Carbanak: i ladri guardano i banchieri lavorare prima di imitarli

Un distributore può consegnare denaro senza che un cliente legittimo chieda un prelievo. Dietro questa scena a volte c’è un lungo periodo di osservazione. Gli investigatori di Kaspersky descrivono nel 2015 una campagna diretta alle banche: Carbanak.

Le email mirate e i loro allegati consentono una prima intrusione. Gli attaccanti quindi progrediscono attraverso la rete per osservare le posizioni dei dipendenti e degli amministratori. Registrano le schermate e imparano i gesti necessari per spostare i soldi senza dipendere da un cliente falso al banco.

A seconda delle istituzioni e dei sistemi interessati, le uscite assumono forme diverse: trasferimenti fraudolenti, manipolazione dell'account o prelievi dai distributori, recuperati dai complici. La forza della campagna sta nell’imitazione delle procedure bancarie ordinarie da una posizione interna illegittima.

Alcune anomalie portano banche, forze dell’ordine e specialisti a collegare gli incidenti. Kaspersky parla di perdite che possono raggiungere un miliardo di dollari. È una stima cumulativa riferita a diverse vittime, non un miliardo sottratto a un’unica cassaforte in una sola notte.

Nel 2018, un’operazione di polizia internazionale ha annunciato l’arresto in Spagna di un presunto leader associato alle campagne Carbanak e Cobalt. La descrizione della polizia copre diversi anni, diversi strumenti e molti paesi. Il nome di un software non significa necessariamente una singola organizzazione che rimane invariata.

Il caso si intende ribaltando la solita immagine dell’hacker: gli aggressori non sono solo alla ricerca di una porta aperta. Si prendono il tempo per imparare cosa farebbe una persona autorizzata dopo averlo attraversato.