Поделиться
Как Citibank потерял $500 млн из-за «сделанного на коленке» интерфейса ПО
Сотрудники Citibank совершили ошибочный перевод на $900 млн вместо $7,8 млн по долгам компании Revlon. Они допустили эту ошибку из-за очень неудобного интерфейса банковского софта Flexcube, и многие кредиторы решили не возвращать банку деньги. В итоге он остался без $500 млн и обратился в суд, но тот встал на сторону кредиторов.
Минус полмиллиарда из-за «кривого» ПО
Крупный американский банк Citibank за одно мгновение лишился $500 млн из-за недосмотра сотрудников и плохого интерфейса банковского ПО. Как пишет Ars Technica, банк пытался перевести $7,8 млн по процентам, но вместо этого отправил $900 млн, и на возврат $500 млн из них он не имеет права претендовать по решению суда.
Citibank использовал для перевода программное обеспечение Flexcube, интерфейс которого в Ars Tecnica назвали «нелепым», «сделанным на коленке» (kludgey). А началось все с американского производителя косметики Revlon, который задолжал многочисленным кредиторам как раз около $900 млн.
Citibank выступал в качестве агента Revlon, и 11 августа 2020 г. его сотрудники должны были направить кредиторам Revlon процентные платежи – злополучные $7,8 млн. Однако Revlon находился в процессе рефинансирования своего долга – выплаты нескольким кредиторам при одновременном переводе остальной части долга в новый заем.
В сочетании с плохо проработанным интерфейсом Flexcube это рефинансирование привело к тому, что банк случайно выплатил основную сумму по всему кредиту, хотя большая часть которого не должна была быть погашена до 2023 г.
Все напутали индусы
При выполнении транзакции на $7,8 млн банк должен был выплатить кредиторам Revlon причитавшуюся им часть от общего долга, после чего его сотрудникам необходимо было восстановить срочный заем и зафиксировать его в системе банка, как если бы он был полностью погашен. Тем самым банк инициировал бы выплату начисленных процентов всем кредиторам, но деньги при этом ушли бы на специальный «внутренний счет» непосредственно в Citibank.
Осуществить операцию перевода денег должен был некий субподрядчик Citibank в Индии, но тот не смог разобраться в интерфейсе Flexcube и совершил ряд фатальных ошибок при работе с ним.
В частности, этот подрядчик был уверен, что установка флажка «основная сумма» и ввод номера внутреннего счета в Citibank гарантируют, что основной платеж останется на счетах самого банка. Это его и подвело – на самом деле, согласно логике Flexcube, нужно было установить значения полей для внутреннего счета и для «основного долга», но индийский субподрядчик так этого и не сделал.
Стоит отметить, что вина в случившемся лежит далеко не только на субподрядчике, не сумевшем освоить тонкости работы оболочки Flexcube. Внутренние процедуры Citibank требуют, чтобы перевод столь крупной суммы денег одобряли три человека, и в данном случае это был коллега субподрядчика (тоже из Индии) и неназванный высокопоставленный сотрудник банка в Делавэре (США). Все трое были полностью уверены в правильности действий, и сотрудник банка в итоге сказал: «Выглядит хорошо, продолжайте» (Looks good, please proceed).
Кредиторы не хотят возвращать деньги
Ошибка, стоившая Citibank полумиллиарда долларов, была обнаружена буквально на следующее утро, 12 августа 2020 г. Банк оперативно связался с каждым из кредиторов и уведомил их о том, что при переводе средств возникла ошибка. Некоторые кредиторы согласились вернуть перечисленные им деньги, но далеко не все пошли на такие уступки.
Многие из них, пишет Ars Technica, находились в конфликте как с компанией Revlon, из-за пандемии коронавируса находящейся в затруднительном финансовом положении, так и с самим Citibank. По сути, ошибка Citibank позволила им получить свои деньги, которые производитель косметики из-за своих трудностей мог и вовсе никогда не вернуть. Поэтому кредиторы и не стали идти навстречу Citibank.
Суд не поможет
Получив отказ, Citibank в стремлении вернуть свои $500 млн подал в суд, аргументируя это тем, что он имеет право вернуть деньги, поскольку деньги были отправлены по ошибке. Но штаб-квартира банка находится в штате Нью-Йорк и подчиняется действующим в нем законам, один из которых действительно гласит, что лицо, отправившее ошибочный банковский перевод (например, платеж на неправильный счет), имеет право на возврат денег.
Однако этот закон имеет одно исключение, которое может заставить Citibank навсегда попрощаться со своими $500 млн. Оно затрагивает именно ситуацию, когда должник случайно переводит деньги кредитору. И если кредитор не знал заранее, что произведенный платеж был ошибочным, то такой перевод следует рассматривать именно как погашение ссуды.
Судья Джесси Фурман (Jesse Furman), рассматривающий это дело, постановил, что данное исключение в законе применимо и здесь, несмотря на то, что Citibank уведомил кредиторов об ошибке уже на следующий день. Кредиторы подтвердили, что суммы, полученные ими, до последнего пенни соответствуют размеру долга Revlon перед ними, и этот факт дает им основание полагать, что перевод был ни чем иным, как досрочным погашением кредита.
Судья Фурман также утверждал, что для кредиторов было вполне разумным предположить, что такой продвинутый банк, как Citibank, попросту не может «случайно» отправить столь крупную сумму денег. «Верить в то, что Citibank, одно из самых сложных финансовых институтов в мире, совершил ошибку, которой никогда не было раньше, на сумму почти в $1 млрд, было бы иррационально», – отметил он.
Однако судебный процесс еще не завершен. Фурман приказал кредиторам хранить средства на депонировании, чтобы дать банку время обжаловать судебный вердикт. Юристы Citibank уже заявили о своем категорическом несогласии с решением Джесси Фурмана и намерении подать апелляцию. «Мы считаем, что имеем право на получение средств, и будем продолжать добиваться их полного возмещения», – заявили они.
ИТ-проблемы Citibank
Citibank – это один из старейших и крупнейших современных банков. Основанный в 1812 году в Нью-Йорке как City Bank of New York и затем переименованный в First National City Bank of New York, в настоящее время он входит под своим нынешним названием в международную финансовую корпорацию Citigroup.
За последние 20 лет Citibank неоднократно сталкивался с проблемами на фоне несовершенства своей ИТ-системы. Например, в мае 2006 г. в компьютерной сети его японских филиалов произошел крупный сбой, в результате которого за несколько дней банк провел почти 275 тыс. ошибочных транзакций.
В июне 2008 г. выяснилось, то Citibank плохо следил за безопасностью своих банкоматов, что привело к их взлому неизвестными хакерами. Киберпреступники в течение полугода воровали PIN-коды клиентов банка и в итоге сумели вывести из него более $2 млн.
Но наиболее яркий пример провала Citibank по части ИТ-безопасности произошел в марте 2012 г. Мошеннику из Питтсбурга тогда удалось выдать себя за самого Пола Аллена (Paul Allen) – миллиардера и человека, стоящего у истоков корпорации Microsoft наряду с Биллом Гейтсом (Bill Gates). 30-летний (на тот момент) житель Питтсбурга (США) Брэндон Прайс (Brandon Price) обманным путем смог получить платежную карту Аллена, но не успел воспользоваться ею по полной программе – прежде, чем его поймали, он смог потратить с нее лишь около $15 тыс.
Короткая ссылка
