Sri Lanka tappar bort ny utlandsbetalning efter hackerstöld mot finansdepartementet

Sri Lanka har avslöjat ännu en försvunnen internationell betalning bara dagar efter att landet medgav att hackare stulit 2,5 miljoner dollar genom att angripa finansministeriet, rapporterar TechCrunch. Myndigheterna uppger att en betalning på omkring 625 000 dollar till USA:s postmyndighet har varit borta i flera veckor, sedan amerikanska företrädare meddelat att pengarna aldrig kom fram. Uppgifterna följer på en tidigare händelse där hackare påstås ha lett om en betalning från Sri Lankas postmyndighet till andra bankkonton.

Mönstret som beskrivs av Sri Lankas tjänstemän stämmer med ett välkänt och lågmält felmönster: kapning av affärsmejl. I stället för att knäcka kryptering eller använda avancerade skadeprogram tar angripare sig in i en inkorg eller ett bokföringsflöde och ändrar sedan bankuppgifter på fakturor eller betalningsinstruktioner precis när pengar ska flyttas. TechCrunch noterar att USA:s federala polismyndighet återkommande har beskrivit sådana bedrägerier som en av de största källorna till vinster för nätbrottslingar, med förluster på miljardnivå. För en stat är sårbarheten ofta mindre själva betalningssystemet och mer den administrativa verkligheten: stora organisationer skickar betalningar genom långa kedjor av godkännanden, delade inkorgar och leverantörskontakter som aldrig konstruerats som säkra system.

Sri Lankas senaste medgivande tyder på att problemet inte nödvändigtvis begränsar sig till en enskild lyckad stöld. Tjänstemän upptäckte den försvunna betalningen efter att hackare enligt uppgift försökt styra om ytterligare en betalning avsedd för Indien, och australiska företrädare ska enligt TechCrunch känna till oegentligheter i betalningar som Sri Lanka är skyldigt Australien. Det är fortfarande oklart om händelserna hänger ihop, och en parlamentsledamot säger att regeringen utreder eventuella kopplingar.

Tidpunkten är viktig eftersom Sri Lanka fortfarande försöker ta sig upp ur skuldinställelsen 2022 och den politiska turbulens som följde. I ett sådant läge är några miljoner dollar inte bara en post i bokföringen, utan en signal till långivare, motparter och leverantörer om huruvida fakturor betalas och om betalningsinstruktioner går att lita på. Om utländska myndigheter och leverantörer börjar behandla betalningsmejl från Sri Lanka som obekräftade får landet betala i friktion: fler manuella kontroller, fler mellanhänder och fler förseningar, långt innan någon domstol har identifierat angriparen.

Finansdepartementets högste tjänsteman beskrev den tidigare stölden offentligt vid en presskonferens, men bedrägeriets mekanik pekar mot en oglamorös åtgärdslista: hårdare kontroll över vem som får ändra mottagaruppgifter, verifiering via en separat kanal vid nya kontonummer och granskningsspår som faktiskt gås igenom. Den försvunna betalningen på 625 000 dollar upptäcktes först efter att mottagaren meddelat att den inte hade fått betalt.

Regeringen säger att betalningen har varit försvunnen i flera veckor. Den första bekräftelsen utifrån kom från USA:s postmyndighet: pengarna hade inte kommit fram.