La rapina digitale da 951 milioni di dollari e il vassoio vuoto

DHAKA, VENERDÌ 5 FEBBRAIO 2016, ORE 10:30 DEL MATTINO

Un uomo guarda il vassoio di una stampante e non trova niente. Per capire perché quel vassoio vuoto vale 951 milioni di dollari dobbiamo tornare indietro di due ore.

Siamo a Dhaka, in Bangladesh, nel quartiere di Motigil, che i bengalesi però chiamano tutti bankpara, il quartiere delle banche. Qui c’è tutto quello che conta: la residenza del presidente, lo stadio nazionale, la rotonda di Shapla Chattar Ciòt-bor con la fontana a forma di ninfea, il fiore nazionale.

Dhaka, è una delle città più densamente popolate del mondo, un intrico di strade, cavi sospesi e persone, È la stagione secca la città si sveglia immersa in una foschia che si appiccica ai vestiti e ai palazzi. Non piove: a febbraio, a Dhaka, non piove praticamente mai. In mezzo al quartiere c’è una torre di trentun piani, 115 metri, costruita nel 1985, per ventisette anni è stata l’edificio più alto del Bangladesh. È la sede della banca centrale.

ORE 8:45

Un uomo entra nell’edificio, prende l’ascensore, sale al decimo piano. Si chiama Jubayer bin Huda, è joint director, un grado intermedio della carriera dirigenziale, e lavora nel posto più sorvegliato della banca: la dealing room del dipartimento di contabilità e bilancio, la stanza da cui passano i movimenti in valuta del Paese. Ci entrano poche persone.

Il venerdì la banca è chiusa, ma il back office resta aperto qualche ora per le operazioni che non possono aspettare. Quella mattina in servizio ci sono quattro uomini. Huda, Ròfik Ahmèd Mò-giùm-dar e altri 2. In un angolo della stanza c’è una stampante.

E’ una HP LaserJet. Non è una macchina speciale: una da ufficio, di quelle che si trovano praticamente ovunque. Il suo compito è stampare, di notte, ogni movimento e ogni bonifico internazionale della banca centrale del Bangladesh. È l’unica copia di sicurezza su carta. Un controllo in più.

ORE 10:30

Ròfik Ahmèd Mògiùm-dar va a prendere i fogli della notte. E’ lui l’uomo che guarda il vassoio.

Il vassoio è vuoto.

Il terminale risulta collegato al server SWIFT, quindi qualcosa dovrebbe essere uscito. Provano a dare il comando di stampa manuale. Niente. Riprovano. Niente. Pensano a un guasto… succede. Nella denuncia che depositerà un mese dopo, Huda scriverà così: “succedeva anche prima, abbiamo pensato fosse il solito problema di sempre”

ORE 11:15

Jubayer bin Huda esce dall’ufficio e lascia detto ai colleghi di dare un’occhiata alla stampante, magari poi i fogli escono.

ORE 12:32

Escono anche gli altri tre. Nessuno dei quattro avvisa un superiore. Quel guasto non era casuale. Dall’altra parte del mondo qualcuno aveva spento quella stampante di proposito, perché in quelle ore stavano portando via novecentocinquantun milioni di dollari, e avevano bisogno che a Dhaka nessuno stampasse niente.

Oggi vi racconto una rapina in banca: il più grande furto informatico mai tentato ai danni di una banca centrale. Una rapina rocambolesca, dove si mescolano la tecnologia, gli errori umani, i sistemi di controllo internazionali, e dove niente è come sembra. Dieci anni dopo il processo non è ancora cominciato: il rapporto conclusivo dell’indagine era atteso per il 9 agosto di quest’anno, ed è stato rinviato per la novantasettesima volta.

Cinque giorni per rubare 951 milioni di dollari

Torniamo a quel venerdì mattina, alle undici e un quarto del 5 febbraio 2016, con Jubayr Bin Huda che scende in ascensore e va a casa. Nello stesso momento, a New York, è ancora giovedì sera.

