidos.

Responsabilidade Compartilhada na Fraude Bancária

• Funcionários da sucursal da RCBC nas Filipinas são acusados por negligência durante as transações fraudulentas. Maya Santos De Guito foi condenada a até 56 anos por complicidade no caso após ter validado contas fraudulentas.

Penalidades Impostas à RCBC

• A Banco Central das Filipinas impôs uma multa recorde à RCBC por falhas graves nas regras anti-lavagem de dinheiro enquanto vários funcionários foram demitidos após o escândalo financeiro envolvendo a sucursal Makati.

A Coréia do Norte e suas Operações Cibernéticas

Sanções Internacionais e Impacto Econômico

• A Coréia do Norte enfrenta severas sanções internacionais desde os anos 2000, especialmente após seus testes nucleares, que restringem exportações e acesso ao sistema financeiro global.

• O regime busca fontes alternativas de financiamento devido à falta de acesso ao dólar, utilizando o ciberespaço para roubar moedas estrangeiras e financiar programas militares.

Ciberataques como Estratégia Militar

• Estima-se que mais de 1,5 bilhões de dólares roubados pelo grupo Lazarus tenham sido usados para financiar programas nucleares e balísticos da Coréia do Norte.

• No ciberespaço, a Coréia do Norte pode causar danos econômicos significativos com uma equipe reduzida de hackers, transformando essa área em uma arma assimétrica contra adversários.

Formação de Hackers na Coréia do Norte

• O regime investe na formação de jovens talentos em matemática e informática, enviando-os para universidades específicas e depois para unidades operacionais no exterior.

• Ser parte dessas unidades é considerado um grande privilégio dentro da sociedade norte-coreana, conferindo status social elevado aos hackers que atuam por patriotismo e lealdade ao regime.