Miasto Chicago prawie straciło ponad milion dolarów w wyniku oszustwa phishingowego.
Na początku tego roku przedstawiciele Departamentu Lotnictwa miasta Chicago myśleli, że płacą jednemu ze swoich zatwierdzonych dostawców za wykonane usługi. Jednak pieniądze pochodzące z naszych podatków prawie trafiły na coś, co okazało się oszustwem phishingowym, a obecnie jest badane przez policję jako przestępstwo z wykorzystaniem wiadomości email.
Phising to metoda oszustwa, w której przestępca podszywa się pod inną osobę lub instytucję, w celu wyłudzenia określonej informacji (np. danych do logowania, informacji dotyczących karty kredytowej) albo nakłonienia ofiary do określonych działań. Przestępcy sieciowi wykorzystują techniki phisingu w celach zarobkowych.
Chociaż miastu udało się odzyskać pieniądze, incydent prawie kosztował mieszkańców i podatników milion dolarów i budzi wątpliwości co do integralności systemu cyberbezpieczeństwa w Chicago.
Według raportu policyjnego, Depatament Lotnictwa otrzymał w dniu 24 stycznia wiadomość e-mail od dostawcy, który wydawał się pochodzić od zatwierdzonej przez miasto firmy, Skyline Management.
Firma otrzymała ponad ćwierć miliarda dolarów - $284,628,921.17 – za usługi powiernicze na międzynarodowych lotniskach Midway i O’Hare od 2018 roku – wynika z miejskiej dokumentacji.
W wysłanym emailu dostawca prosił o zmianę informacji bankowych Skyline z US Bank na Wells Fargo Bank. Wniosek został przekazany do biura kontrolera miasta, aby dokonać zmiany, co jest rutynową procedurą – wynika z raportu. Zmiana została dokonana, a niecały miesiąc później miasto przelało na zaktualizowane konto $1,150,759.82 za usługi.
Ale w rozmowie telefonicznej z Departamentem Lotnictwa kilka tygodni później przedstawiciel Skyline Management oświadczył, iż firma nie otrzymała zapłaty za swoje wykonaną pracę. Wtedy dokonano szokującego odkrycia: Skyline Management nigdy nie zażądało zmiany konta.
Z raportu wynika, iż miasto odzyskało pieniądze po tym, jak Wells Fargo zablokowało konto.
Paul Petefish, ekspert ds. bezpieczeństwa informacji i dyrektor generalny Evolve Security, współpracuje z firmami, aby znaleźć luki w ich systemach zabezpieczeń, co ma zapobiec ewentualnym atakom hackerskim.
„Wszyscy mają słabe punkty” – twierdzi Petefish. Mężczyzna wyjaśnił, że email otrzymany przez Departament Lotnictwa, jest „najstarszą stosowaną sztuczką”.
„To z pewnością łatwiejsze niż obrabowanie banku” – powiedział Petefish o oszustwach typu phising.
„Po prostu staram się nakłonić kogoś, by mi coś dał, zamiast próbować ukraść to w inny sposób” – wyjaśnił Petefish. „Mogę wysłać ci email i napisać „Hej, jestem z Bank of America, aktualizujemy nasz system. Będę musiał sprawdzić twoje hasło, czy możesz mi je podać?”, dodając, że może to również dotyczyć numeru konta, jak to miało miejsce w Chicago.
„Gdzieś nastąpił błąd” – powiedział Petefis. „Taka zmiana wymaga podpisu dwóch osób”.
Z raportu policyjnego nie wynika, kto faktycznie zatwierdził procedurę zmiany konta.
Policjanci przeprowadzili rozmowy z pracownikiem Skyline, który twierdził, iż jego konto AOL mogło zostać zhakowane w tym samym czasie.
Jak powszechne są oszustwa phishingowe?
Według FBI od 2013 roku ponad 12 miliardów dolarów zostało utraconych na całym świecie w związku z oszustwami poprzez wiadomości e-mail. W Stanach Zjednoczonych straty sięgały łącznie 3 miliardów dolarów i dotyczyły ponad 40,000 ofiar w całym kraju.
Chicago nie jest jednym podmiotem rządowym, którego system został naruszony.
W 2016 roku powiat Sedgwick w Kansas stracił $566,088 w podobnym oszustwie phisingowym. W rezultacie powiat dodał dwóch audytorów do listy swoich pracowników i zaczął wymagać połączeń telefonicznych w celu zweryfikowania zmian w formach płatności.
Dwa lata później powiat był w stanie odzyskać utracone pieniądze w wyniku roszczenia ubezpieczeniowego, z wyjątkiem 100,000 dolarów podlegających odliczeniu (deductible).
Petefish powiedział, że w wielu przypadkach do czasu wykrycia oszustwa, pieniądze już zniknęły.
W przypadku Chicago, bank Wells Fargo zastosował procedurę wymaganej weryfikacji na obu kontakt, z powodu „dużego i nietypowego przelewu” oraz innych niezgodności w związku z tą transakcją. Ostatecznie miasto odzyskało pełną kwotę.
Po dziennikarskim śledztwie w tej sprawie, rzecznik Departamentu Lotnictwa powiedział, że przyczyną tej sytuacji było włamanie na konto email pracownika Skyline i że idąc naprzód, pracownicy będą potwierdzać zmiany konta w rozmowie telefonicznej.
„Dzięki współpracy z Departamentem Policji w Chicago udało się odzyskać pieniądze, które zostały nielegalnie przekierowane na inne konto. Chociaż sytuacja była spowodowana włamaniem się na koto e-mail zewnętrznego dostawcy, stosując zwiększone środki ostrożności Departament Finansów będzie teraz kontaktować się telefonicznie, jeśli dostawcy zażądają zmiany konta bankowego za pośrednictwem poczty elektronicznej, aby upewnić się, że podobny incydent nie powtórzy się w przyszłości”.
Monitor
