سرقة لازاروس: سرقة أجهزة صرافة آلية في 28 دولة تجني ملايين الدولارات في ساعتين

وكانت الرسائل من شركة فيزا للدفع بالبطاقات، محذرة من أنها قد تشهد تدفق آلاف الطلبات لعمليات السحب النقدي الكبيرة من أجهزة الصراف الآلي. وكانت على ما يبدو من قبل أشخاص يستخدمون بطاقات بنك كوزموز.

لكن عندما فحص فريق بنك كوزموز أنظمتهم الخاصة، لم يرَ أي عمليات غير طبيعية.

وبعد حوالي نصف ساعة، وكإجراء احترازي، سمحوا لشركة فيزا بإيقاف جميع المعاملات من بطاقات كوزموز المصرفية، لكن هذا التأخير كان مكلفا للغاية.

في اليوم التالي، شاركت خدمة الـفيزا القائمة الكاملة للمعاملات المشبوهة مع المكتب الرئيسي لشركة كوزموز، والنتيجة: تم إجراء نحو 12000 عملية سحب منفصلة من أجهزة الصرافة الآلية المختلفة حول العالم.

وخسر البنك قرابة 14 مليون دولار أي ما يعادل نحو 11.5 مليون جنيه إسترليني.

لقد كانت عملية سرقة جريئة تتميز بنطاقها الواسع وتزامنها الدقيق، فنهب مجرمون أجهزة الصراف الآلي في 28 دولة مختلفة، بما في ذلك الولايات المتحدة والمملكة المتحدة والإمارات العربية المتحدة وروسيا.

حدث كل هذا في غضون ساعتين و 13 دقيقة فقط – وأثار ضجة عالمية غير مسبوقة.

في نهاية المطاف، تتبع المحققون أصولها ووجدوا أنها تعود إلى مجموعة غامضة من المتسللين الذين نفذوا سلسلة متوالية من العمليات السابقة على ما يبدو بناءً على طلب من دولة كوريا الشمالية.

ولكن قبل أن يعرفوا الصورة الأوسع، اندهش المحققون في وحدة مكافحة الجرائم الإلكترونية في ولاية ماهاراشترا لرؤية لقطات كاميرات المراقبة لعشرات الرجال الذين يصعدون إلى سلسلة من نقاط النقد، ويدخلون البطاقات المصرفية ويضعون الأوراق النقدية في أكياس.

يقول المفتش، الجنرال بريجيش سينغ، الذي قاد التحقيق: “لم نكن على علم بشبكة استخدام أشخاص لسحب المال من حسابات بنكية، مثل هذه”.

يقول سينغ إن إحدى العصابات كان لديها معالج كان يراقب معاملات أجهزة الصراف الآلي في الوقت الفعلي على جهاز كمبيوتر محمول. وأظهرت لقطات كاميرات المراقبة CCTV أنه كلما حاول الشخص المستخدم لسحب المال الاحتفاظ ببعض النقود لنفسه، كان المتعامل يكتشفها ويصفعه بشدة.

بواستخدام لقطات الدوائر التلفزيونية المغلقة وكذلك بيانات الهاتف المحمول من المناطق القريبة من أجهزة الصراف الآلي، تمكن المحققون الهنود من القبض على 18 مشتبهاً بهم في الأسابيع التي أعقبت المداهمة، معظمهم الآن في السجن وينتظرون المحاكمة.

ويقول سينغ أن هؤلاء الرجال لم يكونوا محتالين أصليين. وكان من بين المعتقلين نادل وسائق وصانع أحذية، وآخر يحمل شهادة في الصيدلة.

على الرغم من ذلك، يعتقد أنه بحلول الوقت الذي حدث فيه الهجوم الإلكتروني، حتى الرجال الذين تم تجنيدهم كـ “شخصيات إضافية” كانوا يعرفون ما كانوا يفعلونه حقًا.

