Carbanak : les voleurs regardent travailler les banquiers avant de les imiter

Un distributeur peut remettre de l’argent sans qu’un client légitime ait demandé de retrait. Derrière cette scène se trouve parfois une longue période d’observation. Les enquêteurs de Kaspersky décrivent en 2015 une campagne visant directement les banques : Carbanak.

Des courriels ciblés et leurs pièces jointes permettent une première intrusion. Les attaquants progressent ensuite dans le réseau pour observer les postes d’employés et d’administrateurs. Ils enregistrent des écrans et apprennent les gestes nécessaires pour déplacer l’argent sans dépendre d’un faux client au guichet.

Selon les établissements et les systèmes atteints, les sorties prennent des formes différentes : virements frauduleux, manipulation de comptes ou retraits aux distributeurs, récupérés par des complices. La force de la campagne tient à l’imitation de procédures bancaires ordinaires depuis une position interne illégitime.

Des anomalies conduisent les banques, les forces de l’ordre et les spécialistes à rapprocher les incidents. Kaspersky évoque alors des pertes pouvant atteindre un milliard de dollars. Il s’agit d’une estimation cumulée sur plusieurs victimes, pas d’un milliard dérobé d’un seul coffre en une nuit.

En 2018, une opération policière internationale annonce l’arrestation en Espagne d’un dirigeant présumé associé aux campagnes Carbanak et Cobalt. La description policière porte sur plusieurs années, plusieurs outils et de nombreux pays. Le nom d’un logiciel ne désigne pas nécessairement une organisation unique restée inchangée.

Le casse se comprend en inversant l’image habituelle du pirate : les attaquants ne cherchent pas seulement une porte ouverte. Ils prennent le temps d’apprendre ce qu’une personne autorisée ferait après l’avoir franchie.