Das Geld stammte aus dem eigenen Konto der Bank. Der Zugang führte über einen Lieferanten.
Die französische Bankengruppe Crédit Mutuel Arkéa gab am 4. Nov. bekannt, dass Angreifer über die Plattform eines Dienstleisters in die Bank eindrangen und betrügerische Überweisungen vornahmen. Nach Angaben der Bank waren Kundengelder nicht betroffen, doch der Vorfall rückt den Lieferantenzugriff auf Zahlungssysteme in den Fokus.
Für Sicherheits- und Betrugsteams stellt sich praktisch die Frage, wie weit eine vertrauenswürdige externe Verbindung reichen kann – und welche Kontrollen verhindern können, dass darüber Geld verschoben wird.
Was Arkéa bestätigt hat
In seiner nachfolgenden Mitteilung erklärte Arkéa, dass Angreifer Gelder von einem eigenen Konto auf Konten anderer Banken überwiesen. Diese Überweisungen könnten möglicherweise die Umwandlung in Kryptowährungen über spezialisierte Plattformen ermöglicht haben.
Die Bank wies zurück, dass die Angreifer über ihre Tochtergesellschaft Fortuneo eingedrungen seien. Sie hat den Lieferanten weder genannt noch die Methode der ursprünglichen Kompromittierung offengelegt.
Arkéa wollte den gemeldeten Diebstahl von 118 Millionen Euro, umgerechnet etwa 133 Millionen US-Dollar, nicht bestätigen, räumte jedoch ein, dass die Größenordnung zutreffend sei. Ein Teil der Gelder wurde blockiert, die Wiederbeschaffungsmaßnahmen liefen weiter, und die endgültigen finanziellen Auswirkungen wurden noch geprüft.
In seiner ersten Mitteilung erklärte Arkéa, dass die Bank einige Transaktionen vorübergehend ausgesetzt habe, um weitere betrügerische Geldbewegungen zu verhindern. Bestimmte Überweisungen von Kunden verzögerten sich. In seiner nachfolgenden Mitteilung erklärte Arkéa, dass am Morgen des 4. Nov. nach zusätzlichen Prüfungen und verstärkten Sicherheitsmaßnahmen fast alle Vorgänge wieder aufgenommen worden seien.
Die Bank warnte Kunden außerdem vor möglichem nachgelagertem Phishing. Sie riet ihnen, keine Bankzugangsdaten oder SMS-Bestätigungscodes weiterzugeben und sich direkt an ihren Berater zu wenden, um verdächtige Nachrichten zu überprüfen.
Lieferantenzugriff kann Folgen haben, die über den Lieferanten hinausgehen
Waseem Ahmed, Leiter der Entwicklungsabteilung bei Secure.com, sagte, der Unterschied zwischen Kundenkonten und dem eigenen Konto einer Bank verdiene Aufmerksamkeit.
„Betrugskontrollen sind für Kundenkonten normalerweise besonders streng eingestellt, und über das eigene Konto einer Bank werden täglich große Summen bewegt. Daher kann eine weitere große Überweisung an ein anderes Institut schwerer zu erkennen sein“, sagte Ahmed. „Ich weiß nicht, wie die Kontrollen bei Arkéa eingerichtet sind, daher ist das eine allgemeine Beobachtung.“
Seine grundsätzliche Sorge gilt der Autorität, die eine externe Plattform ausüben kann, sobald sie mit Finanzsystemen verbunden ist.
„Jeder Lieferant, dessen Plattform einen Zugang zu Ihren Systemen hat, ist Teil Ihrer Zahlungskette, ob das nun beabsichtigt war oder nicht, und benötigt dieselben Kontrollen wie der Rest dieser Kette“, sagte er.
Zugriffe Dritter können ganz unterschiedliche Geschäftsbereiche betreffen. In einem separaten Vorfall sollen Angreifer über einen Lieferantenangriff die Kühlungseinstellungen in französischen Blutbankeinrichtungen geändert haben, wobei die Überwachung Schäden an den gelagerten Produkten verhinderte.
Andernorts führten manipulierte Sicherheitsupdates von cPGuard zur Kompromittierung von fast 3.000 Servern. Diese Fälle veranschaulichen unterschiedliche Formen von Lieferantenrisiken; keiner von ihnen belegt, wie der Angriff auf Arkéa ablief.
Die fehlenden Details sind entscheidend
Darin Fredde, Senior Director und Evangelist für offensive Sicherheit bei Ridge Security, warnte davor, einen Angriff anhand unvollständiger Informationen zu rekonstruieren.
