Эта история — о щели между двумя системами, в которую семь лет проваливались деньги, пока щель не стала пропастью размером в бюджет небольшого государства.
В Мумбаи, в деловом районе Форт, стоит здание Brady House — один из филиалов Punjab National Bank, второго по величине государственного банка Индии. Филиал специализировался на обслуживании торговых операций: импорт, экспорт, валютные переводы. Работа рутинная, бумажная, с постоянным потоком заявок от ювелирных компаний — Мумбаи остаётся одним из мировых центров алмазной торговли, и бриллиантовый бизнес здесь даёт оборот в миллиарды долларов ежегодно. Среди клиентов филиала были компании, связанные с Ниравом Моди — ювелиром, чьи бутики работали в Нью-Йорке, Лондоне и Пекине, а имя попадало в списки богатейших индийцев по версии Forbes India, — и с его дядей Мехулом Чокси, владельцем Gitanjali Gems. Через Brady House проходили их запросы на торговое финансирование: компании закупали необработанные алмазы за рубежом, и им нужен был краткосрочный кредит в иностранной валюте. В январе 2018 года, когда один из причастных сотрудников вышел на пенсию и его сменщик попытался разобраться в незнакомых процедурах, вся конструкция начала трещать.
Размер обнаруженной дыры составил 11 394 крор рупий — это примерно 1,8 миллиарда долларов по тогдашнему курсу. Сумма, сопоставимая с годовым бюджетом индийского штата средних размеров. И при этом — ни одного взлома, ни одной скомпрометированной системы безопасности, ни единого вируса.
Чтобы понять механику произошедшего, придётся на минуту стать банковским клерком. Четыре термина — и картина сложится.
SWIFT (Society for Worldwide Interbank Financial Telecommunication) — это, по сути, почтовая служба для банков. Защищённая сеть, через которую финансовые учреждения по всему миру отправляют друг другу стандартизированные сообщения: «переведи деньги», «подтверди аккредитив», «гарантируй платёж». SWIFT не хранит деньги, не ведёт счетов, не проверяет, есть ли у банка-отправителя средства на выполнение обещания. Она доставляет конверт и удостоверяет, что конверт подлинный — криптографически подписанный, отправленный с верифицированного терминала. Но содержание конверта — ответственность отправителя.
Letter of Undertaking (LoU) — банковская гарантия, которую один банк выдаёт другому. Грубо говоря, PNB через SWIFT сообщает зарубежному филиалу Allahabad Bank в Гонконге: «Мы гарантируем, что наш клиент вернёт кредит в такой-то срок; если не вернёт — заплатим мы». На основании этого сообщения зарубежный банк выдаёт клиенту деньги. LoU был стандартным инструментом индийского торгового финансирования — Резервный банк Индии разрешал его использование для импортных операций, и тысячи компаний пользовались этим механизмом каждый день.
Buyer's credit — краткосрочный кредит в иностранной валюте, который импортёр получает от зарубежного банка для оплаты поставки. Ставки по такому кредиту обычно ниже, чем по рупийным займам внутри Индии, что делает его привлекательным для компаний с большими объёмами импорта. Схема проста: индийский банк выдаёт LoU, зарубежный банк на его основании кредитует импортёра, через 90 или 180 дней импортёр (или его индийский банк-гарант) возвращает деньги.
Core Banking Solution (CBS) — центральная учётная система банка, его бухгалтерский позвоночник. В случае PNB это было программное обеспечение Finacle, разработанное Infosys. Каждый кредит, каждый депозит, каждое обязательство должно отражаться в CBS. Если обязательство в CBS не записано — для банка его формально не существует. Оно не попадает в отчётность, не учитывается при расчёте рисков, не видно аудиторам, не влияет на баланс. Оно — призрак.
