Zwei Verstöße, eine Bank: Lehren aus der ICBC-Cyberkrise

Ende 2023 kam es zu einer großen Disruption auf dem 26 Billionen US-Dollar schweren Markt für US-Staatsanleihen. Der Bankhandel kam zum Erliegen. Die Kommunikationssysteme brachen zusammen. Milliarden von Dollar standen auf dem Spiel.  

Die Quelle? Ein Ransomware-Angriff zielte auf eine der größten Banken der Welt ab: die Industrial and Commercial Bank of China (ICBC).  

Weniger als ein Jahr später sah sich die Bank mit einem weiteren Verstoß konfrontiert – diesmal in ihrer Londoner Filiale.  

"ICBC sah sich mit dem Schlimmsten aus beiden Welten konfrontiert", erklärt Raghu Nandakumara, Senior Director of Industry Solutions Marketing bei Illumio. "Im Jahr 2023 kam es zu Serviceunterbrechungen, gefolgt von einer Datenschutzverletzung im Jahr 2024."

Beide Vorfälle deckten systemische Schwachstellen im globalen Bankgeschäft auf und warfen Fragen über die Widerstandsfähigkeit des Finanzsektors gegenüber ausgeklügelten Cyberbedrohungen auf.

Ein genauerer Blick: Anatomie von zwei Verstößen  

November 2023: Ransomware-Angriff auf ICBC in den USA

In November 2023, the LockBit group launched its calculated ransomware attack on ICBC’s U.S. broker-dealer unit.  

Dieser Streik störte wichtige Systeme, die für die Verwaltung von US-Staatsanleihen und Repo-Finanzierungen von entscheidender Bedeutung sind.  

Infolgedessen wurden die Handelsabfertigungen gestoppt und Zahlungsverzögerungen wirkten sich auf dem gesamten Markt aus.

Wichtige Details zu den operativen und finanziellen Auswirkungen

• ‍System shutdowns: Core platforms for settling payments and clearing trades were inaccessible for days.
• ‍Emergency actions: ICBC injected capital into its U.S. division to stabilize operations after taking on a $9 billion debt to BNY Mellon, which was more than the division’s net capital​.
• ‍Workarounds: Bank employees relied on USB drives to process trades manually. During the crisis, they used Gmail instead of their corporate emails, which raised security concerns.​

Die Antwort der SEC

Die U.S. Securities and Exchange Commission (SEC) untersuchte den ICBC-Verstoß 2023 und stellte Probleme mit der Führung von Aufzeichnungen und der Kommunikation fest.  

Sie verhängten keine Geldstrafen. Aber der Vorfall machte deutlich: Operative Resilienz ist nicht verhandelbar.

"Die Reaktion der SEC war interessant – ein kleiner Schlag auf das Handgelenk und sagte: 'Lasst das nicht noch einmal passieren.' Aber auch die Transparenz und die schnelle Reaktion der ICBC anerkennen." – Raghu Nandakumara

September 2024: Datenpanne in der Londoner Niederlassung der ICBC

Weniger als ein Jahr später drang die Ransomware-Gruppe Hunters International in die Londoner Niederlassung der ICBC ein.  

Die Angreifer stahlen 6,6 Terabyte an Daten, darunter sensible Kundeninformationen und interne Betriebsdateien.

"Die Herausforderung bei der Datenexfiltration ist das Unbekannte – wie werden Angreifer diese Daten in Zukunft verwenden?" – Raghu Nandakumara

Wichtige Details zum ICBC-Vorfall 2024

• Ransom demands: The attackers threatened to release the data if their financial demands were unmet​.
• ‍Global reputation: The breach highlighted ICBC’s systemic vulnerabilities and raised questions about its cross-border operational security​.

"Sowohl die ICBC-Verstöße 2023 als auch 2024 haben kritische Lücken in ihren Sicherheitsvorkehrungen aufgedeckt – und gezeigt, dass sich Veränderungen trotz der Verpflichtung zur Verbesserung nicht über Nacht vollziehen." – Raghu Nandakumara

Ist das globale Banking gefährdet?

Wie konnte eine Schwäche in einer Filiale eine ganze Institution – und ihre globalen Aktivitäten – gefährden?

Die ICBC-Verstöße, zuerst in den USA und dann in London, zeigten genau, wie: Die Angriffe störten den Betrieb, schädigten den Ruf der Bank und deckten kritische Lücken in ihren Cybersicherheitsmaßnahmen auf.  

Raghu erklärt: "Die ICBC-Verstöße haben eine harte Wahrheit gezeigt: Eine einzige Schwachstelle in einem Zweig oder System kann das gesamte Netzwerk gefährden."  

