Châu Âu giật mình trước lỗ hổng an ninh mạng sau vụ ngân hàng Pháp bị mất cắp hơn 100 triệu euro
Vụ tin tặc đánh cắp hơn 100 triệu euro từ Crédit Mutuel Arkéa, một ngân hàng tại Pháp, bộc lộ lỗ hổng an ninh đang làm rung chuyển ngành tài chính châu Âu.
Đáng chú ý, các đối tượng không tấn công trực tiếp hệ thống giao dịch của khách hàng mà chiếm quyền kiểm soát máy tính của một bên thứ ba được cấp quyền thực hiện giao dịch, qua đó tiếp cận nguồn vốn của chính ngân hàng. Sự việc phơi bày những lỗ hổng an ninh mà các định chế tài chính vốn tự tin có thể kiểm soát.
Cú sốc hơn 100 triệu euro từ lỗ hổng an ninh một ngân hàng Pháp
Các ngân hàng châu Âu từ lâu được xem là một trong những lĩnh vực có năng lực phòng thủ an ninh mạng tốt nhất, nhờ hệ thống quản trị rủi ro nghiêm ngặt và sự giám sát thường xuyên của cơ quan quản lí. Tuy nhiên, vụ tấn công nhằm vào Crédit Mutuel Arkéa, được tiết lộ ngày 4/11, đã khiến ngành tài chính phải nhìn nhận lại mức độ an toàn của chính mình.
Tin tặc đã đánh cắp hơn 100 triệu euro từ ngân hàng có trụ sở tại vùng Bretagne, Pháp. Con số thiệt hại cuối cùng vẫn chưa được xác định.
Điểm đáng chú ý là phương thức tấn công có nhiều nét tương đồng với vụ xâm nhập nền tảng tiền mã hóa Binance ngày 29/10. Thay vì trực tiếp phá vỡ hệ thống bảo mật trung tâm, tin tặc chiếm quyền kiểm soát máy tính của một bên thứ ba được ngân hàng cấp quyền thực hiện giao dịch. Nhờ đó, chúng có thể tiếp cận sâu vào hệ thống và thực hiện những lệnh chuyển tiền có giá trị lớn.
Các đối tượng đã rút hơn 100 triệu euro từ nguồn vốn chủ sở hữu khoảng 10 tỉ euro của Crédit Mutuel Arkéa. Số tiền sau đó được chuyển đổi thành tiền mã hóa và phân tán qua nhiều nền tảng giao dịch khác nhau.
Trong số các nền tảng tiếp nhận dòng tiền có Kraken, một sàn giao dịch tiền mã hóa của Mỹ. Kraken phát hiện những khoản chuyển tiền bất thường có quy mô lớn liên quan đến một ngân hàng châu Âu và phát cảnh báo hôm 3/11, đồng thời chặn các giao dịch đang diễn ra.
Theo các chuyên gia chia sẻ trên Le Monde, đây là sự kiện chưa từng có tiền lệ trong lĩnh vực tài chính châu Âu. Một chuyên gia kì cựu về an ninh mạng ngân hàng bày tỏ sự kinh ngạc trước mức độ thiệt hại, đồng thời nhận định vụ việc sẽ tạo ra làn sóng lo ngại trong toàn ngành.
Gabriel de Brosses, nhà sáng lập kiêm lãnh đạo công ty tư vấn Tevarua Conseil, cựu phụ trách an ninh mạng tại Groupe La Poste, cũng đánh giá đây là một cuộc tấn công có quy mô và mức độ thiệt hại chưa từng thấy. Theo ông, những vụ việc như vậy vốn không thường xảy ra đối với các ngân hàng.
Phá vỡ niềm tin vào hệ thống phòng thủ của ngân hàng
Điều khiến giới chuyên gia lo ngại không chỉ là số tiền bị đánh cắp, mà còn là việc tin tặc có thể vượt qua nhiều lớp kiểm soát vốn được thiết kế để ngăn chặn những giao dịch tài chính bất thường.
Ngành ngân hàng từ lâu được đánh giá có mức độ trưởng thành cao về an ninh mạng. Các tổ chức tín dụng phải tuân thủ hàng loạt quy định nghiêm ngặt, chịu sự giám sát của nhiều cơ quan quản lí và thường xuyên trải qua các đợt kiểm tra, đánh giá hệ thống.
Gabriel de Brosses cho biết lĩnh vực ngân hàng chịu sự giám sát rất chặt chẽ từ các cơ quan quản lí. Tại châu Âu, Ngân hàng Trung ương châu Âu (ECB) và Cơ quan Giám sát và Giải quyết các định chế tài chính Pháp (ACPR) liên tục tiến hành kiểm tra, kiểm toán và đánh giá khả năng kiểm soát rủi ro của các ngân hàng.
Một chuyên gia an ninh mạng ngân hàng cũng xác nhận các yêu cầu quản lí trong lĩnh vực này đặc biệt khắt khe, với nhiều lớp giám sát được triển khai nhằm phát hiện những dấu hiệu bất thường.
Chính vì vậy, việc hơn 100 triệu euro có thể bị rút khỏi ngân hàng mà không được ngăn chặn kịp thời đặt ra hàng loạt câu hỏi về hiệu quả của hệ thống kiểm soát nội bộ.