Схема, которую следствие восстановило по итогам расследования, обескураживает своей бытовой простотой. Сотрудники филиала Brady House — речь прежде всего о заместителе управляющего, имевшем доступ к SWIFT-терминалу, — отправляли через SWIFT сообщения о выдаче LoU в пользу компаний Нирава Моди и Мехула Чокси. Компании носили названия Solar Exports, Stellar Diamonds, Diamond R US и другие. Сообщения уходили в зарубежные филиалы индийских банков — например, Allahabad Bank и Axis Bank в Гонконге. Те, получив криптографически подлинное SWIFT-сообщение от PNB, не имели оснований сомневаться: запрос пришёл по защищённому каналу, с правильными кодами, от реального банка. Деньги выдавались.
Ключевой шаг мошенничества — то, что не было сделано. Выданные LoU не вносились в Finacle. Ни одна проводка не фиксировала, что PNB принял на себя обязательство заплатить, если клиент не вернёт кредит. Для CBS банка этих гарантий не существовало. Для SWIFT — они были абсолютно реальны. Два мира, две системы, и между ними — зазор, в который можно было протащить миллиарды.
Меня поражает вот что: это не требовало технической виртуозности. Никакого реверс-инжиниринга, никаких эксплойтов нулевого дня. Человек с доступом к SWIFT-терминалу и знанием того, что CBS не получит автоматического уведомления, мог годами генерировать обязательства, невидимые для собственного банка. Маржинальное обеспечение — залог, который клиент обязан внести при запросе LoU, — тоже не запрашивалось. Это означает, что компании Моди получали гарантии, по сути, бесплатно — без записи в учёте и без одобрения кредитного комитета.
Когда срок одного LoU истекал, выпускался новый — для погашения предыдущего. Классический перекат долга, который рос с каждым оборотом. Схема работала с 2011 года — почти семь лет.
Здесь начинается самое тревожное. Банк с десятками тысяч сотрудников, внешними аудиторами, регулятором в лице Резервного банка Индии — и никто не замечал обязательств на миллиарды долларов? Ответ кроется в архитектуре.
SWIFT-терминал в филиале Brady House работал как отдельный остров. Сообщения, отправленные через него, не генерировали автоматических записей в Finacle. Это была не ошибка конфигурации конкретного филиала — это было системное свойство: интеграция между SWIFT и CBS в PNB попросту отсутствовала. Оператор SWIFT мог отправить сообщение, и единственным свидетельством этого оставался журнал самой SWIFT-системы, к которому регулярный банковский аудит, сфокусированный на данных CBS, обращался редко или не обращался вовсе.
Принцип разделения полномочий (segregation of duties) — одна из базовых опор банковского контроля — предполагает, что человек, инициирующий транзакцию, не должен быть тем же человеком, который её авторизует и учитывает. В нормальной процедуре выдача LoU требует: запрос клиента, проверку его кредитного лимита, одобрение руководства, внесение записи в CBS, отправку SWIFT-сообщения. Каждый шаг — отдельный человек, отдельный контроль. Но когда SWIFT-сообщение можно отправить в обход CBS, вся цепочка контроля сжимается до одного человека за терминалом. Разделение полномочий превращается в фикцию.
Зарубежные банки-получатели тоже не имели причин для тревоги. SWIFT-сообщение криптографически аутентично. Оно пришло от PNB. Для Allahabad Bank в Гонконге проверять, зарегистрировано ли обязательство во внутренней системе PNB, — всё равно что проверять, написал ли сосед завещание, прежде чем принять от него письмо. Это за пределами их зоны ответственности и технических возможностей. Каждая сторона считала проверку делом другой.
Когда масштаб стал очевиден, Резервный банк Индии действовал быстро. 13 марта 2018 года — менее чем через месяц после публичного объявления PNB о мошенничестве — RBI выпустил циркуляр, менявший правила игры сразу по трём направлениям.
Первое и самое радикальное: LoU и LoC (Letters of Comfort) для торгового кредитования были полностью запрещены. Инструмент, которым индийские банки пользовались десятилетиями, был убран из обращения. Это решение стоило индийским импортёрам удорожания кредита — buyer's credit под LoU был дешевле альтернатив, — но регулятор решил, что риск злоупотреблений перевешивает экономию.
