印表機凸槌 孟加拉央行被駭盜27億元

孟加拉中央銀行海外帳戶遭駭客盜走八千一百萬美元（約台幣廿七億元），根據央行兩名官員向警方提交的報告，是因駭客植入惡意軟體，操控央行的印表機隱匿存款遭到盜取的紀錄。

被駭走巨款的是孟加拉央行在紐約聯邦準備銀行的帳戶。報告指出，央行用來進行國際轉帳電匯款項的一部電腦和一部印表機遭到駭客入侵操縱，以致央行無法看見要求匯出電匯與確認收到電匯的紀錄。

也因此，匯款在央行毫無察覺下，進入駭客指定的帳戶。駭客企圖盜走約十億美元，最後得手八千一百萬美元。

孟加拉銀行和轉帳系統連接的電腦，理應保存可讓職員輕易查看的匯款紀錄。二月五日官員發現印表機故障，未自動列印所有電匯紀錄。

因當天是星期五即將休假，並未立即將系統修復，二月八日星期一官員進入電腦系統列印出訊息，發現紐約聯邦準備銀行傳了三則訊息，詢問數筆可疑匯款的資訊。在這四天空檔，駭客已將贓款匯入菲律賓銀行帳戶，轉匯往當地賭場進行洗錢。

孟加拉央行總裁拉曼和兩名副總裁已因這樁有如電影情節的醜聞丟官。

菲國調查人員仍在了解，這些錢如何轉至菲國以及後來下落。

菲國賭場不受許多反洗錢法令規範。菲國參議員歐斯曼納說：「他們挑我們洗這筆錢，因為我們的體系充滿漏洞。數十年來我們一直想修法，但在國會過不了關。」

有如電影情節？確實是可以拿去拍電影！

孟加拉央行遭盜轉，報導：10美元二手交換器惹的禍

孟加拉央行存放在美國聯準會聯邦儲備銀行紐約分行的存款在今年3月遭到駭客成功盜轉8100萬美元，路透社本周引述孟加拉鑑識培訓中心的負責人Mohammad Shah Alam表示，該行採用了只要10美元的二手交換器來連結SWIFT全球金融電信網路，此一廉價路由器甚至沒有防火牆功能，才讓駭客輕易得手。

駭客集團是在今年2月入侵了孟加拉央行的系統，企圖從該行位於聯邦儲備銀行紐約分行的帳戶轉出9.51億美元，駭客原本打算分數十次盜轉上述基金，但在第五次要轉帳至偽造的斯里蘭卡非營利組織Shalika Foundation時，把Foundation誤打成Fandation，因而引起注意，使得孟加拉央行停止了之後的轉帳，最後駭客只成功轉出8100萬美元到菲律賓的偽造帳戶。

Alam認為孟加拉央行與SWIFT雙方都有疏失，孟加拉央行不應使用缺乏基本安全功能的廉價交換器來連結SWIFT，而SWIFT則未善盡規勸責任。

駭客藉由脆弱的交換器設備於孟加拉央行的系統上植入了惡意程式，以截獲可用來進行轉帳的憑證，還抹去了相關行動的紀錄。

高階交換器的售價可能高達數百美元，孟加拉央行卻使用廉價且低階的二手交換器，Alam說，若有防火牆的保護，駭客應該不容易入侵孟加拉央行的系統。在事件發生後，SWIFT派出工程師造訪孟加拉央行，才建議該行升級系統。

喔～「只要10美元的二手交換器」？這叫做「省小＄＄花大＄＄」！

孟加拉央行盜轉案後近4個月 ，SWIFT終於表態願採用雙因子認證

孟加拉央行在2月初於美國聯準會下紐約聯邦儲備銀行帳戶遭盜轉8100萬美元近4個月後，一度矢口否認自家系統可能存在安全漏洞的SWIFT一改起初的自信，終於在資安專家批評其安全防護措施過時且缺乏安全通知機制下，陸續調整許多資安措施，並要求會員銀行加強提高安全防護，如今該組織更首度表示，將會採用雙因子認證機制來加強安全防護。

此消息一出，馬上引起外界猛烈抨擊。美國國土安全部前副助理秘書長Paul Rosenzweig立刻撰文抨擊SWIFT竟然事到如今才願意採用早已廣泛被金融機構採用的雙因子認證，顯示這個組織根本連採取最基本措施來保障用戶安全的概念都闕如。

Rosenzweig認為，SWIFT最大的問題不在於沒有採用必要的技術來加強防護，而是根本沒有風險管理與組織治理的概念，對於一個在全球金融體系核心位置的組織來說，十分糟糕。他更引用曾有世界頭號駭客之稱的Kevin Mitnick的名言「沒有修補程式能夠修補人類的愚蠢」，來比喻SWIFT。

「沒有修補程式能夠修補人類的愚蠢」沒錯！特別是「山寨國」完全無法修補！