„Wir wissen, was Crédit Mutuel Arkéa offengelegt hat, aber wir kennen nicht die vollständige Angriffskette“, sagte Fredde. „Über die ausgefallenen Kontrollen oder die Vorgehensweise der Angreifer zu spekulieren, mag eine interessante Geschichte ergeben, macht jedoch nicht zwangsläufig irgendjemanden sicherer.“
Arkéa erklärte, seine Systeme hätten verdächtige Aktivitäten schnell erkannt, und schloss menschliches Versagen innerhalb der Bank als Ursache aus. Daraus geht jedoch nicht hervor, ob der Lieferant Opfer eines Diebstahls von Zugangsdaten, der Ausnutzung einer Softwareschwachstelle oder einer anderen Form der Kompromittierung wurde.
Fredde sagte, Angreifer könnten technische Ausnutzung, Social Engineering und den Missbrauch vertrauenswürdiger Beziehungen kombinieren, um ein Geschäftsziel zu erreichen. Sicherheitstests müssten daher untersuchen, was diese Schwachstellen in Kombination ermöglichen.
„Ein Schwachstellenscanner kann Ihnen sagen, ob ein System eine bekannte Schwachstelle aufweist. Er sagt Ihnen jedoch nicht unbedingt, ob jemand einen ansonsten legitimen Geschäftsprozess manipulieren kann, um etwas zu erreichen, das niemals möglich sein dürfte“, sagte er.
Was Banken entlang der Zahlungskette testen sollten
Ahmed empfiehlt, mit einem konkreten Szenario zu beginnen: Kann jemand, der über den Lieferantenzugriff in die Systeme gelangt, eine Zahlung an einen Zahlungsempfänger senden, an den die Bank noch nie zuvor gezahlt hat?
Damit erhalten Sicherheits-, Treasury- und Betrugsteams ein gemeinsames Testziel. Die Übung sollte klären, welche Identität einen Zahlungsempfänger anlegen kann, welche Identität eine Zahlung autorisieren kann und ob die Genehmigung unabhängig bleibt, wenn eine externe Verbindung kompromittiert wurde.
Fredde empfiehlt, geringstmögliche Berechtigungen, Funktionstrennung, unabhängige Autorisierung und Transaktionsüberwachung gemeinsam zu testen. Ein Penetrationstestprogramm kann diese Geschäftsergebnisse neben technischen Schwachstellen in seinen Prüfungsumfang aufnehmen.
Auf Grundlage ihrer Empfehlungen können Banken die Überprüfung um vier Prüfungen herum organisieren:
- Lieferantenberechtigungen nachverfolgen. Ermitteln Sie die Konten, Integrationen und Berechtigungen, die jeden Anbieter mit Zahlungsfunktionen verbinden. Stellen Sie fest, ob ein für Support oder Datenaustausch vorgesehener Zugriff auch Transaktionen auslösen oder ändern kann.
- Unabhängige Genehmigung testen. Überprüfen Sie in einer kontrollierten Übung, dass eine kompromittierte Lieferantenidentität nicht zugleich eine sensible Änderung anfordern und die für ihre Ausführung erforderliche Genehmigung erteilen kann.
- Kumulierte Abflüsse messen.Ahmed empfiehlt Obergrenzen für Zahlungen von den eigenen Konten der Bank – und zwar in jedem System, das Geld senden kann, sowie über mehrere Tage hinweg. Sobald der Schwellenwert überschritten ist, sollten neue oder ungewöhnliche Zahlungen auf eine Genehmigung warten.
- Eingriffe überprüfen.Legen Sie fest, wer eine Warnung erhält, wer eine Zahlung zurückhalten und wer den Lieferantenzugriff deaktivieren kann. Halten Sie fest, ob diese Maßnahmen ausgeführt werden, bevor die simulierte Zahlung abgeschlossen ist.
Dabei handelt es sich um vorgeschlagene Prüfungen für andere Institute, nicht um Feststellungen, dass Arkéa diese Kontrollen fehlten. Schwellenwerte und Genehmigungsregeln sollten sich an den Zahlungsvolumina und betrieblichen Anforderungen der jeweiligen Bank orientieren.
Das nützliche Ergebnis sind Belege dafür, ob die getestete Lieferantenverbindung unbefugte Zahlungen ermöglicht, ob die Überwachung den Versuch erkennt und ob Mitarbeiter eingreifen können, bevor Geld abfließt. Eine Lieferantenbewertung oder ein unauffälliger Schwachstellenscan allein kann dieses Ergebnis nicht nachweisen.
Informiert bleiben: Verfolgen Sie die Cybersicherheitsbedrohungen und Lieferantenrisiken, die europäische Unternehmen betreffen. Tech Insider Europe abonnieren – mit kostenloser Berichterstattung über die Technologie-, KI- und Sicherheitsentwicklungen der Region.