6,3 miliarda dolarów, które hakerzy wykradli z Binance – największej giełdy kryptowalut na świecie – 29 października, łatwo było początkowo uznać za problem dotyczący wyłącznie krypto. Mniej niż tydzień później ta interpretacja upadła. Crédit Mutuel Arkéa, francuski bank, poinformował, że atakujący wynieśli z jego systemów około 100 milionów euro (112 milionów dolarów).

Kolejne włamania podkreślają, że cybernapady zagrażają już tradycyjnym bankom, a nie tylko platformom aktywów cyfrowych. W obu przypadkach punktem wejścia atakujących było zaufanie ludzkie lub wobec podmiotów trzecich, a nie bezpośrednie przełamanie systemów podstawowych.

„Zagrożenia, przed którymi stoją banki, są przytłaczające”

Przedstawiciele branży argumentują, że to wydarzenie mówi tyle samo o tradycyjnych finansach, co o krypto. „Jeśli firma taka jak Binance może stracić miliardy dolarów, zagrożenia, przed którymi stoją banki, są przytłaczające” – powiedział Ryan Kirkley, współzałożyciel i dyrektor generalny Global Settlement, firmy rozwijającej infrastrukturę blockchain dla banków. Mówiąc 10 listopada na Digital Asset Summit w Londynie, dodał: „Dla przeciętnego banku utrzymanie bezpieczeństwa jest niemożliwe”.

Założyciel i były szef Binance, Changpeng Zhao, poszedł dalej. „Jeśli hakerzy mogą zaatakować giełdę kryptowalut, banki są – moim zdaniem – w gorszej sytuacji” – powiedział CoinDesk kilka dni po napadzie.

Jak doszło do włamania na Binance

Atakujący stojący za kradzieżą z Binance połączyli inżynierię socjalną ze złośliwym oprogramowaniem, by przejąć kontrolę nad portfelami kryptowalutowymi i opróżnić je ze środków. W ramach inscenizowanej kampanii rekrutacyjnej zorganizowali serię fałszywych rozmów o pracę, mających przekonać inżyniera Binance do nieświadomego pobrania malware, co dało hakerom drogę do wewnętrznych systemów firmy.

Szkody zostały od tego czasu częściowo opanowane. FBI zabezpieczyło 1,2 miliarda dolarów skradzionych kryptowalut, a Binance potwierdziło, że „uzupełniło” około 98% łącznej dotkniętej kwoty. Mimo to ta kwota obejmuje mniej niż jedną piątą pierwotnej łupu, a większość skradzionych aktywów pozostaje nieodzyskana.

„Nie są automatycznie bezpieczniejsze”

Według Kateriny Mitrokotsy, profesor cyberbezpieczeństwa na Uniwersytecie St. Gallen w Szwajcarii, luki wykorzystane w Binance nie są wyjątkowe dla krypto: te same słabości istnieją w tradycyjnych instytucjach finansowych. „Banki nie są automatycznie bezpieczniejsze tylko dlatego, że są regulowane” – powiedziała.

Regulatorzy po obu stronach Atlantyku uważnie przyglądają się sytuacji. W Stanach Zjednoczonych Rezerwa Federalna i Urząd Kontrolera Waluty (OCC) od 2 listopada dzwonią do banków, pytając o nietypowe aktywności i zakłócenia usług, jak podał Reuters. W lipcu Europejski Bank Centralny napisał do szefów 110 banków, ostrzegając przed ryzykiem związanym z granicznymi modelami AI, które – jak stwierdził – sprawiają, że „identyfikowanie i wykorzystywanie luk w systemach IT jest szybsze i tańsze”.

Gdzie banki mają przewagę

Tradycyjne banki mają pewne atuty względem platform kryptowalutowych – według Viviena Mury, dyrektora technologii Orange Cyberdefense, działu cyberbezpieczeństwa francuskiej grupy telekomunikacyjnej Orange. Unijny akt o operacyjnej odporności cyfrowej (DORA), obowiązujący od stycznia 2025 roku, wymaga od banków testowania zabezpieczeń i zgłaszania incydentów cybernetycznych. „Korzystają też z mechanizmów, których brakuje platformom kryptowalutowym, takich jak możliwość blokowania lub cofania płatności oraz ścisła współpraca z nadzorcami i organami ścigania” – powiedział Mura.

Przyznał jednak, że te przewagi mają ograniczony zasięg. „Banki lepiej radzą sobie z absorbowaniem skutków dużego ataku i odzyskiwaniem po nim, ale niekoniecznie są lepsze w jego zapobieganiu”.

