Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт

взлома получили только работающие на них дропы. Сначала они выбрали 450 счетов (как именно — не вполне ясно: по одним сведениям, их наугад выхватили из настоящих клиентских счетов банка, по другим — сообщники хакеров специально завели их заранее)¹². Затем нужно было добиться, чтобы компьютеры банка одобряли снятие крупных сумм с этих счетов. Но тут возникла загвоздка. Несмотря на доступ к компьютерным системам банка, хакеры не могли повлиять на то, сколько денег на самом деле лежит на этих 450 счетах. Если денег там немного, то и толку от таких счетов при предстоящем налёте будет мало. Хакеры нашли изящный обходной путь. Как утверждает председатель правления банка Милинд Кале, они воспользовались своим доступом к системам и обманули программу банкоматов: та считала, что на каждом из счетов лежит около 10 000 долларов, сколько бы денег там ни было в действительности. Это намного больше максимальной суммы, которую большинство банкоматов позволяют снять за один раз. После изменений, внесённых хакерами, системы банка отвечали «да» на любой запрос, какую бы сумму ни просили снять.

Когда 450 счетов были подготовлены к крупным снятиям, хакерам предстояло изготовить банковские карты, привязанные к каждому из них, — а это вовсе не так сложно, как может показаться. Многие считают, что главное в карте — выпуклые цифры на лицевой стороне и что именно на них смотрит банкомат, когда в него вставляют карту. Поэтому они, вероятно, думают, что для изготовления поддельной карты нужно уметь печатать что-то с выпуклыми цифрами. Но это давно не так (потому-то некоторые компании, выпускающие карты, теперь делают их плоскими и гладкими, без выпуклых цифр). На самом деле самые конфиденциальные данные хранятся на чёрной полосе на обороте карты.

Эта магнитная полоса считывается, когда карту вставляют в щель банкомата; на ней записан уникальный номер банка, выпустившего карту, а также полный номер карты, срок её действия и имя клиента.

Чтобы изготовить карту, которую прочтёт банкомат, нужны лишь пустая карта-заготовка с магнитной полосой на обороте и устройство, способное электронным способом записать на полосу нужные данные. Раздобыть заготовки — не проблема: магнитная полоса теперь есть даже на обычных подарочных картах, а записанную на них информацию легко заменить другой. Устройство для записи карт можно купить в интернете меньше чем за 200 долларов. Так что же… выходит, если у кого-то есть номер вашей карты, срок её действия, ваше имя и прочее, он может просто сделать дубликат и снять ваши деньги? Не может же всё быть так просто? Нет, не может. Потому что не хватает ключевого элемента — вашего ПИН-кода. Да, мошенник может изготовить карту с вашими данными, но если он (или она) вставит её в банкомат и попробует снять деньги, ваш банк запросит ПИН-код, и без него мошенник не получит ни гроша. ПИН-код открывает доступ к счёту.

Но хакерам, напавшим на кооперативный банк Cosmos, было на руку то, что они полностью контролировали ту часть банковской системы, которая проверяла ПИН-код. Они изменили программу так, чтобы она выискивала поступающие запросы на снятие с любого из 450 подготовленных счетов и одобряла их, не проверяя ПИН-код. Затем программа смотрела баланс счёта, благодаря уловкам хакеров видела, что на нём якобы лежат 10 000 долларов, и отправляла банкомату сообщение с разрешением выдать столько денег, сколько запросил человек.

В хакерском подполье этот приём называют «джекпоттингом».

Преступная схема была готова к запуску, но теперь хакерам требовались сообщники, чтобы снять деньги. Им хотелось задействовать людей в самых разных местах — чем больше, тем лучше. Так правоохранителям было бы куда труднее отследить всю операцию и вычислить, кто за ней стоит. Источник, близкий к расследованию в Индии, рассказал мне, что сообщников вербовали через даркнет — скрытую зашифрованную часть интернета, где кишат преступные сайты. В этом цифровом подполье «кардинг» (так называют мошенничество с кредитными картами) — процветающий и прибыльный промысел. Найти людей с навыками, опытом и готовностью участвовать в джекпоттинге банкоматов было бы несложно.

Через контакты, налаженные в этом преступном мире мошенников с кредитными картами, хакеры могли переслать сведения о 450 подправленных счетах своим сообщникам по всему земному шару, а те — записать эти данные на пустые карты-заготовки, которые затем передавались дропам, чтобы те пустили их в ход.

«В этом процессе участвовали международные банды и агентства-распространители, — сказал источник. — Всем покупателям [украденных данных] выделили временное окно 11 августа, когда карта будет активна и можно будет снимать наличные в банкоматах».

Но когда день ограбления был уже близко, ФБР, похоже, что-то пронюхало. Американский журналист, пишущий о кибербезопасности, сообщил, что накануне того дня, когда дропы отправились к своим банкоматам, ФБР разослало банкам конфиденциальное предупреждение. В нём говорилось, что ведомство «получило неуточнённые сведения, указывающие на то, что киберпреступники планируют в ближайшие дни провести глобальную схему обналичивания денег через банкоматы… обычно именуемую „безлимитной операцией“»¹³.

В ФБР понимали и то, какую тактику пустят в ход: «Как правило, киберпреступники изготавливают поддельные копии настоящих карт, пересылая украденные данные карт соучастникам, которые записывают эти данные на многоразовые карты с магнитной полосой, например на подарочные карты, приобретённые в розничных магазинах».

Федералы попали в яблочко. Но, увы, их срочное предупреждение, похоже, разошлось недостаточно широко и до кооперативного банка Cosmos не дошло. Когда приближалась суббота и сотрудники разъезжались по домам на выходные, в банке и понятия не имели, что банды обнальщиков готовятся сорвать джекпот.

В Индии клонированные банковские карты получили по меньшей мере двадцать три человека. По сообщениям местных СМИ, банда в Дубае переслала данные счетов подельникам в Мумбаи, где изготовили 109 клонированных карт¹⁴.

Многие из предполагаемых дропов съехались в Колхапур к налёту 11 августа и ходили от банкомата к банкомату с пачками поддельных карт. Одна пара, по имеющимся данным, за несколько часов работы сняла 121 000 долларов, обойдя 52 банкомата, принадлежащих 31 банку.

Похожие операции по снятию денег шли и по всему миру. Всего, по отчётам банка, меньше чем за четыре часа было снято 11 млн долларов наличными¹⁵.

После каждого снятия дропы снова растворялись в толпе и все вместе незаметно набирали пачки наличных, которые предстояло передать кураторам.

Тем временем в ИТ-системе Cosmos Bank начались сбои. Несмотря на всю тщательную подготовку, система банкоматов, которой управляли хакеры, пошла наперекосяк. Как сообщалось, одни клиенты начали жаловаться, что банкоматы отклоняют их операции. У других всё было наоборот: деньги выдавались, даже если на счёте их не было. Кое-кто этим воспользовался и снял пачки наличных, но потом не выдержал угрызений совести и вернул деньги¹⁶. Сотрудники банка заподозрили, что дело серьёзное,