951 triệu USD lệnh chuyển giả được tạo ra; 81 triệu USD thực sự biến mất. Kẻ tấn công ngân hàng TW Bangladesh vào tháng 2/2016 không bẻ khóa hệ thống SWIFT mà chúng gửi đi những lệnh hoàn toàn hợp lệ, từ bên trong. 

Bối cảnh: 

SWIFT là mạng nhắn tin tài chính các ngân hàng dùng để ra lệnh chuyển tiền liên ngân hàng xuyên quốc gia. Đây là vector đắt giá nhất trong series và bị hiểu sai nhiều nhất, vì nhiều người tưởng cần phá được mã hóa SWIFT. Thực tế thì không. 

Phân tích chuỗi tấn công từ chuyên gia VSEC: 

Chuỗi các bước trong vector này được ghi nhận trong các vụ thực tế được cho là hoạt động theo luồng sau: 

Bước 1: Chiếm Domain Admin 

Bước 2: Thao túng Terminal SWIFT 

Bước 3: Tạo lệnh chuyển tiền giả 

Bước 4: Tác động vào Log/Printer, xóa dấu vết khiến các giao dịch gian lận không xuất hiện trên máy in printer, log  

Chuỗi tấn công của hacker

1. Xâm nhập ban đầu: Email đính kèm file độc hại; nhân viên mở, malware được cài. 
2. Chiếm quyền hệ thống: Malware cho phép điều khiển máy và duy trì truy cập. 
3. Di chuyển & tăng quyền: Thu thập thông tin trong mạng nội bộ, chiếm tài khoản đặc quyền. 
4. Xâm phạm hệ thống SWIFT của ngân hàng (ví dụ qua SWIFT Access Alliance) và đánh cắp thông tin xác thực. 
5. Tạo lệnh chuyển tiền giả tới các tài khoản ở nước ngoài. 
6. Ẩn dấu vết: Xóa/sửa log, chặn thông báo xác nhận, can thiệp máy in để giao dịch gian lận không hiển thị. 
7. SWIFT xử lý lệnh: Vì lệnh trông hợp lệ, hệ thống xử lý và chuyển tiền thành công. 
8. Tiền chuyển ra nước ngoài tới tài khoản trung gian (Philippines, Sri Lanka…). 
9. Rửa tiền: Qua casino, công ty bình phong, nhiều lớp tài khoản. 
10. Tiền bị chiếm đoạt: Phần lớn khó thu hồi. 

Case study: 

Bangladesh Bank (2016): 35 lệnh SWIFT MT (Message Type) giả được gửi tới Federal Reserve Bank of New York. 

Tổng giá trị cố gắng chuyển xấp xỉ 951 triệu USD  

Thực tế: 81 triệu USD đã chuyển thành công (5/35 lệnh được duyệt) 

Lệnh được tạo bằng credential hợp lệ nên không bị phát hiện tức thời bởi hệ thống SWIFT. 

 => Đây là một ví dụ điển hình cho thấy hacker không nhất thiết phải phá vỡ hệ thống thanh toán SWIFT; chỉ cần xâm nhập được hệ thống nội bộ của ngân hàng, chiếm quyền hợp lệ và thao túng dữ liệu/log, họ có thể biến chính hạ tầng ngân hàng thành công cụ thực hiện và che giấu giao dịch gian lận.

Tại Việt Nam năm 2015, một ngân hàng đã chặn kịp lệnh chuyển giả >1 triệu EUR. Đây được cho là vụ đầu tiên trong chuỗi tấn công của Lazarus trước Bangladesh. Năm 2025, một ngân hàng khác tại Việt Nam cũng ghi nhận thiệt hại tới 100 tỷ VND cùng với 1 thủ đoạn tấn công tương tự. 

=> Điều này cho thấy hacker có thể đi vòng qua hệ thống ngân hàng thông qua bên thứ ba, sau đó lợi dụng quyền truy cập và malware để tạo giao dịch SWIFT giả. Vì vậy, bảo mật chuỗi cung ứng và khả năng phát hiện bất thường trong giao dịch quan trọng không kém việc bảo vệ hệ thống ngân hàng cốt lõi.

Cách tiếp cận của VSEC 

Phòng thủ hiệu quả không nằm ở “SWIFT tốt hơn” mà ở việc kiểm soát con đường tới quyền quản trị và phát hiện di chuyển ngang trước khi terminal bị chạm tới. Là tổ chức đầu tiên tại Việt Nam đạt CREST cho kiểm thử xâm nhập (Penetration Testing) và SOC (Security Operations Center) từ năm 2022, VSEC mô phỏng đúng chuỗi này để chỉ ra điểm lẽ ra phải bị chặn. 

Nếu hệ thống thanh toán của bạn chưa bao giờ được red-team kiểm thử từ một điểm đặt chân giả định, đó nên là bài kiểm tra ưu tiên. → Talk to our Pentest team