Siber Attackers Akaun Perniagaan Kosong dalam Menit

Para penjahat mereka tahu apa yang mereka lakukan apabila mereka melanda Daerah Sekolah Beaver County Barat.

Mereka menunggu sehingga pentadbir sekolah tidak bercuti, dan kemudian selama tempoh empat hari antara 29 Disember dan 2 Jan, menyerap US $ 704,610.35 dari dua akaun bank daerah sekolah. Institusi kewangan Western Beaver, ESB Bank, berjaya membalikkan beberapa pindahan, tetapi distrik sekolah Pennsylvania lebih dari $ 441,000. Pada 9 Julai, Western Beaver menyaman ESB untuk mencuba dan mendapatkan kembali wang tersebut, tetapi para pakar keamanan mengatakan bahawa ia hanya salah satu daripada banyak organisasi yang telah dilanda dalam beberapa bulan kebelakangan ini oleh penipuan kewangan jenis baru yang sering menyebabkan mangsa memegang beg itu.

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows anda]

Penipu mengambil kesempatan daripada Network Automated Clearing House (ACH) yang digunakan secara meluas tetapi tidak jelas untuk menarik serangan mereka. Rangkaian kewangan ini digunakan oleh institusi kewangan untuk mengendalikan deposit langsung, cek, pembayaran bil dan pemindahan tunai antara perniagaan dan individu.

Pada bulan April, penipu ACH telah memindahkan $ 1.2 juta dari Sugar Land, Texas, pengimport yang dipanggil Produk Perindustrian Unik, menurut satu laporan di Houston Chronicle. Mereka melakukan ini dengan menggodam komputer syarikat dan kemudian membenarkan 39 pemindahan untuk memindahkan wang dari akaun Unik Industri. Walaupun sebahagian besar wang itu pulih, penipu membuat $ 150,000 dari serangan itu - tidak buruk selama 30 minit kerja.

"Penipuan ACH terus berkembang, terutamanya dalam kemelesetan ekonomi semasa di mana pengangguran berada pada tahap yang sangat tinggi," kata Jeffery Dertz, rakan kongsi dalam kumpulan amalan insurans dengan Blackman Kallick, firma perakaunan dan perundingan yang berpangkalan di Chicago.

Penjenayah boleh membuat berjuta-juta dolar setiap hari dengan penipuan ACH, kata penyiasat. Dan sementara pengguna dilindungi dari jenis penipuan ini, peraturan untuk korporat dan organisasi tidak jelas, sehingga kadang-kadang para korban seperti Western Beaver merasa perlu membayar.

Penipuan biasanya bermula dengan e-mel phishing yang ditargetkan, yang bertujuan untuk sesiapa yang menjaga buku cek syarikat. Dengan menipu mangsa ke dalam perisian berjalan, membuka lampiran berbahaya atau melawat laman web yang berniat jahat, para penjenayah dapat memasang perisian keylogging dan mencuri kata laluan akaun bank.

"Jika saya dapat memegang kelayakan mereka maka saya dapat sesetengah keseronokan, "kata Robert West, bekas ketua pegawai keselamatan maklumat di Fifth Third Bank, yang kini menjadi CEO perunding keselamatan perisik Echelon One. Beliau bersetuju bahawa penipuan ACH adalah masalah yang semakin meningkat

Peguam Negara Beaver, Alfred Steff, enggan memberikan komen untuk kisah ini, tetapi di pengadilan di daerah itu mengatakan bahwa penipu menggunakan virus komputer untuk menggodam sistem komputer papan sekolah.

Seringkali perisian jahat terletak tepat di dalam penyemak imbas, menunggu mangsa masuk ke tapak bank sebelum melakukan tindakan. Kemudian, apabila mangsa telah log masuk, perisian menyediakan pembayaran baru dan memindahkan wang kepada mereka - sebaik sahaja akaun mangsa telah digodam, semua keperluan penyerang adalah nombor laluan dan nombor akaun untuk menghantar wang tunai kepada keledai. Jika dua orang harus menandatangani pemindahan itu, para penggodam melanda mereka.

Lembu jantan adalah korban. Mereka biasanya berfikir bahawa mereka melakukan kerja penggajian yang sah untuk syarikat-syarikat antarabangsa. Selepas direkrut di laman web seperti Monster.com, mereka diberitahu mereka dapat menyimpan komisen 5 peratus jika mereka memindahkan wang keluar negara. Sering kali apabila bank membalikkan urus niaga, mereka perlu membayar.

Sesetengah pakar keselamatan percaya bahawa hak baginya sukar untuk merekrut adalah satu-satunya perkara yang menjaga jenis penipuan dari meroket sekarang. Penjual keselamatan Trusteer menganggarkan bahawa 3 peratus pengguna telah dijangkiti dengan perisian penipuan kewangan. "Kesesakan ini mendapat wang dari akaun," kata ketua pegawai teknologi Trusteer Amit Klein.

Penipuan itu sebahagiannya berfungsi kerana aktiviti penipuan ACH tidak selalu mencetuskan bendera merah dengan bank-bank, terutama apabila bank-bank serantau yang lebih kecil terlibat, menurut seorang penyidik, yang meminta tidak dikenalpasti kerana ia sedang menjalankan kes-kes aktif. "Ada masalah yang sangat serius berlaku," katanya mengenai penipuan ACH. "Ia adalah sistem yang sangat lama dan terdapat banyak kawalan di dalam sistem pemindahan yang berpotensi."

Dalam kes Barat Beaver, bendera merah sepatutnya dinaikkan ketika lembaga sekolah tiba-tiba menambah 42 individu ke senarai gajinya di tempat-tempat seperti jauh seperti California dan Puerto Rico semasa rehat Krismas, dan kemudian mula membayar mereka jauh lebih banyak daripada orang lain di senarai gaji, katanya. Menurut pengajuan pengadilan, ESB menerima 74 permintaan transfer selama empat hari, satu lagi bendera merah.

Dalam tuntutannya, Barat Beaver menyalahkan banknya karena gagal "bendera merah" permintaan yang tidak sah. Jurucakap bank ESB tidak dapat dihubungi untuk memberi komen.

Salah satu sebab bank-bank mengalami kesulitan mengesan transaksi ACH adalah kerana jumlah wang yang bergerak melalui rangkaian adalah sangat menggembirakan. Rangkaian ACH memproses hampir 9 bilion pembayaran pada 2002, bernilai lebih daripada $ 24.4 trilion dolar. "Beberapa bank terakhir yang saya bekerja di, kami akan menyamai aset bersih kami dalam masa beberapa hari," kata West.

Seperti yang lumayan, mungkin penipuan ACH ini tidak meluas, menurut kepada Mary Gilmeister, presiden WACHA, organisasi bukan untung yang menyediakan maklumat yang berkaitan dengan ACH kepada organisasi kewangan. "Ia penting, tetapi ia tidak menjejaskan sejumlah besar institusi kewangan," katanya.

Bagi pengguna yang mempunyai akaun bank mereka dikosongkan oleh penipuan ACH, peraturan perbankan persekutuan menanggung liabiliti di $ 50, selagi penipuan dilaporkan pada waktu yang tepat. Tetapi bagi perbadanan dan entiti lain, perkara-perkara yang lebih rumit, dan sama ada mangsa perlu membayar boleh berbeza-beza dari bank ke bank.

Yang serius boleh menghakis kepercayaan orang ramai terhadap perbankan Internet, penyiasat berkata: "Kami bercakap tentang perniagaan kecil, nyawa AS, yang mendapat hit lima atau enam angka kerana mereka telah memeluk perbankan dalam talian. "