BSP sanktionierte BDO und UnionBank nach einem Hack im Dezember 2021, durch den Kundenkonten geplündert wurden

Im Dezember 2021 erlangten Hacker über einen kompromittierten Webdienst unbefugten Zugriff auf Kundenkonten der BDO Unibank und transferierten Geld überwiegend auf UnionBank-Konten. Das National Bureau of Investigation erklärte, etwa 700 Kunden seien betroffen gewesen; rund 1,2 Millionen Pesos seien ausgezahlt worden, und der Gesamtbetrag hätte 50 Millionen Pesos übersteigen können, wenn die Überweisungen nicht markiert worden wären.

Im April 2022 schloss die Bangko Sentral ng Pilipinas ihre Untersuchung ab, und der Monetary Board genehmigte Sanktionen gegen beide Banken. Die BSP gab die Strafen nicht bekannt, doch der CEO von UnionBank sagte, es habe keine Geldstrafen gegeben – stattdessen wurden die Banken aufgefordert, ihre Kapitalanforderung für operationelle Risiken zu erhöhen; BDO erklärte, sie werde dem nachkommen, und die BSP erkannte BDO an, dass sie die betroffenen Kunden entschädigt hatte.

Der Vorfall legte offen, dass sich beide Banken auf die Überwachung nach der Transaktion statt auf stärkere Authentifizierung und Betrugskontrollen verließen. Die im Betrugsschema verwendete Identität „Mark Nagoyo“ wurde auf den Philippinen zum Kurzbegriff für Identitätsdiebstahlsangriffe auf das Online-Banking.

Etwa 700 BDO-Konten betroffen; rund 1,2 Mio. PHP ausgezahlt, über 50 Mio. PHP gefährdet. Die BSP sanktionierte beide Banken, BDO entschädigte die Kunden, und die Kapitalanforderung für operationelle Risiken wurde erhöht.

Der Sicherheitsverstoß begann bei einem kompromittierten Webdienst, was bedeutet, dass Sitzungs- und Authentifizierungskontrollen versagten, bevor irgendeine Betrugsmeldung vorlag.

Die Überweisungen wurden über UnionBank-Konten geleitet, sodass auch die eigenen Risikoprüfungen der empfangenden Bank das Muster nicht erkannten.

Die Banken setzten auf Entschädigung und regulatorische Sanktionen statt auf Echtzeitkontrollen, die einen Diebstahl im Umfang von 50 Mio. PHP hätten verhindern können.

Die Reaktion der BSP machte deutlich, dass Cybervorfälle Aufsichtsversagen sind und nicht nur Strafrechtsfälle für das NBI.

Eine Bank kann für die Handlungen des Angreifers sanktioniert werden: Der Sicherheitsverstoß vom Dezember 2021 wurde erst nach Betrugsmeldungen gestoppt, und die Regulierer bestraften beide Banken für schwache Kontrollen.

BDO entschädigte die betroffenen Kunden, und beide Banken versprachen, ihre Cybersicherheits-, Geldwäschebekämpfungs- und Terrorismusbekämpfungskontrollen zu stärken. Die Sanktionen umfassten keine offengelegte Geldstrafe, doch die höhere Kapitalanforderung für operationelle Risiken wurde zu einem direkten finanziellen Kostenfaktor für beide Kreditinstitute. Das NBI und das Justizministerium verfolgten strafrechtliche Anklagen gegen die Personen hinter den Überweisungen, und der Vorfall befeuerte eine breitere Kampagne für stärkere Authentifizierung im E-Banking auf den Philippinen.