Theo Gabriel de Brosses, các ngân hàng thông thường phải có nhiều cơ chế để ngăn chặn những dòng tiền lớn không được kiểm soát. Những giao dịch vượt ngưỡng hoặc có dấu hiệu bất thường đáng lẽ phải kích hoạt cảnh báo và quy trình xác minh.
Vụ việc cho thấy chỉ cần một mắt xích được cấp quyền hợp pháp bị xâm nhập, tin tặc có thể lợi dụng chính những quyền truy cập được thiết lập để vận hành hệ thống. Đây là một dạng rủi ro đặc biệt nguy hiểm bởi các biện pháp bảo vệ truyền thống thường tập trung vào việc ngăn chặn những đối tượng không được phép truy cập từ bên ngoài.
Trong khi đó, những tài khoản hoặc thiết bị đã được xác thực có thể trở thành cửa ngõ để kẻ tấn công tiếp cận các khu vực nhạy cảm hơn.
Vụ tấn công cũng đặt ra yêu cầu phải đánh giá lại cách ngân hàng quản lí quyền truy cập của bên thứ ba, giám sát thiết bị được ủy quyền và xác minh những giao dịch có giá trị lớn. Trong một hệ thống tài chính kết nối ngày càng sâu rộng, bảo vệ mạng lưới nội bộ thôi là chưa đủ nếu các đối tác và nhà cung cấp dịch vụ cũng có thể trở thành điểm yếu.
Tiền mã hóa trở thành mắt xích trong đường dây tẩu tán tài sản
Một câu hỏi lớn khác sau vụ tấn công là danh tính của những kẻ đứng sau. Hiện chưa có kết luận chính thức về thủ phạm, nhưng các chuyên gia đang xem xét nhiều giả thuyết.
Vụ tấn công Binance ngày 29/10, với số tài sản bị đánh cắp lên tới hàng tỉ USD, được các chuyên gia và cơ quan chức năng Mỹ quy trách nhiệm cho Triều Tiên song đã bị Bình Nhưỡng bác bỏ.
Còn vụ tại Pháp, ZachXBT, chuyên gia điều tra độc lập nổi tiếng trong lĩnh vực bảo mật tiền mã hóa và truy vết hoạt động rửa tiền, cho rằng vụ tấn công Crédit Mutuel Arkéa không xuất phát từ Triều Tiên.
Đây cũng là người đầu tiên phát hiện những giao dịch đáng ngờ và hoạt động luân chuyển tài sản liên quan đến vụ việc hôm 3/11, trước khi cảnh báo cộng đồng trên mạng xã hội Telegram.
Một chuyên gia an ninh mạng ngân hàng nhận định khả năng các tổ chức tội phạm liên quan đến buôn bán ma túy đứng sau vụ việc cũng cần được xem xét. Những nhóm này ngày càng sở hữu nguồn lực tài chính và năng lực công nghệ đáng kể, trong khi hoạt động rửa tiền đã trở thành một phần trong hệ sinh thái tội phạm của chúng.
Một giả thuyết khác là sự tiếp tay từ bên trong, chẳng hạn nhân viên bất mãn hoặc người có hiểu biết sâu về quy trình vận hành ngân hàng. Gabriel de Brosses cho rằng quy mô số tiền bị đánh cắp và mức độ kín đáo của hoạt động cho thấy đây là một cuộc tấn công rất tinh vi, đòi hỏi sự am hiểu chi tiết về các thủ tục ngân hàng.
Dù chưa xác định được thủ phạm, hậu quả tài chính đối với Crédit Mutuel Arkéa đã khá rõ ràng. Ngân hàng này có lợi nhuận thường niên khoảng 430 triệu euro, do đó khoản tiền bị đánh cắp tương đương gần một phần tư lợi nhuận ròng trong một năm. Tuy nhiên, khách hàng không bị ảnh hưởng bởi vụ việc và ngân hàng là bên trực tiếp gánh chịu thiệt hại. Đối với tập đoàn mẹ Crédit Mutuel, khoản thất thoát tương đương khoảng 2,2% kết quả kinh doanh thường niên.
Các ngân hàng vốn vẫn phải đối mặt với những khoản lỗ do khách hàng doanh nghiệp mất khả năng thanh toán, như trường hợp các tập đoàn bán lẻ Casino hay viễn thông Altice. Nhưng việc một ngân hàng châu Âu, đặc biệt là ngân hàng Pháp, mất một khoản tiền lớn do bị tin tặc trực tiếp chiếm đoạt là điều chưa từng có tiền lệ.
Một ngân hàng trong ngành tài chính Pháp nhận định đây là hồi chuông cảnh tỉnh đối với toàn bộ hệ thống tài chính Pháp và châu Âu. Vụ việc chứng minh rằng ngay cả những ngân hàng truyền thống, vốn được xem là có hệ thống phòng thủ vững chắc, cũng không nằm ngoài tầm ngắm của tội phạm mạng.
Trong lúc tiền mã hóa ngày càng trở thành phương tiện luân chuyển tài sản xuyên biên giới, ranh giới giữa an ninh ngân hàng truyền thống và an ninh tài sản số cũng đang trở nên mong manh hơn. Vụ Crédit Mutuel Arkéa cho thấy cuộc chiến chống tội phạm mạng không còn chỉ là bảo vệ dữ liệu hay tài khoản khách hàng, mà còn là bảo vệ chính nguồn vốn và sự ổn định của các định chế tài chính.