Fra Dhaka e New York ci sono undici ore di differenza. Mentre alla banca centrale del Bangladesh quei quattro uomini guardano un vassoio vuoto e pensano a un guasto della stampante, dall’altra parte del pianeta è il pomeriggio inoltrato del giorno prima, la Federal Reserve sta ancora lavorando, e i soldi si stanno già muovendo. Adesso mettete su un tavolo davanti a voi tre orologi e un calendario

Dhaka è chiusa venerdì e sabato. New York, dove la Bangladesh Bank tiene i suoi dollari in un conto presso la Federal Reserve, è chiusa sabato e domenica. Manila, dove i soldi devono arrivare, lunedì 8 febbraio è chiusa: è il capodanno lunare, festa nazionale nelle Filippine.

Fate il conto. Fra il momento in cui parte il denaro, giovedì sera a New York, e il primo giorno in cui tutte e tre le piazze sono aperte insieme, ci sono quasi cinque giorni. Cinque giorni in cui, se qualcosa va storto, dall’altra parte del telefono non risponde nessuno.

Questa è una data scelta con il calendario in mano, incrociando le festività di tre Paesi, e comincia a dirci qualcosa su chi stiamo cercando: non è gente che improvvisa. Perché esiste una finestra così ampia? Il motivo sta in culture diverse, e in una bolletta.

Il riposo settimanale del venerdì, in Bangladesh, arriva negli anni Ottanta con il presidente Hussain Muhammad Ershad, negli anni della islamizzazione dello Stato. Il sabato invece è molto più recente, ed è una faccenda di soldi: nel settembre 2005 il governo aggiunge il sabato come secondo giorno di chiusura degli uffici pubblici per contenere la spesa energetica. Si spengono i condizionatori di un intero apparato statale per ventiquattro ore in più alla settimana.

La finestra che permette il più grande furto informatico della storia bancaria è figlia di due culture diverse e di una bolletta della luce troppo cara per lo Stato del Bangladesh.

L’attacco era cominciato dodici mesi prima

La rapina che si svolge il 5 febbraio, in realtà, era cominciata dodici mesi prima. Gennaio 2015: alcuni dipendenti della Bangladesh Bank ricevono una email. È una semplice candidatura di lavoro, firmata da un certo Rasel Ahlam; c’è un link, ci sono un curriculum e una lettera di presentazione da scaricare. Rasel Ahlam però non esiste, è un’identità fittizia.

Qualcuno clicca quel link, ed è sempre così che comincia: non come nei film, dove gli hacker digitano comandi sulla tastiera a velocità inumana. Ogni truffa comincia con una persona che scarica un allegato o clicca un link, magari di venerdì pomeriggio, quando è un po’ distratta. Da quel momento, dentro la rete della banca centrale di un Paese di centosessanta milioni di abitanti, c’è qualcun altro che guarda. Per un anno intero non toccano nulla. Guardano e basta.

Imparano chi manda gli ordini di pagamento, con quali credenziali, in quali orari, quanti ne partono in una giornata normale. Studiano la banca da dentro.

Ciò che trovano in quella rete sorprende anche loro: i computer collegati al sistema SWIFT, quello con cui le banche di tutto il mondo si scambiano gli ordini di pagamento, erano collegati anche alla rete interna e alla rete aperta. Non c’era nessun firewall degno di questo nome a separarli. La polizia bengalese arriverà a dire pubblicamente che l’apparato di rete era stato messo insieme con componenti da pochi dollari. Quella banca aveva le porte digitali aperte, anzi, quasi non ne aveva di porte.

