美国公布抢劫全球银行的北朝鲜骇客集团BeagleBoyz分析报告

美国财政部、网络安全暨基础架构安全署（Cybersecurity and Infrastructure Security Agency，CISA）、联邦调查局（FBI）与美国国防部旗下的网络司令部（U.S. Cyber Command，USCYBERCOM），在本周公布了针对席卷全球多国银行，盗走近20亿美元的北朝鲜骇客集团BeagleBoyz分析报告。BeagleBoyz隶属于北朝鲜骇客组织HIDDEN COBRA，也是在2016年企图盗走台湾远东银行6,000万美元的元凶。

根据美国的调查，BeagleBoyz现身于2014年，自2015年到2020年间锁定全球数十个国家的金融机构发动攻击，涵盖台湾、孟加拉、巴西、印度、日本、新加坡、乌干达、智利及韩国等，尝试自当地的金融机构窃取近20亿美元的金额，最恶名昭彰的一次，是在2016年时成功自孟加拉银行取走8,100万美元。

骇客行动为北朝鲜-主要的财务来源之一，该研究并未公布BeagleBoyz真正得手的金额，仅说不法所得最终都流向了北朝鲜的银行，但揭露了该集团的攻击手法，同时也提供缓解措施。

外界将BeagleBoyz抢劫全球银行的行动称为FASTCash，该集团先借由网钓、水坑攻击，或是委托第三方骇客取得入侵受害银行网络的管道，接着寻找特定的攻击目标并长驻系统，一方面下载其它恶意程式，另一方面还会躲避侦测，再取得关键凭证。

BeagleBoyz相准银行内部的两大系统，一是与环球银行金融电信协会（SWIFT）介接的终端系统，二则是负责银行支付交换应用的服务器。SWIFT为银行与其它银行或分行交流的平台，骇客借由建立伪造的电文，把资金盗转到骇客的账号；而在入侵了支付交换系统之后，骇客则可指示该行在全球的提款机（ATM）同时吐钞。

孟加拉银行及远东银行的案例属于前者，骇客企图透过孟加拉央行的SWIFT终端机，指使美国纽约联邦储备银行转出9.51亿美元，骇客原本准备分数十次盗转该款项，但在成功移转8,100万美元之后就被发现而阻止；骇客亦试图透过远银的SWIFT系统盗转6,000万美元。

至于后者的攻击场景则更像科幻片，在2017年时，攻陷银行支付交换系统的BeagleBoyz让散布在全球逾30个国家的ATM同时吐钞，隔年亦成功让23个国家的ATM在同一时间自动吐钞。台湾的第一银行也曾在2016年，发生类似的遭骇事件。

该报告建议全球的金融机构应该全面性强化其安全措施，才能有效防堵FASTCash攻击，任何单一的防范机制都是不足的，从强化发送电文的凭证认证、独立支付系统架构、将重要任务与操作环境隔离、加密与凭证有关的所有传输，到监控异常行为等，当然也包括最基本的即时修补各种安全漏洞、关闭不用的连网服务、严格规定使用权限、采用防火墙与安全软件，以及限制员工的下载及随身碟的使用行为等。