Các tin tặc giật được 8,300 đăng nhập của khách hàng từ máy chủ của ngân hàng

Hackers pluck 8,300 customer logins from bank server

New variation on an old theme scheme

By Dan Goodin in San Francisco • Get more from this author

Posted in Crime, 12th January 2010 22:29 GMT

Các tin tặc đã ăn cắp được các ủy nhiệm đăng nhập của hơn 8,300 khách hàng của ngân hàng nhỏ ở New York sau khi đánh thủng an ninh và truy cập được vào một máy chủ mà lưu hệ thống ngân hàng trực tuyến của ngân hàng này.

Sự thâm nhập trái phép tại Ngân hàng Quốc gia Tỉnh Suffolk đã xảy ra qua một chu kỳ 6 ngày bắt đầu vào hôm 18/11, theo một công bố được đưa ra hôm chủ nhật. Nó được hé lộ hôm 24/12 trong một cuộc phỏng vấn về an ninh nội bộ. Tổng ố, có 8,378 ủy nhiệm các tài khoản trực tuyến đã bị đánh cắp, một con số đại diện cho ít nhất 10% tổng số của SCNB.

“Dù những sự đột nhật này đã được hạn chế về thời gian và phạm vi, SCNB ngay lập tức cô lập và xây dựng lại máy chủ bị tổn thương và đã tiến hành các biện pháp khác để đảm bảo cho an ninh dữ liệu trên máy chủ này”, ngân hàng có trụ sở cách New York City khoảng 1 giờ đồng hồ về phía đông, nói. “Tới giờ, SCNB đã thấy không có bằng chứng nào về bất kỳ sự truy cập trái phép nào vào các tài khoản ngân hàng trực tuyến, cũng không nhận được bất kỳ báo cáo nào về hoạt động không bình thường hay các báo cáo về mất mát tài chính đối với các khách hàng của mình”.

Lỗ hổng này thể hiện một biến thể trong các dạng tấn công truyền thống lên ngân hàng trực tuyến. Những kẻ tấn công không gian mạng thường đánh vào các khách hàng bằng việc lén lút cấy các phần mềm độc hại vào các máy tính mà chúng đưa vào tên và mật khẩu của họ. FBI ước lượng rằng mất mát về ngân hàng trực tuyến đối với chỉ riêng các doanh nghiệp vừa và nhỏ đã đạt đới 100 triệu USD.

Ngược lại, việc truy cập một máy chủ mà lưu trữ các ủy nhiệm trực tuyến đối với hàng chục ngàn khách hàng không phải là dạng thâm nhập trái phép được nghe thấy mỗi ngày. Những kinh nghiệm tốt nhất về an ninh rõ ràng rằng các mật khẩu phải không bao giờ được lưu giữ trên các máy chủ trừ phi chúng được mã hóa.

Ngân hàng này đã bắt đầu lưu ý cho các khách hàng bị lây nhiễm chiều chủ nhật sử dụng thư cấp 1. Việc để chậm trễ trong 2 tuần “là cần thiết để tiến hành nhiều sắp xếp sao cho chúng tôi có thể đưa ra được một tuyên bố chính thức về những gì đã xảy ra”, Douglas Ian Shaw, thư ký doanh nghiệp của ngân hàng này, nói. Các khách hàng bán lẻ mà các chi tiết của họ bị lấy cắp sẽ được chào các dịch vụ giám sát tín dụng có giá trị trong 2 năm bằng chi phí của SCNB.

Trong Quý IV, ngân hàng này đã chi ngân sách 351,000 USD, hoặc khoảng 4 xu cho một cổ phiếu, các chi phí liên quan tới sự thâm nhập này. Các chi phí bổ sung có thể sẽ phát sinh.

Hackers have stolen the login credentials for more than 8,300 customers of small New York bank after breaching its security and accessing a server that hosted its online banking system.

The intrusion at Suffolk County National Bank happened over a six-day period that started on November 18, according to a release (PDF) issued Monday. It was discovered on December 24 during an internal security review. In all, credentials 8,378 online accounts were pilfered, a number that represents less than 10 percent of SCNB's total

"Although the intrusion was limited in duration and scope, SCNB immediately isolated and rebuilt the compromised server and took other measures to ensure the security of data on the server," the bank, located about an hour east of New York City, stated. "To date, SCNB has found no evidence of any unauthorized access to online banking accounts, nor received any reports of unusual activity or reports of financial loss to its customers."

The breach represents a variation on more traditional types of attacks on online banking. Cyber crooks typically target customers by surreptitiously planting malware on their computers that log their user name and password. The FBI estimates that online banking losses to small and medium-sized businesses alone have reached $100m.

By contrast, accessing a server that storing online credentials for tens of thousands of customers isn't the kind of intrusion one hears about every day. Best security practices are clear that passwords should never be stored on servers unless they are encrypted.

The bank began notifying affected customers on Monday evening using first-class mail. The two-week delay "was necessary for making a lot of arrangements so we could come out with an absolutely conclusive statement about what happened," said Douglas Ian Shaw, the bank's corporate secretary. Retail customers whose details were lifted will be given two years worth of credit monitoring services at SCNB's expense.

In the fourth quarter, the bank budgeted $351,000, or about 4 cents per share, to account for expenses related to the intrusion. Additional expenses may be incurred. ®

Dịch tài liệu: Lê Trung Nghĩa

letrungnghia.foss@gmail.com