Второе: всем банкам было предписано интегрировать SWIFT-инфраструктуру с их Core Banking Systems в срок до 30 апреля 2018 года. Два месяца на то, чтобы ликвидировать щель, существовавшую годами. Отныне каждое SWIFT-сообщение должно было автоматически порождать запись в CBS — или блокироваться до ручного подтверждения с соответствующей авторизацией. Остров должен был стать полуостровом, а затем — частью материка.
Третье: ужесточение процедур внутреннего контроля, обязательная сверка SWIFT-сообщений с записями CBS, усиление мониторинга транзакций в реальном времени. По сути, RBI требовал от банков того, что должно было быть сделано изначально, — но в отсутствие катастрофы мотивации не находилось.
Для Нирава Моди и Мехула Чокси последствия были уголовными. Оба покинули Индию до того, как дело стало публичным. Моди был задержан в Лондоне в марте 2019 года и с тех пор оспаривает экстрадицию в британских судах. Чокси получил гражданство Антигуа и Барбуды, что создало отдельную юридическую коллизию. Несколько сотрудников PNB были арестованы. Процесс затянулся на годы — индийская судебная система работает в собственном ритме.
Контрфактический вопрос неизбежен: если бы SWIFT и Finacle были интегрированы с самого начала, случилось бы всё это?
Техническая интеграция закрыла бы именно ту щель, через которую работала схема. Если каждое SWIFT-сообщение о выдаче LoU автоматически создаёт запись в CBS, обязательство становится видимым. Оно попадает в баланс, в отчётность, в поле зрения аудиторов и кредитного комитета. Отсутствие маржинального обеспечения немедленно вызывает вопросы. Перекат долга — тоже: CBS зафиксирует, что предыдущий LoU не погашен, а новый уже запрашивается. Масштаб схемы — семь лет, почти два миллиарда долларов — был бы, по всей видимости, невозможен.
Но «невозможен в таком виде» и «невозможен вообще» — разные вещи. Интеграция систем — это барьер, а не стена до неба. Сотрудник с достаточными полномочиями мог бы вносить фиктивные записи и в CBS — фабрикуя документы о маржинальном обеспечении, подделывая одобрения. Это было бы сложнее, рискованнее, заметнее — но история банковского мошенничества полна примеров, когда люди находили обходные пути к любым системам контроля. Мне кажется честным сказать: интеграция почти наверняка предотвратила бы эту конкретную схему в её конкретном масштабе, но утверждать, что она устранила бы саму возможность мошенничества, — значит переоценивать технологию и недооценивать человеческую изобретательность.
Катастрофа PNB показательна для любой системы, где безопасность распределена между несколькими компонентами. SWIFT считал, что авторизация — дело банка-отправителя. CBS не знал, что SWIFT-сообщение вообще было отправлено. Зарубежный банк полагался на криптографическую подлинность сообщения как на доказательство полной легитимности операции. Каждый элемент цепочки работал корректно в рамках своей логики — и именно это создавало иллюзию контроля при его полном отсутствии.
Finacle — зрелый банковский продукт. SWIFT — одна из самых защищённых коммуникационных сетей в мире. Обе системы делали то, для чего были созданы. Проблема была в пространстве между ними — в допущении, что кто-то другой уже проверил. В критической инфраструктуре самый опасный сбой — тот, при котором каждая подсистема рапортует «всё штатно», потому что аварийный участок не принадлежит ни одной из них. PNB заплатил за это обнаружение ценой, которая до сих пор отражается в его балансе, а индийская банковская система лишилась целого класса финансовых инструментов, потому что регулятор решил, что проще убрать инструмент, чем гарантировать его безопасное использование. Был ли этот выбор избыточным — вопрос, на который индийские импортёры алмазов и их банкиры до сих пор дают разные ответы.