I rapinatori non hanno bucato il complesso sistema SWIFT, non ne avevano bisogno. Hanno scritto un malware su misura per il software che la banca usava per comunicare con SWIFT e per il database Oracle che ci stava sotto. Quel programma faceva tre cose: cancellava le tracce degli ordini in uscita, intercettava i messaggi di conferma in arrivo, correggeva i saldi in modo che tutto tornasse. Ai cybercriminali restava un problema: uno solo. La carta. Il database si può correggere, il saldo a video si può truccare, ma un foglio stampato alle tre di notte da una macchina in un angolo di una stanza al decimo piano, quello no: quello è fuori dal sistema. È l’unico testimone, ed è un testimone analogico. Così hanno scritto una funzione appositamente studiata per quella stampante: doveva continuare a stampare, ma stampare report fasulli. Versioni ripulite dei messaggi, senza le transazioni sospette. Nessuno, il venerdì mattina, si sarebbe accorto di niente. Questa è la prima cosa che va storta nella rapina. La stampante non stampa i report falsificati. Non stampa proprio niente.

Il vassoio resta vuoto.

Il più grande furto informatico della storia bancaria è cominciato con un attacco perfetto e con un bug. Lo schema della rapina funzionava. La copertura delle tracce un po’ meno.

Trentacinque ordini alla Federal Reserve

NEW YORK, GIOVEDÌ 4 FEBBRAIO 2016, ORE 9:55 DEL MATTINO

Alla Federal Reserve arriva il primo messaggio: ordina il trasferimento di venti milioni di dollari verso un conto nello Sri Lanka. Nelle quattro ore successive ne arrivano altri trentaquattro. Trentacinque ordini in tutto, 951 milioni di dollari: circa un quinto delle riserve valutarie del Bangladesh. Sono autenticati correttamente, con le credenziali giuste, con i codici giusti; per il sistema SWIFT sono indistinguibili dagli ordini di un impiegato regolare.

Solo che quegli ordini, a guardarli, sono strani. In tutti e trentacinque manca il nome della banca corrispondente, il passaggio successivo della catena di pagamento. Quasi tutti i beneficiari sono persone fisiche, non istituzioni, cosa che una banca centrale non fa quasi mai. Poi c’è il volume delle transazioni: negli otto mesi precedenti la Bangladesh Bank aveva inviato alla Fed 275 ordini in totale, meno di due al giorn, e nemmeno uno era diretto a una persona fisica. Il primo filtro scatta. La Fed respinge tutti e trentacinque gli ordini: formattazione incompleta, così non si può pagare. È qui che questa rapina diventa diversa da tutte le altre. I ladri non scappano.

Correggono i moduli e li rimandano.

Poche ore dopo alla Fed arrivano di nuovo trentacinque ordini, per gli stessi beneficiari di prima, questa volta formattati come si deve. Cinque passano in automatico, per un totale di centouno milioni di dollari. I trenta rimanenti vengono fermati una seconda volta e messi in coda per una verifica manuale. Venti milioni vanno verso lo Sri Lanka. Ottantuno milioni arrivano a Manila.

I conti dormienti di Manila

MANILA, JUPITER STREET

Gli ottantuno milioni arrivano nel distretto degli affari della capitale filippina, in una filiale della Rizal Commercial Banking Corporation che sta in una via chiamata Jupiter Street. Filiale di media grandezza, in una via di media grandezza. Lì i soldi trovano quattro conti in dollari che li stavano aspettando. Aspettavano da nove mesi. Aperti il 15 maggio 2015, tutti lo stesso giorno, con lo stesso identico versamento iniziale: cinquecento dollari ciascuno. Poi mai un movimento. Fermi, immobili, per duecentosessantacinque giorni.

I nomi sui conti erano tipo Michael Francisco Cruz Jessie Christopher Lagrosas; inventati, come gli altri due. Nessuna di queste quattro persone è mai stata trovata. Le indagini filippine le hanno classificate come identità fittizie, aperte con documenti falsi.