Beide ICBC-Verstöße zeigten große Schwächen in der Funktionsweise ihrer Finanzoperationen auf:

• Systemabhängigkeiten: The U.S. attack showed how fragile interconnected trade systems are, where a single point of failure can disrupt markets worldwide.
• ‍Cross-border inconsistencies: The London breach showed gaps in harmonized cybersecurity protocols​.
• ‍Crisis vulnerabilities: Both incidents showed the operational risks of using temporary, insecure solutions such as manual trading or unsecured email platforms.

"Gehen Sie davon aus, dass die Sicherheitsverletzung die Realität ist. Angriffe sind unvermeidlich. Die Verstöße gegen die ICBC sind ein Beispiel dafür." – Raghu Nandakumara

Verfolgung schwerwiegender finanzieller Verstöße

Die Sicherheitsverletzungen der ICBC sind Teil eines wachsenden Trends von Cyberangriffen auf Finanzinstitute.  

Zu den wichtigsten Vorfällen gehören:

• 2015 Carbanak Gang: This cybercrime group stole over $1 billion by using malware to hack banks and change account balances.
• 2016 Bangladesh Bank Heist: Hackers stole $81 million from Bangladesh Bank’s account at the Federal Reserve Bank by exploiting vulnerabilities in the SWIFT payment system.
• 2017 Equifax Data Breach: This was one of the largest data breaches in history, affecting 147 million people. Hackers found a weakness in Equifax's web application and used it to get access to sensitive personal information.
• 2018 Cosmos Bank Attack: Cybercriminals stole $13.5 million—hacking the bank’s ATM server to trigger fake transactions.
• 2019 Capital One Data Breach: A former employee exploited a misconfigured firewall to access the personal data of more than 100 million customers.
• 2020 Finastra Ransomware Attack: The fintech giant was hit by a ransomware attack which disrupted its services and operations.
• 2021 CNA Financial Ransomware Attack: One of the largest U.S. insurance companies paid $40 million after a cyberattack encrypted its data.
• 2022 Ronin Network Hack: Hackers stole $625 million from the blockchain-based gaming network, affecting financial transactions in the ecosystem.
• 2023 ICBC Ransomware Attack: The LockBit group attacked ICBC’s U.S. financial services division with ransomware, disrupting U.S. Treasury trading.  
• 2023 MOVEit Transfer Data Breach: A flaw in the MOVEit Transfer software exposed sensitive data from several financial institutions.
• 2024 ICBC London Ransomware Attack: The Hunters International ransomware group stole 6.6 terabytes of data from ICBC’s London branch and threatened to release it if their demands weren’t met.
• 2024 Cloud IT Service Provider Attack: A ransomware attack on a cloud IT provider caused outages at 60 U.S. credit unions, highlighting the risks of relying on third parties. ‍

Der Banküberfall in Bangladesch 2016: Ein Wendepunkt

• What happened: In February 2016, cybercriminals exploited weaknesses in the SWIFT payment system to steal $81 million from Bangladesh Bank’s account at the Federal Reserve Bank of New York.
• ‍How they did it: Hackers installed malware to spy on the bank’s systems. They observed SWIFT transactions, manipulated them, and sent fraudulent transfer requests. They aimed for nearly $1 billion, but a typo in one request triggered suspicion and stopped the attack early.
• ‍Impact: The heist resulted in significant financial loss and reputational damage, exposing weaknesses in interbank transfer protocols and the need for stronger security measures.
• ‍Key takeaways:
  • ‍Secure payment systems are critical: Interbank systems like SWIFT require robust security protocols to prevent manipulation.
  • ‍Constant monitoring is essential: Early detection through monitoring and anomaly alerts could have reduced the impact.

Wie DORA die Cyber-Resilienz für den Finanzsektor gestaltet

The EU’s Digital Operational Resilience Act (DORA) provides a framework for addressing many vulnerabilities revealed in these breaches.  

DORA betont:

• Resilience testing: Ensuring systems can withstand sophisticated cyberattacks​  
• ‍Incident reporting: Establishing transparency and accountability for breaches​  
• ‍Proactive risk management: Identifying and mitigating operational risks before incidents occur​  

"Das Ziel von Regulierungen wie DORA ist einfach: Cyberangriffe daran zu hindern, großen Schaden anzurichten – sei es für ein einzelnes Unternehmen oder das gesamte Finanzsystem." – Raghu Nandakumara  

Die Serie von Cyberangriffen auf den Finanzsektor von 2015 bis 2024 unterstreicht zwei dringende Notwendigkeiten: starke regulatorische Rahmenbedingungen und eine größere Cyberresilienz bei Finanzdienstleistern und ihren wichtigsten Dienstleistern.

‍Are you interested in learning more about DORA compliance? Download our free eBook, Strategies for DORA Compliance: The Key Role of Microsegmentation.

Sources: ‍

• ‍Reuters ‍
• Das Register