Dostawcy i przestarzałe systemy

Mitrokotsa wskazuje dwa uporczywe słabe punkty: długi łańcuch zewnętrznych dostawców, od których zależą banki – ryzyko, które DORA próbuje adresować, poddając najbardziej krytycznych dostawców bezpośredniemu nadzorowi UE – oraz przestarzałą technologię, na której wciąż działa wiele banków.

Oba elementy wystąpiły w przypadku Crédit Mutuel Arkéa. Tam hakerzy uzyskali dostęp poprzez nieznanego dostawcę usług i wykorzystali konto samego banku do przeprowadzenia transakcji. Bank powiedział klientom, że incydent nie miał „żadnego wpływu” na ich aktywa.

„Skompromitowani dostawcy, pracownicy z podwyższonymi uprawnieniami, fałszywe propozycje pracy i nadużywanie narzędzi wewnętrznych są od lat rozpoznawanymi ryzykami i nie są charakterystyczne dla jednego sektora” – powiedział Lee Elliott, dyrektor ds. odporności i cyberbezpieczeństwa w UK Finance, brytyjskiej organizacji branży bankowej, w rozmowie z Fortune. Dodał, że banki korzystają również z praktyki sektora polegającej na wymianie informacji o zagrożeniach w ramach inicjatyw takich jak Financial Sector Cyber Collaboration Centre.

Kiedy lodówka staje się punktem wejścia

Atakujący już teraz eksplorują przestarzałe zasoby IT Europy poza sektorem bankowym. Od października hakerzy przejęli połączone z internetem systemy chłodnicze w supermarketach w ponad dwunastu krajach oraz w trzech francuskich bankach krwi. Danfoss, producent elektronicznych kontrolerów temperatury, powiedział, że większość dotkniętych urządzeń to starsze modele, które nie otrzymują już aktualizacji zabezpieczeń.

„Lodówka nie wygląda na zagrożenie bezpieczeństwa – i właśnie dlatego atakujący ją lubią” – powiedziała Mitrokotsa. „Banki mają ten sam problem. Wiele z nich wciąż uruchamia systemy podstawowe liczące dziesięciolecia, obok starych serwerów, systemów sterowania budynkami i zdalnego dostępu dostawców”.

Jej rada: banki powinny zacząć od znajomości każdego urządzenia podłączonego do swoich sieci, a następnie zadbać, by te, które nie muszą mieć dostępu do systemów podstawowych, zostały od nich odcięte.

Banki mogłyby nawet uczyć się od krypto, dodała Mitrokotsa. „Niektóre giełdy dzielą kontrolę nad kluczem między kilka stron, więc żaden pojedynczy komputer nie może samodzielnie zatwierdzić transferu – jak skarbiec wymagający jednoczesnego obrócenia dwóch kluczy. Atakujący, który przejmie jeden laptop, dostaje tylko część tego, czego potrzebuje”.

Agenci AI dodają nową warstwę ryzyka

Osobiste agenci AI stanowią kolejne nowe wyzwanie dla instytucji finansowych. Konsumenci coraz częściej korzystają z asystentów cyfrowych – takich jak Muse od Meta – do dokonywania zakupów lub płacenia rachunków w ich imieniu.

Niektóre banki zablokowały im drogę. Citigroup i Bank of America ograniczyły dostęp agentów AI do kont klientów, a szef JPMorgan Chase Jamie Dimon wezwał instytucje finansowe, by nie pozwalały autonomicznym agentom AI obsługiwać płatności bankowych, ostrzegając przed ich „zdradliwym” ryzykiem. W Wielkiej Brytanii HSBC, Nationwide, NatWest, Barclays i Lloyds również zablokowali agentom AI dostęp do swoich kont.

Inne europejskie banki przyjmują środkową, ostrożniejszą drogę. Santander i ING pozwalają agentom na dokonywanie płatności, ale tylko w granicach ustalonych wcześniej przez klienta lub po zatwierdzeniu każdego zakupu przez klienta.

Przy rosnącej liczbie zagrożeń cybernetycznych – oraz z uwagi na to, że większość 6,3 miliarda dolarów skradzionych z Binance pozostaje nieodnaleziona – włamanie do Crédit Mutuel Arkéa prawdopodobnie nie będzie ostatnim atakiem na europejski sektor finansowy.

Ta historia została pierwotnie opublikowana przez Fortune: fortune.com