Su quei conti, il 5 febbraio, arrivano rispettivamente sei milioni, trenta milioni, diciannove milioni e nove, venticinque milioni. Lo stesso giorno viene aperto un quinto conto, intestato a una ditta di tessuti, e da lì il denaro comincia a spostarsi. Fermiamoci un attimo, perché è il cuore della storia: nove mesi prima che il malware entrasse in azione, qualcuno era fisicamente andato in una filiale di Makati con quattro documenti falsi in mano, aveva compilato dei moduli, aveva versato cinquecento dollari e se n’era andato. La rapina informatica più grande di sempre ha avuto bisogno di quattro persone in carne e ossa, sedute davanti a una scrivania, con una penna in mano.

Un refuso e una petroliera fermano il colpo

Ora dobbiamo chiederci perché di quei 35 pagamenti ne siano passati solo cinque, e perché uno dei cinque poi tornerà indietro? E’ una domanda che vale milioni di dollari.

La risposta ufficiale è che i controlli hanno funzionato. La risposta vera è più imbarazzante, e la conosciamo grazie a una inchiesta di Reuters.

Il primo intoppo riguarda uno dei cinque pagamenti andati a buon fine: venti milioni di dollari destinati a una fondazione dello Sri Lanka, la Shalika Foundation, una piccola realtà intestata a una imprenditrice locale. Sul messaggio, però, la parola foundation è scritto male; le ricostruzioni divergono sull’errore esatto, Reuters riporta che sull’ordine di pagamento ci fosse scritto fundation, senza la o. Una banca corrispondente lungo la catena, Deutsche Bank, si accorge che la parola è sbagliata e chiede chiarimenti. Il pagamento si ferma, quei venti milioni torneranno indietro. Venti milioni di dollari salvati da un errore di ortografia. Da un typo.

Il secondo intoppo riguarda i trenta ordini rimasti in coda. Questo è il più assurdo dei due.

Gli ordini verso le Filippine indicavano l’indirizzo della filiale della banca di destinazione: Jupiter Street. Il sistema della Fed confronta i pagamenti con le liste delle entità sanzionate dagli Stati Uniti, e la parola Jupiter fa scattare un allarme, perché coincide con il nome di una petroliera iraniana finita nelle liste nere americane. Niente a che vedere con quella strada, con quella banca, con la rapina in corso: una pura omonimia. Qualcuno però si fa la domanda, e quei trenta pagamenti restano fermi. Ordini per 850 milioni di dollari si sono bloccati perché una filiale bancaria di Manila si trova in una via che porta il nome di una petroliera iraniana. Una fonte interna alla Fed, citata da Reuters, lo ha definito così: un colpo di fortuna.

Perché sia andata proprio così lo spiega sempre l’inchiesta di Reuters, ed è la parte che dovrebbe far riflettere chiunque gestisca un sistema critico. La Fed di New York, in quel periodo, non aveva un sistema di rilevamento delle frodi in tempo reale: i pagamenti anomali venivano ricontrollati dopo, di solito il giorno successivo. La carta di credito con cui pagate il caffè se ne accorge in un secondo se c’è qualcosa che non va, il conto in cui uno Stato tiene le sue riserve valutarie ci metteva ventiquattro ore.

Il sistema di sicurezza globale dei pagamenti, il 4 febbraio 2016, non ha vinto, anche se ottocentocinquanta milioni si sono salvati. Ha pareggiato per caso. Il novanta per cento del denaro si è salvato grazie a un refuso e a una omonimia.

Il weekend più costoso del Bangladesh

Torniamo a Dhaka, dove nel frattempo si sta consumando il weekend più costoso della storia del Bangladesh. È sabato 6 febbario 2016.

Jubayr Bin Huda torna in ufficio. Ventiquattro ore prima era uscito pensando a un guasto della stampante, un dettaglio di lavoro che non si racconta nemmeno a cena tra amici.