لكن هل عرفوا لمن كانوا يعملون؟

يعتقد المحققون أن دولة كوريا الشمالية “السرية والمعزولة” كانت وراء السرقة.

كوريا الشمالية هي واحدة من أفقر دول العالم، ومع ذلك يذهب جزء كبير من مواردها المحدودة نحو بناء أسلحة نووية وصواريخ باليستية، وهو نشاط محظور من قبل مجلس الأمن التابع للأمم المتحدة. ونتيجة لذلك، فرضت الأمم المتحدة عقوبات شديدة على البلاد، ما جعل التجارة مقيدة للغاية.

ومنذ وصوله إلى السلطة قبل 11 عامًا، أشرف الرئيس الكوري الشمالي كيم جونغ أون على حملة غير مسبوقة من تجارب الأسلحة، بما في ذلك أربع تجارب نووية والعديد من العروض الاستفزازية لاختبار إطلاق صواريخ عابرة للقارات.

وتعتقد السلطات الأمريكية أن حكومة كوريا الشمالية تستخدم مجموعة من قراصنة النخبة لاقتحام البنوك والمؤسسات المالية في جميع أنحاء العالم لسرقة الأموال التي تحتاجها للحفاظ على استمرارية عمل اقتصادها وتمويل برنامج الأسلحة.

ويعتقد أن المتسللين، الملقبين بمجموعة لازاروس، ينتمون إلى وحدة تديرها وكالة الاستخبارات العسكرية القوية في كوريا الشمالية، المكتب العام للاستطلاع.

أطلق خبراء الأمن السيبراني على المتسللين اسم شخصية التوراة – لازاروس، الذي عاد من الموت – لأنه بمجرد دخول فيروساتهم إلى شبكات الكمبيوتر، يكاد يكون من المستحيل قتلهم.

ظهرت المجموعة لأول مرة على المستوى الدولي عندما اتهم الرئيس الأمريكي آنذاك باراك أوباما كوريا الشمالية باختراق شبكة كمبيوتر “سوني إنترتينمنت” عام 2014.

واتهم مكتب التحقيقات الفيدرالي المتسللين بشن هجوم إلكتروني ضار انتقامًا من فيلم “The Interview”، وهو فيلم كوميدي يصوّر اغتيال الرئيس كيم جونغ أون.

ومنذ ذلك الحين، اتُهمت مجموعة لازاروس بمحاولة سرقة مليار دولار، أي ما يعادل 815 مليون جنيه إسترليني من البنك المركزي البنغلاديشي في عام 2016، بينما شن هجوم WannaCry الإلكتروني الذي حاول انتزاع فدية من الضحايا في جميع أنحاء العالم، بما في ذلك هيئة الصحة الوطنية في بريطانيا.

وتنفي كوريا الشمالية بشدة وجود مجموعة لازاروس وجميع مزاعم القرصنة التي ترعاها الدولة.

لكن وكالات إنفاذ القانون الرائدة تقول إن الاختراق في كوريا الشمالية أكثر تقدمًا وأكثر جرأة وطموحًا من أي وقت مضى.

بالنسبة لسرقة كوزموس، استخدم المتسللون تقنية تُعرف باسم “الفوز بالجائزة الكبرى”، وسميت بذلك لأن جعل أجهزة الصراف الآلي تسكب أموالها يبدو مثل ضرب من الفوز بالجائزة الكبرى على آلة القمار.

تم اختراق أنظمة البنك في البداية بالطريقة الكلاسيكية: من خلال رسالة بريد إلكتروني تصيدية فتحها موظف أصاب شبكة الكمبيوتر ببرامج غير آمنة للأجهزة، وبمجرد الدخول، تلاعب المتسللون ببعض البرامج – تسمى مفتاح ATM – والتي ترسل رسائل إلى أحد البنوك للموافقة على سحب النقود.

