FBI avverte di $ 100 milioni di minacce informatiche alle piccole imprese

Cyberthieves sta hackerando ogni settimana piccole e medie organizzazioni e rubando milioni di dollari in una truffa in corso che ha spostato circa US $ 100 milioni dai conti bancari statunitensi, ha avvertito Martedì il Federal Bureau of Investigation.

È ora uno dei problemi principali affrontati dalla National Cyber ​​Forensics and Training Alliance (NCFTA), che collabora con l'FBI e l'industria per condividere informazioni sugli attacchi informatici, secondo il direttore esecutivo dell'NCFTA, Ron Plesco. "Ogni anno sembra esserci una tendenza e questa è stata la tendenza di quest'anno", ha detto.

C'è stato un "significativo aumento" nelle cosiddette frodi ACH (clearinghouse automatizzata) negli ultimi mesi, molto di esso si rivolge alle piccole imprese, ai governi municipali e alle scuole, l'FBI ha detto in un avviso pubblicato sul suo sito Web.

[Ulteriori letture: Come rimuovere malware dal PC Windows]

I criminali possono spostare migliaia o addirittura milioni di dollari dai conti delle loro vittime molto rapidamente, utilizzando l'online banking per aggiungere nuovi beneficiari al conto bancario dell'organizzazione e quindi spostare i soldi durante la notte. Di solito il primo passo è un'e-mail al contabile o all'agente finanziario dell'azienda che può includere allegati malevoli progettati per assomigliare a patch software Microsoft o semplicemente collegamenti a siti Web dannosi. L'idea è di portare il software di keylogging del criminale su un computer con accesso bancario online e rubare le credenziali di accesso.

Una volta che hanno accesso al conto bancario, gli hacker creano trasferimenti di ACH in muli di denaro - in genere vittime innocenti che pensano stanno facendo elaborazione delle buste paga per le compagnie internazionali - che poi trasferiscono i soldi all'estero tramite servizi come Western Union e Moneygram.

In un caso, i criminali hanno anche lanciato un attacco denial-of-service distribuito contro un processore ACH per impedire alla banca di richiamare i trasferimenti prima che i muli del denaro possano trasferirli all'estero.

Una volta che il denaro è fuori dal paese, è sparito per sempre.

I criminali preferiscono organizzazioni più piccole come i consigli scolastici perché tendono a lavorare con banche regionali più piccole che potrebbero non avere i controlli di individuazione delle frodi in atto per fermare questi falsi trasferimenti ACH. Queste organizzazioni spesso pubblicano informazioni di contatto per il personale finanziario o persino organigrammi pubblicati sui loro siti Web, rendendoli facili scorribande per i truffatori.

Secondo un rapporto dell'FBI Internet Crime Complaint Center (IC3), banche e fornitori di servizi finanziari sono spesso parte del problema. Sulla base delle interviste dell'FBI, l'IC3 ha concluso che "in diversi casi le banche non avevano installato firewall adeguati, né software anti-virus sui loro server o sui loro computer desktop.La mancanza di difesa in profondità a livello di istituto / fornitore di servizi più piccoli ha creato una minaccia per il sistema ACH. "

L'FBI sta aprendo nuovi casi ogni settimana in media, ha detto l'IC3. "A partire da ottobre 2009, ci sono stati circa $ 100 milioni in tentate perdite."

L'NCFTA sta rintracciando tra $ 1 e $ 1,5 milioni di perdite ogni settimana a questo tipo di frode, secondo Ron Plesco, il direttore esecutivo del NCFTA. "Questo è solo per le persone con cui abbiamo a che fare, pensiamo che sia più grande di questo", ha aggiunto.

Le banche più piccole sono colpite da questa frode perché, a differenza delle maggiori banche nazionali, tendono a non avere i controlli luogo per bloccare i trasferimenti fraudolenti di ACH, ha detto Plesco. "È il targeting strategico di ciò che viene percepito come una debolezza nei controlli, sia che si tratti della piccola società [o del] livello medio-piccolo."

Le banche coprono alcune perdite ACH, ma troppo spesso si tratta di il cliente online che ha lasciato in mano la borsa.

Karen Earhart ha scoperto quanto velocemente i soldi possono svanire la mattina del 15 ottobre. Earhart, l'amministratore della Plainview Christian Academy di Plainview, in Texas, è arrivato al lavoro quel giovedì mattina per scoprire che $ 43.000 erano stati trasferiti dal conto bancario della scuola durante la notte tramite trasferimenti ACH a otto conti

"Gli hacker si sono aggiunti al nostro libro paga", ha detto. Alcuni dei nuovi beneficiari erano persone reali, ma alcuni erano in conti bancari di nuova apertura con falsi nomi "russi". I nomi includevano parole come "gotcha", "skunk" e "prank", ha detto.

In genere, quando i nuovi dipendenti vengono aggiunti al libro paga della scuola, devono fornire un assegno annullato e compilare un modulo di autorizzazione del libro paga. Earhart era stupito che gli hacker fossero in grado di aggiungere i beneficiari online senza questa documentazione e che la banca fosse disposta a pagarli. "Erano disposti a inviare $ 10.000 a persone che non erano autorizzate ad essere sul nostro libro paga", ha detto.

Earhart ha contattato immediatamente la banca della scuola, e anche se ha annullato la maggior parte delle transazioni, Plainview Academy è ancora fuori $ 16.000 dalla frode. Quella è una quantità significativa di denaro per una piccola scuola con un budget annuale nella gamma da 1 milione di dollari, ha detto Earhart.

Altre vittime hanno fatto causa, dicendo che le loro banche non avrebbero mai autorizzato i trasferimenti fraudolenti. Il 9 luglio, la Western Beaver County School District ha citato in giudizio la ESB Bank, dopo che i criminali avevano trasferito $ 704.610,35 sui conti bancari della scuola durante le vacanze natalizie del 2008. Parte del denaro è stato recuperato, ma il distretto scolastico della Pennsylvania ha perso più di $ 441.000 alla fine della giornata.

Plainview ha ora acquistato un nuovo computer portatile che utilizza solo per le operazioni bancarie online - nessuna e-mail, no Navigare su Internet. Earhart spera che sarà sufficiente per prevenire ulteriori frodi. "Non so cos'altro possiamo fare a parte distribuire assegni cartacei e usare denaro contante."