Il terminale collegato a SWIFT ancora non risponde. Provano a riavviarlo e sullo schermo compare un messaggio: manca un file, oppure è stato modificato. Ci mettono ore. Alle dodici e mezza il terminale riparte; la stampa automatica continua a non funzionare, però riescono a stampare con un comando manuale. Cominciano a uscire i fogli, e non sono le solite dieci o dodici transazioni della notte.

Sono le richieste di chiarimento arrivate da New York. La Federal Reserve chiedeva conto di decine ordini di pagamento che la Bangladesh Bank non aveva mai autorizzato. Uno dopo l’altro, che escono da quella macchina, in una stanza, di sabato, in un edificio quasi vuoto.

In quel momento, in quella stanza, Jubayr Bin Huda e i suoi colleghi capiscono che stanno leggendo la cronaca di una rapina già avvenuta. Alle tredici e trenta mandano una email a New York: fermate tutto, bloccate ogni pagamento. Provano anche via fax. Provano al telefono. A New York però è sabato mattina. La Fed è chiusa. Non risponde nessuno.

La corsa impossibile per fermare il denaro

Lunedì 8 febbraio New York riapre e si muove, cerca Manila, dove sono arrivati ottantuno milioni di dollari. Solo che a Manila, lunedì 8 febbraio, è il capodanno lunare: le banche filippine sono chiuse.

Quando finalmente si riesce a parlare con qualcuno nelle Filippine, la risposta è che per bloccare quei fondi serve un provvedimento di un tribunale filippino. Nel frattempo il denaro si è già spostato: convertito in pesos da società di rimesse, spezzettato, e da lì mandato verso il circuito dei casinò di Manila. Il Solaire. Il Midas. Circa sessantatré milioni di dollari finiscono lì dentro. Perché i casinò. Non è un dettaglio di colore, è il punto essenziale dell’intera operazione: nel 2016 i casinò filippini erano esclusi dalla normativa antiriciclaggio del Paese. Legalmente esclusi. Un settore che maneggia contante in quantità industriale restava fuori dal perimetro dei controlli. Il denaro entra da una porta come bonifico e esce dall’altra come fiches. Una fiche non ha un numero di conto, non ha un ordinante, non ha un beneficiario. È un pezzo di plastica. Più di un mese dopo, il 15 marzo 2016, la banca centrale del Bangladesh fa la cosa che si fa quando hai subito un furto. Va a denunciare.

Pensate a questo, perché le grandi storie sono fatte di piccole cose. Jubayr Bin Huda entra nella stazione di polizia di Motigil, il commissariato di quartiere, quello dove si va a denunciare un motorino rubato, e deposita la denuncia per il più grande furto informatico mai riuscito ai danni di una banca centrale. Contro ignoti.

Lazarus e la pista nordcoreana

Contro ignoti, perché a marzo del 2016 nessuno sa chi cercare. A questo punto della storia sappiamo come, ci manca il chi, e il chi è molto interessante.

Le società di sicurezza che analizzano il malware ci trovano dentro pezzi di codice già visti altrove: nell’attacco a Sony Pictures del 2014, in una serie di raid informatici contro banche e media in almeno diciotto Paesi. Quando lo stesso codice ricompare in attacchi diversi, significa che dietro c’è la stessa mano. Gli analisti a quella mano hanno dato un nome: Lazarus. Il riferimento proprio è biblico, il morto che torna a camminare, ed è un omaggio infastidito da un avversario che avevano dato per morto più di una volta.

Per quei raid cyber nel 2018 il Dipartimento di Giustizia americano emette una incriminazione. Park Jin Hyok, programmatore nordcoreano, formatosi in una delle università migliori del Paese, poi mandato a lavorare in Cina, nella città portuale di Dalian, per una società che sulla carta sviluppava videogiochi online. Secondo l’FBI, dietro Lazarus c’è la Corea del Nord. Arriva un mandato di cattura, arriva anche un manifesto con la sua faccia, come ai tempi del Far West. Ma è un ricercato che nessuno può prendere, perché a proteggerlo non è un bunker: è un confine di Stato. Ora la storia smette di essere cronaca nera e diventa qualcosa che riguarda anche noi.

