История атаки на Центробанк Бангладеш — это не только про миллиард долларов на кону. Она показывает, как фишинг, слабая внутренняя сеть и одна неверная деталь в платёжных реквизитах могут сорвать схему, которую готовили неделями. Для банков и компаний это хороший разбор на тему базовой цифровой гигиены: пароли, 2FA, изоляция критичных систем и внимательная проверка каждого запроса.

Какую проблему решаем

Разбор этой атаки полезен не только банкам. Любая организация, где сотрудники открывают письма, работают с платёжными системами и хранят доступы в общей сети, рискует столкнуться с похожим сценарием: сначала фишинг, потом закрепление внутри инфраструктуры, а затем попытка вывести деньги или данные.

Здесь особенно заметны три слабых места. Первое — письмо с вредоносным вложением, которое запускает цепочку заражения. Второе — отсутствие жёсткой сегментации сети. Третье — слепое доверие к автоматике, когда система почти не смотрит на смысл запроса и полагается на формальные признаки.

Для понимания общей логики атаки полезно держать в голове и другие типовые сценарии. Например, Ghostwriter атакует госорганы через фишинг с вредоносом — это тот же базовый принцип: письмо, доверие, компрометация рабочего места.

Что подготовить

Если вы хотите использовать этот кейс как внутренний урок, достаточно трёх вещей.

Во-первых, список критичных систем: платёжные терминалы, бухгалтерские станции, серверы с ключами и админские учётные записи. Во-вторых, схему сети с чётким разделением рабочих мест и защищённого контура. В-третьих, простой регламент: кто открывает вложения, кто подтверждает платежи и как быстро реагировать на странные события.

Ещё один практичный слой — личная защита сотрудников. Менеджер паролей и 2FA снижают ущерб даже тогда, когда один пароль уже утёк. А для тех, кто часто подключается к публичным сетям, личный сервис для защищённого подключения помогает не оставлять лишних следов в открытой сети.

Пошаговые действия

1. Закройте вход через письма

Атака на банк началась с обычного фишинга. Сотруднику прислали резюме, а вместе с ним — вредоносный файл.

Вывод простой: запретите открывать вложения с незнакомых адресов без проверки, включите фильтрацию почты и обучайте сотрудников распознавать подозрительные письма. Это скучно, но именно такие меры чаще всего ломают цепочку атаки ещё в начале.

2. Изолируйте критичные узлы

Терминал, через который идут платёжные операции, не должен жить в одной сети с офисными компьютерами. В истории с бангладешским центробанком эта ошибка стоила очень дорого.

Разделяйте сеть по зонам, ограничивайте доступ по принципу минимальных прав и не ставьте на критичном участке дешёвое оборудование без контроля. Если обычный рабочий компьютер может дотянуться до платёжного контура, это уже не защита, а иллюзия защиты.

3. Проверьте журналы, печать и ручные сигналы тревоги

Хакеры специально отключили печать, чтобы скрыть транзакции. Это важная деталь: цифровой контроль без физической или независимой проверки часто слепнет.

Полезно держать отдельные журналы операций, независимые уведомления и ручной контроль подозрительных платежей. Если у вас есть автоматическая цепочка согласования, она должна включать второй канал подтверждения, а не только техническую галочку.

4. Не доверяйте одной проверке

В атаке на Центробанк Бангладеш злоумышленники подделали запросы так, что они выглядели рутинно. Формально всё было похоже на нормальную операцию, но именно мелкая ошибка в одном из названий спасла ситуацию и привлекла внимание.

Это хороший урок для всех, кто работает с заявками и платежами: автоматическая проверка нужна, но её мало. Смысл запроса должен смотреть человек, особенно если речь идёт о крупных суммах или нестандартных получателях.

5. Держите резервный сценарий

Когда система молчит или ведёт себя странно, время играет против вас. Нужен план на случай, если почта скомпрометирована, рабочая станция заражена, а платёжный контур уже под вопросом.

Здесь пригодятся отдельные админские учётные записи, резервные каналы связи и чёткая цепочка эскалации. Иначе вы узнаете о проблеме слишком поздно — когда деньги уже ушли, а следы начали стирать.

Как проверить себя

Проверьте, может ли обычный офисный компьютер попасть в сеть, где идут платежи. Посмотрите, есть ли у сотрудников отдельные учётные записи для работы и администрирования. Убедитесь, что почта фильтрует вложения, а не просто пересылает всё подряд.

Полезно задать себе ещё три вопроса. Есть ли у вас 2FA на всех критичных доступах? Понимает ли бухгалтерия, как выглядит подозрительный запрос? И заметите ли вы пропажу денег без печатного лога, если принтер или журнал внезапно замолчит?

Для читателей, которые пытаются разобраться с сетевыми сбоями и путают их с проблемами доступа, пригодится и практический материал про почему не работает телеграмм через мобильный интернет — в таких историях важно сначала отделить реальную техническую неполадку от атаки или блокировки со стороны инфраструктуры.

Что делать, если не получилось

Если у вас уже есть подозрение на заражение, не тратьте время на долгие переписки. Отключите проблемную машину от сети, смените пароли на критичных учётных записях, проверьте журналы доступа и срочно свяжитесь с ИБ-специалистами.

Если речь идёт о платёжной инфраструктуре, временно остановите подозрительные операции и включите ручную проверку. Лучше потерять несколько часов, чем потом разбирать миллионные списания.

Практический чек-лист

  • Проверить, изолирован ли платёжный или админский контур от офисной сети.
  • Включить 2FA на всех критичных учётных записях.
  • Запретить открывать вложения из подозрительных писем без проверки.
  • Настроить отдельный журнал или независимое уведомление о важных операциях.
  • Убедиться, что у сотрудников есть понятный порядок эскалации на случай инцидента.
  • Пройтись по списку прав доступа и убрать лишнее.
  • Проверить, не могут ли рабочие станции напрямую видеть критичные серверы.
  • Подготовить резервный канал связи для срочных подтверждений.
Поделиться: