BSP sancionou BDO e UnionBank após hack em dezembro de 2021 esvaziar contas de clientes

Em dezembro de 2021, hackers obtiveram acesso não autorizado a contas de clientes do BDO Unibank por meio de um serviço web comprometido e transferiram o dinheiro majoritariamente para contas do UnionBank. O National Bureau of Investigation (NBI) afirmou que cerca de 700 clientes foram afetados; aproximadamente P1,2 milhão foi sacado, e o total poderia ter ultrapassado P50 milhões se as transferências não tivessem sido sinalizadas.

Em abril de 2022, o Bangko Sentral ng Pilipinas concluiu sua investigação e o Monetary Board aprovou sanções a ambos os bancos. O BSP não divulgou as penalidades, mas o CEO do UnionBank afirmou que não houve multas monetárias — em vez disso, os bancos foram solicitados a aumentar sua exigência de capital para risco operacional; o BDO disse que cumpriria, e o BSP creditou ao BDO o reembolso aos clientes afetados.

O incidente expôs como ambos os bancos dependiam de monitoramento pós-transação em vez de autenticação mais forte e controles antifraude. A persona "Mark Nagoyo" usada no esquema tornou-se, nas Filipinas, um termo corrente para ataques de roubo de identidade contra o banking online.

Cerca de 700 contas do BDO afetadas; ~P1,2M sacados com P50M+ em risco. O BSP sancionou ambos os bancos, o BDO reembolsou os clientes, e a exigência de capital para risco operacional aumentou.

A violação começou em um serviço web comprometido, o que significa que os controles de sessão e autenticação falharam antes que qualquer sinalização de fraude existisse.

As transferências foram canalizadas por contas do UnionBank, de modo que as próprias verificações de risco do banco recebedor também não detectaram o padrão.

Os bancos apoiaram-se em reembolso e sanções regulatórias em vez de controles em tempo real que poderiam ter impedido um roubo da escala de P50M.

A resposta do BSP deixou claro que incidentes cibernéticos são falhas de supervisão, não apenas casos criminais para o NBI.

Um banco pode ser sancionado pelas ações do atacante: a violação de dezembro de 2021 só foi interrompida após sinalizações de fraude, e os reguladores puniram ambos os bancos por controles fracos.

O BDO reembolsou os clientes afetados e ambos os bancos prometeram reforçar controles de cibersegurança, de combate à lavagem de dinheiro e de combate ao terrorismo. As sanções não envolveram multa monetária divulgada, mas a maior exigência de capital para risco operacional tornou-se um custo financeiro direto para ambas as instituições. O NBI e o Department of Justice buscaram acusações criminais contra os indivíduos por trás das transferências, e o episódio alimentou um movimento mais amplo por autenticação mais forte no e-banking nas Filipinas.