Quella finestra di tre fusi orari, studiata sul calendario delle festività; dodici mesi dentro una rete senza toccare un dollaro; quattro conti aperti con nove mesi di anticipo e lasciati dormire; un malware scritto su misura per una versione specifica di un software bancario. Tutto questo non è il lavoro di una banda. È il lavoro di una struttura che ha tempo, soldi e pazienza, le tre cose che una banda di solito non ha, ma uno Stato sì.

Lo stesso metodo, negli anni successivi, è comparso in altri tentativi contro banche in Vietnam, in Messico, a Malta, in diversi Paesi africani. Sempre lo stesso schema: entrare nel sistema dei pagamenti internazionali e spostare denaro come se fosse la banca stessa a chiederlo. Per secoli abbiamo saputo cosa fare con chi rapina una banca: si chiama la polizia, si tiene un processo, si mette qualcuno in prigione. Cosa si fa quando a comportarsi come una banda di criminali informatici è uno Stato? Chi lo arresta? Davanti a quale tribunale si porta?

Dieci anni dopo, 66 milioni ancora scomparsi

Dieci anni dopo la risposta non c’è. Non sul piano politico; sul quello giudiziario e nemmeno su quello, molto più semplice, dei soldi. I venti milioni dello Sri Lanka sono tornati indietro, fermati dalla parola scritta male. Dalle Filippine ne sono rientrati circa quindici. RCBC, la banca da cui il denaro è passato, viene multata a parte: un miliardo di pesos, la sanzione più alta mai comminata dalla banca centrale filippina. Quei soldi restano a Manila, li incassa il regolatore. 66 milioni di dollari non si sono mai più visti. In Bangladesh il governatore della banca centrale, si è dimesso il 15 marzo 2016, lo stesso giorno in cui Jubayr Bin Huda è andato al commissariato .

La commissione d’inchiesta interna ha attenzionato quei quattro uomini presenti venerdì mattina. I funzionari sono stati giudicati negligenti, perché il 5 febbraio si sono accontentati di credere a un guasto, non hanno cercato di stampare manualmente e non hanno avvisato nessuno più in alto di loro. Il rapporto contiene una frase durissima: quel giorno, per loro, contavano più le ore di straordinario che le riserve del Paese.Nessuno di loro è mai stato indagato.

Volete sapere come è finita per loro? Sono stati promossi. Jubayr Bin Huda, per esempio e è passato da joint director a deputy general manager.

Novantasette rinvii e nessun processo

Da lì l’inchiesta è passata al dipartimento investigativo della polizia bengalese, e non si è mai chiusa. Il rapporto conclusivo, quello che dovrebbe permettere il processo, è stato rinviato una volta dopo l’altra; in dieci anni l’investigatore titolare è cambiato quattro volte. Gli indagati, secondo le ultime ricostruzioni della stampa di Dhaka, sarebbero una settantina, tra cui una decina di funzionari della banca stessa.

Il 9 agosto di quest’anno, il 2026, quel rapporto è stato rinviato per la novantasettesima volta. Novantasette. La nuova data è il 14 settembre 2026, fra poche settimane. Se i dieci anni passati vogliono dire qualcosa, è probabile che venga rinviato di nuovo.

Il vero punto debole

Riguardando tutta questa storia mi rimane quell’immagine silenziosa del vassoio vuoto di una stampante, un venerdì mattina di febbraio, al decimo piano di una torre a Dakka, con fuori la foschia. Il furto più grande della storia bancaria è cominciato con una macchina da ufficio che aveva smesso di fare il suo lavoro. Il vero problema però è un altro: che siano stati rubati 81 milioni e non 951 lo dobbiamo a due casi fortuiti. Un refuso, e il nome di una strada. Solo che non va sempre così, non sempre i criminali fanno errori di battitura.