黑客侵兩銀行勒索百萬 盜9萬客資料多人破財
【明報專訊】加拿大第四大銀行滿地可銀行(BMO)和網上銀行Simplii Financial傳出數據泄漏事故,有黑客聲稱取得一共多達9萬個客戶的個人和財務戶口資料。有消息指,聲稱取得上述銀行資料者向傳媒發出電郵,勒索銀行100萬元,威脅贖金不到手便會將資料賣給罪犯。
網上有部分自稱為Simplii的客戶,稱其戶口的金錢在剛過去的周末被黑客盜走。專家懷疑兩宗事故是同一班黑客所為。
據悉,該電郵寫道:「罪犯會利用Simplii和BMO客戶的資料,工卡號碼(SIN)、出生日期和所有其他個人資料去申請信貸產品。」
電郵的結尾附有一些資料本樣本,為安省一男子和卑詩一女子的姓名、出生日期、工卡號碼和戶口結餘。
電視台CBC聯絡電郵內該卑詩女子,對方確認有關資料是正確,連電郵內她戶口三條保安問題也是準確。
滿銀指,黑客聲稱偷去敏感資料,有可能是屬於近5萬名客戶的信息,並威脅會將信息公開,滿銀稱,相信攻擊來自加拿大以外,但不肯詳述何種數據受影響。
發言人加瑪爾(Pal Gammal)說﹕「我們了解到未經驗證的說法,稱客戶個人和財務數據可能被詐騙者獲取。有人發出威脅。我們的做法是不會向騙子付錢。我們聚焦保護和幫助客戶。」
加瑪爾說,銀行在進行全面調查,並於相關機構配合。
除滿銀外,加國另一大銀行,加拿大帝國商業銀行(CIBC)旗下的網上銀行Simplii Financial也說,亦收到資料泄漏的通知,並涉及4萬戶的資料。
兩間銀行均指在前日(周日)收到騙走的通知,而銀行於昨日早上披露有關事件。
Simplii昨日說,它周日得知該信息,已經引入額外網上保安措施,例如加強網上詐騙監督,增加與相關機構的合作。
加瑪爾說,滿銀與Simplii的兩宗數據被竊事件看似相關,而銀行正聯絡受影響的客戶。
皇家騎警證實警方正在積極調查事故,但未有作進一步說明。
Simplii去年才成立,現有約200萬戶,不少是President's Choice Financial的前客戶,當時CIBC與超市集團Loblaw Cos. Ltd.結束兩公司約20年的合作關係。
Simplii指,會聯絡受影響客戶,又承諾給詐騙影響的客戶全數退還款項。發言人Olga Petrycki指,銀行嚴謹處理事件和已採取行動去加強監控和保安措施,現正在調查報稱損失金錢報告的真確性和查看哪些資料可能被取讀。
暫時尚未有[象顯示CIBC的客戶受到是次資料泄漏事故所影響,而加拿大其餘數間大銀行,皇家銀行(RBC)、豐業銀行(Scotiabank)和道明銀行(TD Bank)均指沒有[象顯示它們有客戶數據被泄。
滿銀和帝國商業銀行均表示,它們將聯絡客戶,建議客戶監察帳戶,有任何可疑活動都通知銀行。
聯邦財政部長莫奈(Bill Morneau)的發言人斯威特(Jocelyn Sweet)說,部長已經和兩間銀行的主管溝通。她透過電郵說:「我們與聯邦財務機構監管辦公室(Office of the Superintendent of Financial Institutions)密切監控情況,而銀行在配合執法機構調查事件。」
隱私專員辦公室周一說,已接到兩間金融機構的匯報。
當被問及資料泄漏的消息來源時,銀行沒有直接回應。
網絡保安研究員塞古拉(Jerome Segura)表示,黑客自行通知資料被盜機構的情況是很罕有,因為此舉會使黑客得到的資料變得不再值錢。
他指,勒索者取得一定數量的數據,並會顯示證據去證明和勒索銀行聲稱會公開那些資料。
網絡防禦公司的梅森(David Masson)指,認為兩宗事故的騙徒為同一班人是合理懷疑,據他所看到而言,他懷疑攻擊有可能屬魚叉式攻擊(spear phishing)。它與一般釣魚式攻擊(Phishing)不同;釣魚式是隨意性,希望有人會墮入陷阱,而魚叉式則有針對性,利用技術去讓目標交出重要數據。
梅森稱,進行魚叉式攻擊者甚至會挑選在銀行和金融機構內的人士,以他們為攻擊對象,「即使有99個人醒目,但(施襲者)只需一個不是便足夠。」