ثم أعطى هذا للقراصنة القدرة على السماح بسحب أجهزة الصراف الآلي من شركائهم في أي مكان في العالم. الشيء الوحيد الذي لم يتمكنوا من تغييره هو الحد الأقصى للمبلغ لكل عملية سحب، لذلك كانوا بحاجة إلى الكثير من البطاقات والكثير من الأشخاص في موقع الحدث.

استعدادًا للهجوم، عملوا القراصنة مع شركاء لإنشاء بطاقات صراف آلي “مستنسخة” باستخدام بيانات حساب مصرفي أصلية لإنشاء بطاقات مكررة يمكن استخدامها في أجهزة الصراف الآلي.

اشتبهت شركة الأمن البريطانية بي آي إي سيستمز على الفور في أنها من عمل مجموعة لازاروس، إذ كانت تراقبهم منذ شهور وعرفت أنهم كانوا يخططون لمهاجمة بنك هندي. لكنها لم تكن تعرف أي بنك سيستهدف.

ويقول الباحث الأمني في شركة بي آي إي سيستمز آدريان نيش: “كان من قبيل المصادفة أن تكون عملية إجرامية أخرى”. يقول نيش إن مجموعة لازاروس متعددة الاستخدامات وطموحة للغاية: “من المحتمل أن تكون معظم الجماعات الإجرامية سعيدة بما يكفي للإفلات بمليونين والتوقف عند هذا الحد”.

إن الخدمات اللوجستية المتضمنة في سرقة بنك كوزموز مذهلة. كيف وجد المتسللون شركاء على الأرض في 28 دول ، بما في ذلك العديد من الدول التي لا يستطيع المواطنون الكوريون الشماليون زيارتها بشكل قانوني؟

يعتقد محققو الأمن التكنولوجي في الولايات المتحدة أن مجموعة لازاروس قابلت أحد الميسرين الرئيسيين على الويب المظلم أو الـ Dark Web، حيث توجد منتديات كاملة مخصصة لتبادل مهارات القرصنة وحيث يبيع المجرمون غالبًا خدمات الدعم. في فبرايرشباط 2018، نشر مستخدم يطلق على نفسه “بيغ بوس” نصائح حول كيفية القيام بالاحتيال على بطاقة الائتمان. وقال أيضًا إن لديه المعدات اللازمة لصنع بطاقات صراف آلي مستنسخة، وإنه كان لديه إمكانية الوصول إلى مجموعة من تجار المال في الولايات المتحدة وكندا.

وكانت هذه بالضبط الخدمة التي احتاجتها مجموعة لازاروس لتحقيق نجاحها في بنك كوزموز، وبدأوا العمل مع المعروف باسم “بيغ بوس”.

طلبنا من مايك ديبولت كبير مسؤولي الاستخبارات في شركة Intel 471 – وهي شركة للأمن التقني في الولايات المتحدة – معرفة المزيد عن هذا الشريك.

اكتشف فريق ديبولت أن بيغ بوس كان نشطًا لمدة 14 عامًا على الأقل وكان لديه سلسلة من الأسماء المستعارة: G و Habibi و Backwood. تمكن المحققون الأمنيون من ربطه بجميع أسماء المستخدمين هذه، حيث استخدم نفس عنوان البريد الإلكتروني في منتديات مختلفة.

يقول ديبولت: “إنه تصرف كسول في الأساس. نرى هذا بشكل شائع جدًا: يقوم الممثلون بتغيير الاسم المستعار الخاص بهم في منتدى، ولكن مع الاحتفاظ بعنوان البريد الإلكتروني نفسه”.

في عام 2019، تم القبض على بيغ بوس في الولايات المتحدة وفُضح الشخص المتخفي تحت هذا القناع باسم غالب العمري، وهو كندي يبلغ من العمر 36 عامًا. وأقر بأنه مذنب بارتكاب جرائم بما في ذلك غسل الأموال من سرقة بنوك كورية شمالية مزعومة، وحُكم عليه بالسجن 11 عامًا وثمانية أشهر.

