BSP, 2021년 12월 해킹으로 고객 계좌가 탈취된 후 BDO와 UnionBank에 제재를 가하다

2021년 12월, 해커들은 침해된 웹 서비스를 통해 BDO Unibank 고객 계좌에 무단으로 접근하여 자금을 대부분 UnionBank 계좌로 이체했다. 국가수사국(NBI)은 약 700명의 고객이 영향을 받았다고 밝혔으며, 약 120만 페소가 현금화되었고 이체가 탐지(플래그)되지 않았더라면 총액이 5천만 페소를 초과했을 수도 있었다.

2022년 4월 필리핀 중앙은행(Bangko Sentral ng Pilipinas)은 조사를 완료했고 통화위원회(Monetary Board)는 두 은행에 대한 제재를 승인했다. BSP는 제재 내용을 공개하지 않았으나, UnionBank의 CEO는 금전적 벌금은 없었고 대신 은행들이 운영 위험에 대한 자본 부과금을 인상하도록 요구받았다고 말했다. BDO는 이를 준수하겠다고 밝혔고, BSP는 영향을 받은 고객들에게 보상한 BDO를 치하했다.

이 사건은 두 은행이 더 강력한 인증 및 사기 통제 대신 거래 후 모니터링에 의존했음을 드러냈다. 이 계획에 사용된 'Mark Nagoyo'라는 인물은 필리핀에서 온라인 뱅킹을 대상으로 한 신원 도용 공격의 대명사가 되었다.

약 700개의 BDO 계좌가 피해를 입었고, 약 120만 페소가 현금화되었으며 5천만 페소 이상이 위험에 노출되었다. BSP는 두 은행 모두에 제재를 가했고, BDO는 고객들에게 보상했으며, 운영 위험에 대한 자본 부과금이 인상되었다.

침해는 침해된 웹 서비스에서 시작되었으며, 이는 사기 탐지 신호가 존재하기 전에 세션 및 인증 통제가 실패했음을 의미한다.

이체는 UnionBank 계좌를 통해 이루어졌으므로, 수취 은행의 자체 위험 점검도 이러한 패턴을 포착하지 못했다.

은행들은 5천만 페소 규모의 절도를 막을 수 있었던 실시간 통제 대신 보상과 규제 제재에 의존했다.

BSP의 대응은 사이버 사건이 단순히 NBI의 형사 사건이 아니라 감독상의 실패임을 분명히 했다.

은행은 공격자의 행동에 대해 제재를 받을 수 있다. 2021년 12월의 침해는 사기 탐지 신호가 나온 후에야 중단되었고, 규제 당국은 취약한 통제에 대해 두 은행 모두를 처벌했다.

BDO는 영향을 받은 고객들에게 보상했고 두 은행은 사이버 보안, 자금세탁 방지 및 테러 방지 통제를 강화하겠다고 약속했다. 제재에는 공개된 금전적 벌금은 없었으나, 인상된 운영 위험 자본 부과금은 두 대출 기관 모두에 직접적인 재정적 비용이 되었다. NBI와 법무부는 이체 배후의 개인들에 대해 형사 고발을 진행했으며, 이 사건은 필리핀에서 더 강력한 전자 뱅킹 인증을 위한 광범위한 움직임에 기여했다.