Cyber ​​Attackers Tomma företagskonton i minuter

De brottslingar visste vad de gjorde när de träffade Western Beaver County School District. De väntade tills skoladministratörer var borta på semester och sedan under en fyradagarsperiod mellan 29 december och 2 januari sippade USA 704 610,35 US $ två av skoldistriktets bankkonton. Western Bävers finansinstitut, ESB Bank, lyckades vända några av överföringarna, men Pennsylvania skoldistrikt var över $ 441 000.

Den 9 juli stämde Western Beaver ESB för att försöka återhämta pengarna, men säkerhetsexperter säger att Det är bara en av många organisationer som har drabbats de senaste månaderna av en störande ny typ av ekonomiskt bedrägeri som ofta kan lämna offret som håller påsen.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Bedrägerier utnyttjar det mycket vanliga men dolda Automated Clearing House (ACH) Network för att dra av sina attacker. Detta finansiella nätverk används av finansiella institut för att hantera direkta insättningar, kontroller, fakturor och överföringar mellan företag och privatpersoner.

I april flyttade ACH-bedrägerier $ 1,2 miljoner från Sugar Land, Texas, importör som heter Unique Industrial Products, enligt en rapport i Houston Chronicle. De gjorde det genom att hackat in i företagets datorer och sedan godkände 39 överföringar för att flytta pengarna ut ur Unique Industrials konto. Även om större delen av pengarna återhämtade sig, gjorde scammers $ 150 000 från attacken - inte illa i 30 minuter.

"ACH-bedrägerier fortsätter att växa, särskilt i den nuvarande ekonomiska nedgången där arbetslösheten ligger på mycket höga nivåer" sa Jeffery Dertz, en partner i försäkringspraktikgruppen med Blackman Kallick, ett Chicago-baserat bokförings- och konsultföretag.

Kriminella kan göra miljoner dollar per dag med ACH-bedrägerier, säger utredare. Och medan konsumenterna är skyddade mot denna typ av bedrägeri är reglerna för företag och organisationer inte så tydliga, så ibland uppstår offer som Western Beaver själva.

Bedrägeriet börjar vanligtvis med ett riktat nätfiske-e-postmeddelande, riktad mot vem som är ansvarig för bolagets checkbook. Genom att lura offeret för att köra programvara, öppna en skadlig bilaga eller besöka en skadlig webbplats kan brottslingarna installera keyloggingprogramvara och stjäl bankkontonlösenord.

"Om jag kan få tag i sina uppgifter, kan jag få lite roligt ", säger Robert West, den förste chefsinformationssäkerhetsansvarig vid Fifth Third Bank, som nu är VD för säkerhetsunderrättelsetjänsten Echelon One. Han överensstämmer med att ACH-bedrägeri är ett växande problem.

Western Beaver's advokat Alfred Steff, nekade att kommentera den här historien, men i domstolsansökningar sade länet att bedrägerier använde ett datavirus för att hacka in i skolstyrelsens datorsystem.

Ofta ligger den skadliga programvaran direkt inuti webbläsaren och väntar på att offret ska logga in på en bankwebbplats innan det går till handling. Sedan, när offret har loggat in, skapar programvaran nya betalningsmottagare och överför pengar till dem - när offrets konton har hackats är alla attackerbehov ett routingnummer och ett kontonummer för att skicka kontanter till en pengemule. Om två personer måste logga ut på överföringen träffar hackarna dem båda.

Även mulorna är offer. De tycker oftast att de gör legitima lönearbeten för internationella företag. Efter att ha rekryterats på webbplatser som Monster.com, berättas de att de håller en 5 procents provision om de flyttar pengar ut ur landet. Ofta när banken vänder om transaktionen, måste de betala.

Vissa säkerhetsexperter tror att det faktum att mulor är svåra att rekrytera är det enda som gör att denna typ av bedrägerier höjts från nu. Säkerhetsleverantör Trusteer uppskattar att 3 procent av konsumenterna redan är smittade med ekonomisk bedrägeri. "Flaskhalsen tar pengarna ut ur räkenskaperna", säger Amit Klein, Trusteers chefstekniker.

Bedrägeriet fungerar delvis, eftersom bedräglig ACH-aktivitet inte alltid utlöser röda flaggor med bankerna, särskilt när mindre regionala banker är involverade, enligt en utredare, som bad att inte identifieras eftersom han arbetar med aktiva fall. "Det är ett mycket allvarligt problem som händer," sa han om ACH-bedrägerierna. "Det är ett mycket gammalt system och det finns potentiellt inte många kontroller i det underliggande överföringssystemet."

I Western Beaver-fallet borde röda flaggor ha uppstått när skolstyrelsen plötsligt lade 42 personer till sin löneskal på platser som långt borta som Kalifornien och Puerto Rico under julhelgen och började sedan betala dem långt mer än de flesta andra på lönelisten, sa han. Enligt domstolsansökningar mottog ESB 74 överföringsförfrågningar under fyra dagar, en annan röd flagga. I sin rättegång felar Western Beaver sin bank för att misslyckas med att "röda flaggan" tillåter obehöriga förfrågningar. En talesman för en ESB-bank kunde inte nås för kommentar.

En anledning till att bankerna har svårt att upptäcka bedrägliga ACH-transaktioner beror på att volymen pengar som rör sig via nätverket är helt enkelt överväldigande. ACH-nätverket behandlade nästan 9 miljarder betalningar under 2002, värderat till över 24,4 biljoner dollar. "De sista bankerna jag arbetade med, skulle vi gå igenom ekvivalenterna av våra nettotillgångar om ett par dagar," sade West.

Så lukrativ som det kan vara, är denna typ av ACH-bedrägerier inte utbredd enligt till Mary Gilmeister, VD för WACHA, en ideell organisation som ger information om ACH till finansiella organisationer. "Det är viktigt, men det påverkar inte ett stort antal finansiella institutioner," sa hon. "Finansinstitut är mer uppmärksamma på det," kommunicerar med varandra och skickar upp varningsflaggor när bedrägerier uppstår, säger hon.

För konsumenter som har sina bankkonton tömda med ACH-bluff $ 50, så länge bedräget rapporteras i rätt tid. Men för företag och andra enheter är sakerna mycket mer komplicerade, och om offret måste betala kan variera från bank till bank.

Det kan allvarligt utplåna allmänhetens förtroende för internetbank, sade utredaren: "Vi är talar om småföretag, USA: s livsnivå, som slås i fem eller sex siffror för att de har tagit sig till internetbank. "