Theo một công ty an ninh mạng có trụ sở tại thủ đô Moscow, Nga và cũng là phòng thí nghiệm máy tính lớn nhất Đông Âu. Trong 18 tháng vừa qua đã có 10 triệu USD từ các ngân hàng của Nga và Mỹ đã bị đánh cắp bởi một nhóm hacker.

Nhóm hacker có tên gọi MoneyTaker đã đột nhập vào 20 hệ thống, nhắm tới các máy ATM của 15 ngân hàng cho vay của Mỹ và hệ thống chuyển tiền liên ngân hàng của Nga, theo một báo cáo từ tập đoàn IB (IB-Group) được gửi tới trang Bloomberg.

Theo các công ty an ninh mạng, nhóm hacker này đã từng tấn công vào hệ thống của hiệp hội viễn thông liên ngân hàng và tài chính quốc tế SWIFT tại Anh. Hiện tại các cơ quan điều tra ở vùng châu Mỹ la-tinh đang cố gắng thỏa hiệp với dịch vụ SWIFT để kết hợp điều tra. Đối tượng khách hàng bị ảnh hưởng đến từ ngân hàng Sberbank lớn và được sử dụng nhiều nhất tại Nga đến ngân hàng quốc tế Raiffeisen.

"Các tin tặc đã thay đổi chiến thuật và đang tập trung vào các ngân hàng chứ không phải là khách hàng, giống như cách mà chúng đã làm khi đột nhập vào hệ thống giao dịch của ngân hàng trước đây". Dmitry Volkov, người đứng đầu bộ phận tình báo mạng của Tập đoàn IB đã phát biểu qua điện thoại.

Phía nước Nga lại cho rằng đây là một cuộc tấn công về thông tin được hậu thuẫn bởi một chính phủ nào đó và nước Nga đang trở thành nạn nhân của tội phạm mạng. Ban đầu, khi chưa phát hiện ra nhóm hacker Nga đổ lỗi cho virus Ransomware Badrabbit khi nó lan rộng tới 200 mục tiêu trên toàn cầu, ảnh hưởng đến các doanh nghiệp của nước này.

Các ngân hàng có nguồn vốn nhỏ là mục tiêu tấn công của hacker

Nhóm MoneyTaker đã đánh cắp thông tin và tiền từ các ngân hàng thuộc 3 thành phố của Mỹ là New York, California, Utah và Moscow của Nga, mục tiêu chủ yếu nhắm vào các tổ chức nhỏ có hệ thống an ninh mạng lỏng lẻo. Phi vụ đầu tiên đã bị Tập đoàn IB phát hiện vào tháng 5/2016, số tiền bị đánh cắp lên tới 500 nghìn USD với các ngân hàng của Mỹ và hơn 3 triệu USD từ 3 ngân hàng chuyên cho vay của Nga.

Đứng đầu tập đoàn tình báo an ninh mạng IB-Group, ông Dmitry Volkov đã nhận định rằng dựa vào những dấu hiệu nhận biết thì "các ngân hàng mang tính chất cộng đồng với một nguồn vốn hạn chế thường là đối tượng chính của nhóm hacker".

Theo Tập đoàn IB, lý do nhóm tin tặc không bị phát hiện là do mã độc của chúng len lỏi được vào những phần mềm hợp pháp do chúng tạo ra, chỉ tồn tại trong bộ nhớ tạm thời của máy tính khiến hệ thống tự tắt mà khởi động lại. Chính vì thế phần mềm độc hại này dễ dàng tránh được khỏi các chương trình chống vi rút, xâm nhập vào các máy tính của những người có quyền vận hành giao dịch trực tuyến hoặc nhóm nhân viên hỗ trợ kỹ thuật.

Kết quả là mỗi khi bọn tội phạm rút tiền từ thẻ của các ngân hàng bị tấn công trong máy ATM của một ngân hàng khác, hệ thống bị nhiễm tự động chạy ngược lại các giao dịch. Đây chính là lý do tại sao số dư trên thẻ vẫn giống nhau, cho phép tin tặc rút tiền chỉ giới hạn trong số lượng tiền mặt cho phép tại các máy ATM. Những tên tội phạm sẽ tiến hành các hoạt động rút tiền mặt tại các máy ATM của những ngân hàng khác nhau.

Thủ đoạn tinh vi của nhóm hacker ngân hàng

Theo IB-Group, nhóm hacker đã tiếp tục theo dõi các giao dịch bằng cách sử dụng các mã độc có tên 2 ngân hàng là Bank of America Corp. và Federal Reserve hoặc Microsoft.Corp để gây trục trặc lên hệ thống Office Microsoft Word và 1C (một chương trình dùng để làm thống kê, hạch toán sổ sách khá phổ biến ở Nga. Các hacker đã nói chuyện với nhau bằng tiếng Nga, giống như cách mà 2 loại vi rút Trojan Corkow và Buhtrap đã hoạt động trước đó.

Từ phía các ngân hàng cũng như SWIFT hay Microsoft vẫn chưa có bất cứ bình luận nào khi được Bloomberg yêu cầu. "Trong khi đây là những hacker xuyên quốc gia với nhiều kiểu tấn công mới được phát hiện ở Nga vì đây là một trong những nơi đứng đầu về an ninh mạng", Phó Giám đốc của cơ quan bảo mật thông tin ngân hàng Artem Sychev cho biết trong cuộc phỏng vấn vào tháng 11.

Phía các ngân hàng của Mỹ cho biết, nhóm hacker đã truy cập vào hệ thống xử lý thẻ ngân hàng và mở các tài khoản ảo để chuyển tiền đánh cắp vào đó. Đồng thời chúng cũng phá vỡ giới hạn của các thẻ ngân hàng và dùng mã độc tấu để rút tiền mặt tại các máy ATM. Loại vi rút này quá bí ẩn, thậm chí một ngân hàng đã bị cướp thành công 2 lần cùng một cách hoạt động. 

Tuy Group-IB không tìm ra những bằng chứng cụ thể của cuộc tấn công vào hệ thống SWIFT bởi nhóm MoneyTaker nhưng họ phát hiện ra rằng các hacker đang tìm kiếm các tài liệu quan trọng trong hệ thống tin nhắn này. Năm ngoái, một trong những tội phạm mạng lớn nhất trong lịch sử đã lợi dụng hệ thống tin nhắn SWIFT để lấy trộm 81 USD từ Bangladesh...