La BSP a sanctionné BDO et UnionBank après un piratage en décembre 2021 qui a vidé des comptes clients

En décembre 2021, des pirates ont obtenu un accès non autorisé à des comptes clients de BDO Unibank via un service web compromis et ont transféré l'argent principalement vers des comptes UnionBank. Le National Bureau of Investigation a indiqué qu'environ 700 clients avaient été touchés ; environ 1,2 million de pesos ont été retirés en espèces, et le total aurait pu dépasser 50 millions de pesos si les transferts n'avaient pas été signalés.

En avril 2022, la Bangko Sentral ng Pilipinas a achevé son enquête et le Monetary Board a approuvé des sanctions contre les deux banques. La BSP n'a pas divulgué les pénalités, mais le PDG d'UnionBank a déclaré qu'il n'y avait pas d'amendes pécuniaires — les banques ont plutôt été invitées à augmenter leur charge en capital pour le risque opérationnel ; BDO a déclaré qu'elle s'y conformerait, et la BSP a crédité BDO pour avoir remboursé les clients touchés.

L'incident a mis en évidence la manière dont les deux banques s'appuyaient sur la surveillance post-transaction plutôt que sur une authentification et des contrôles antifraude plus solides. Le personnage « Mark Nagoyo » utilisé dans le stratagème est devenu dans les Philippines un terme générique pour désigner les attaques d'usurpation d'identité contre la banque en ligne.

Environ 700 comptes BDO touchés ; ~1,2 M PHP retirés en espèces avec plus de 50 M PHP en jeu. La BSP a sanctionné les deux banques, BDO a remboursé les clients, et la charge en capital pour le risque opérationnel a augmenté.

La violation a commencé au niveau d'un service web compromis, ce qui signifie que les contrôles de session et d'authentification ont échoué avant qu'un quelconque signalement de fraude n'existe.

Les transferts ont été acheminés via des comptes UnionBank, de sorte que les propres contrôles de risque de la banque réceptrice n'ont pas non plus détecté le schéma.

Les banques se sont appuyées sur le remboursement et les sanctions réglementaires plutôt que sur des contrôles en temps réel qui auraient pu arrêter un vol de l'ampleur de 50 M PHP.

La réponse de la BSP a clairement établi que les incidents cyber sont des défaillances de supervision, et pas seulement des affaires pénales pour le NBI.

Une banque peut être sanctionnée pour les actions de l'attaquant : la violation de décembre 2021 n'a été stoppée qu'après des signalements de fraude, et les régulateurs ont puni les deux banques pour des contrôles insuffisants.

BDO a remboursé les clients touchés et les deux banques ont promis de renforcer les contrôles en matière de cybersécurité, de lutte contre le blanchiment d'argent et de lutte contre le terrorisme. Les sanctions ne comportaient aucune amende pécuniaire divulguée, mais la hausse de la charge en capital pour le risque opérationnel est devenue un coût financier direct pour les deux prêteurs. Le NBI et le Department of Justice ont engagé des poursuites pénales contre les individus à l'origine des transferts, et l'épisode a alimenté un mouvement plus large en faveur d'une authentification plus robuste de la banque électronique aux Philippines.