Ransomware-aanval op ICBC verstoort de handel op de Amerikaanse staatsobligatiemarkt

Ontgrendel gratis de Editor’s Digest

Roula Khalaf, redacteur van de FT, selecteert in deze wekelijkse nieuwsbrief haar favoriete verhalen.

Een ransomware-aanval op de grootste bank van China heeft de markt voor Amerikaanse staatsobligaties ontwricht door klanten van de Industrial and Commercial Bank of China te dwingen hun transacties om te leiden, zeiden marktdeelnemers donderdag.

De Securities Industry and Financial Markets Association vertelde de leden woensdag voor het eerst dat ICBC getroffen was door ransomwaresoftware, die computersystemen lamlegt tenzij er een betaling wordt gedaan, aldus verschillende mensen die bekend zijn met de discussies.

Volgens handelaren en banken heeft de aanval ICBC ervan weerhouden om namens andere marktdeelnemers staatsobligatietransacties af te handelen, waarbij ook sommige aandelentransacties werden getroffen. Marktdeelnemers, waaronder hedgefondsen, hebben transacties omgeleid vanwege de verstoring en de aanval hadden volgens handelsbronnen enig effect op de liquiditeit van de staatsobligatiemarkt, maar het algemene functioneren van de markt werd hierdoor niet aangetast.

Volgens enkele mensen die over het incident waren ingelicht, begon ICBC vanaf donderdagmiddag met het herstellen van de diensten. Een persoon die bekend was met de situatie zei: “Het bedrijf heeft mensen verteld dat ze eraan werken om transacties met Amerikaanse staatsobligaties zo snel mogelijk op te lossen.”

Een woordvoerder van het ministerie van Financiën zei: “We zijn ons bewust van het cyberveiligheidsprobleem en hebben regelmatig contact met belangrijke deelnemers uit de financiële sector, naast federale toezichthouders. Wij blijven de situatie monitoren.”

ICBC reageerde niet onmiddellijk op een verzoek om commentaar.

“Dit is een groot feest [the Fixed Income Clearing Corporation]Dus [it is] zeker van groot belang, en mogelijk van invloed op de liquiditeit van Amerikaanse staatsobligaties”, aldus een directeur van een grote bank die Amerikaanse staatsobligaties vereffent. De Fixed Income Clearing Corporation is een dochteronderneming van de Depository Trust and Clearing Corporation, die de afwikkeling en clearing van transacties in Amerikaanse staatsobligaties verzorgt.

Toch merkten andere deskundigen op de Treasury-markt op dat handelaren vaak relaties hebben met meerdere banken, waardoor transacties met succes naar elders werden omgeleid en uitgevoerd. “Iedereen heeft een back-up voor clearing in deze situaties”, zegt Kevin McPartland, hoofd marktstructuur en technologieonderzoek bij Coalition Greenwich.

De rente op staatsobligaties is donderdagmiddag scherp gestegen, na een bijzonder slechte veiling voor dertigjarige obligaties. De 30-jaarsrente steeg met 0,12 procentpunt naar 4,78 procent. Het was onduidelijk of de veiling getroffen werd door de aanval op ICBC.

Ransomware-aanvallen zijn sinds de pandemie van het coronavirus in aantal toegenomen, deels omdat werken op afstand bedrijven kwetsbaarder heeft gemaakt en cybercriminele groepen beter georganiseerd zijn geworden.

Het was echter “uiterst ongebruikelijk voor een bank van [ICBC’s] omvang zal op deze manier worden beïnvloed”, zegt Allan Liska, analist van bedreigingsinformatie bij cyberbeveiligingsbedrijf Recorded Future, en merkt op dat de financiële sector meer investeert in de bescherming tegen cyberaanvallen dan welke andere sector dan ook.

Volgens twee bronnen werd de aanval uitgevoerd met LockBit 3.0-software. De software is ontwikkeld door LockBit, een van de meest spraakmakende criminele cybergroepen, die slopende aanvallen uitvoert op doelen als ION, de City of London en de Royal Mail.

De groep, die vermoedelijk vanuit Rusland en Oost-Europa opereert, verhuurt zijn software ook aan aangesloten bedrijven, een model dat bekend staat als RaaS, of ransomware as a service. Het is onduidelijk of de hack van donderdag door de criminele groep of door een van haar klanten is uitgevoerd.

Eerder op donderdag werd Allen & Overy getroffen door een ransomware-aanval op zijn servers. Het advocatenkantoor van de “magische cirkel” zei dat het de impact van de aanval onderzoekt en de getroffen cliënten informeert.

Aanvullende rapportage door Stephen Gandel in New York