لم تعترف كوريا الشمالية أبدًا بأي تورط في وظيفة بنك كوزموس، أو أي مخطط قرصنة آخر. وأرسلت بي بي سي مزاعم التورط في هجوم كوزموس لسفارة كوريا الشمالية في لندن لكنها لم تتلق أي رد.

إلا أن السفير تشوي إيل، كان رد، عندما تواصلنا معه سابقًا، على مزاعم القرصنة وغسيل الأموال التي ترعاها كوريا الشمالية واصفا إياها بأنها “مهزلة”، ومحاولة من جانب الولايات المتحدة “لتشويه صورة دولتنا”.

وفي فبراير 2021، أعلن مكتب التحقيقات الفيدرالي، والخدمة السرية الأمريكية، ووزارة العدل عن اتهامات ضد ثلاثة متسللين مشتبه بهم من مجموعة لازاروس هم: جون تشانغ هيوك، كيم إيل وبارك جين هيوك، الذين قالوا إنهم يعملون لصالح وكالة الاستخبارات العسكرية في كوريا الشمالية.

ويُعتقد الآن أنهم عادوا إلى بيونغ يانغ.

وتقدر سلطات الولايات المتحدة وكوريا الجنوبية أن كوريا الشمالية لديها ما يصل إلى 7000 من القراصنة المدربين ومن غير المحتمل أن يعملوا جميعًا من داخل الدولة، حيث لا يملك سوى عدد قليل من الأشخاص تصاريح لاستخدام الإنترنت، ما يجعل إخفاء أنشطة المستخدمين أمرًا صعبًا. بدلاً من ذلك، غالبًا ما يتم إرسالهم إلى الخارج.

وقدم ريو هيون وو، الدبلوماسي الكوري الشمالي السابق وأحد كبار الأشخاص الذين تركوا النظام، نظرة ثاقبة حول كيفية عمل المتسللين في الخارج.

في عام 2017، كان يعمل في سفارة كوريا الشمالية في الكويت ، حيث ساعد في الإشراف على توظيف حوالي 10000 كوري شمالي في المنطقة. في ذلك الوقت، كان الكثيرون يعملون في مواقع البناء في جميع أنحاء الخليج، ومثل جميع العمال الكوريين الشماليين، طُلب منهم تسليم معظم رواتبهم إلى النظام.

وقال الدبلوماسي إن مكتبه تلقى مكالمة يومية من معالج كوري شمالي كان يشرف على 19 متسللاً يعيشون ويعملون في أماكن ضيقة في دبي. قال: “هذا كل ما يحتاجون إليه حقًا: جهاز كمبيوتر متصل بالإنترنت”.

وتنفي كوريا الشمالية وجود أي قراصنة في الخارج، لكن فقط عمال تكنولوجيا المعلومات الذين يحملون تأشيرات سارية المفعول، لكن وصف ريو يتناسب مع مزاعم مكتب التحقيقات الفيدرالي حول كيفية عمل هذه الوحدات الإلكترونية من المهاجع حول العالم.

في سبتمبر 2017، فرض مجلس الأمن التابع للأمم المتحدة أشد العقوبات صرامة حتى الآن على كوريا الشمالية، حيث حد من واردات الوقود، وفرض مزيدًا من القيود على الصادرات، وطالب الدول الأعضاء في الأمم المتحدة بإرسال العمال الكوريين الشماليين إلى بلادهم بحلول ديسمبر 2019.

ومع ذلك، تشير الأدلة إلى أن المتسللين ما زالوا نشطين، ويستهدفون شركات العملات المشفرة، ويقدر أنهم سرقوا ما يقرب من 3.2 مليار دولار.

ووصفتهم السلطات الأمريكية بأنهم “كبار لصوص البنوك في العالم” باستخدام “لوحات المفاتيح بدلاً من البنادق”.