Südkoreas Financial Security Institute wurde Opfer eines Cyberangriffs, bei dem Hunderte Mitarbeiterdatensätze und Dokumente von Dutzenden Finanzunternehmen offengelegt wurden – weniger als zwei Wochen, nachdem die Kryptowährungsbörse Bithumb eine separate Sicherheitsverletzung gemeldet hatte.
Zusammenfassung
- Südkoreas Financial Security Institute wurde Opfer eines Cyberangriffs, bei dem rund 300 Datensätze mit personenbezogenen Informationen offengelegt wurden, die hauptsächlich Mitarbeitern von Finanzinstituten gehören.
- Hacker gaben sich Berichten zufolge als Finanzaufsichtsbehörde aus und nutzten eine Schwachstelle bei der Authentifizierung, um auf Dokumente zuzugreifen, die mit Dutzenden Finanzunternehmen in Verbindung stehen.
- Finanzaufsichtsbehörden und Polizei haben Untersuchungen des Sicherheitsvorfalls eingeleitet, während das Institut den Zugang zum betroffenen System gesperrt hat.
- Der Vorfall folgt auf eine separate Sicherheitsverletzung bei der Kryptowährungsbörse Bithumb im Oktober und eine Hacking-Drohung, die GOPAX im November dazu veranlasste, den Handel und Abhebungen auszusetzen.
Laut einem Bericht der Chosun Daily vom 11. November gaben sich die Angreifer als Beamter der Financial Supervisory Service (FSS) aus und nutzten Schwachstellen in einem Authentifizierungssystem, um unbefugten Zugriff auf die Datensätze des Instituts zu erlangen.
Das Institut, das dazu beiträgt, Südkoreas Finanzindustrie vor Cyberbedrohungen zu schützen, entdeckte den Eindringling am 9. November und sperrte anschließend den Zugang zum betroffenen System.
Vorläufige Erkenntnisse deuten darauf hin, dass Informationen von mehr als 40 Finanzunternehmen kompromittiert wurden, darunter rund 300 Datensätze mit personenbezogenen Informationen wie Namen und Geburtsdaten.
Hacker gaben sich als Finanzaufsichtsbehörde aus, um auf Sicherheitsdatensätze zuzugreifen
Die Angreifer zielten auf das Continuous Evaluation Support System des Instituts, eine Online-Plattform, die von Finanzunternehmen genutzt wird, um Dokumente einzureichen und Informationssicherheitsbewertungen durchführen zu lassen.
Die Ermittler stellten fest, dass die Hacker eine temporäre Zugangsseite ausgenutzt hatten, die für Situationen vorgesehen war, in denen die SMS-Authentifizierung nicht verfügbar war.
Der alternative Zugangsweg erforderte nicht denselben Verifizierungsprozess, wodurch die Angreifer über ein Konto, das der FSS zu gehören schien, in das System gelangen konnten.
Dem Bericht zufolge verwendeten die Angreifer während des Eindringens mehr als 100 verschiedene IP-Adressen und wechselten häufig ihre Verbindungen, um eine Entdeckung zu vermeiden.
Ein Beamter des Instituts erklärte, dass wiederholte Zugriffe auf ein System von derselben Adresse identifizierbare Spuren hinterlassen können, was erklären könnte, warum die Angreifer ständig die Adressen wechselten.
Das kompromittierte Konto verfügte Berichten zufolge über Berechtigungen, die mit Finanzaufsichtsbehörden verbunden sind, die von mehreren Institutionen eingereichte Informationen überprüfen können. Gewöhnliche Finanzunternehmen hingegen können nur auf ihre eigenen Datensätze zugreifen.
Die Ermittler untersuchen, wie das betrügerische Konto diese Berechtigungen erhielt und ob die Authentifizierungsausnahme ordnungsgemäß verwaltet wurde.
Das offengelegte Material umfasste etwa 200 Verwaltungsformulare, mehr als 300 Datensätze mit personenbezogenen Informationen und rund 350 Systembenutzerdatensätze mit teilweise maskierten Namen und Telefonnummern.
Die meisten der betroffenen personenbezogenen Informationen gehörten Mitarbeitern, die für Sicherheitsbewertungen bei Finanzinstituten verantwortlich sind.
Das Institut erklärte, dass die kompromittierte Plattform keine sensiblen Netzwerkkonfigurationen, Ergebnisse von Schwachstellenbewertungen oder persönliche Kreditinformationen von Kunden speicherte.
Südkorea untersucht Sicherheitsverletzung, die Dutzende Finanzunternehmen betrifft
Nach der Entdeckung meldete das Institut den Vorfall der Financial Services Commission und der Korea Internet & Security Agency.
Die betroffenen Finanzunternehmen wurden einzeln benachrichtigt, während das Institut mit den Vorbereitungen begann, Mitarbeiter zu informieren, deren personenbezogene Informationen offengelegt worden waren.
Die Behörden leiteten eine Untersuchung des Angriffs ein, wobei die Polizei am 10. November technische Informationen erhielt, darunter IP-Adressen, die mit dem Eindringen in Verbindung stehen.
Die Finanzaufsichtsbehörden begannen am folgenden Tag mit einer Vor-Ort-Prüfung, um die Sicherheitsvorkehrungen des Instituts zu untersuchen und festzustellen, wie die Angreifer Zugang erlangten.
Das Institut erklärte, es werde seine Sicherheitsmanagementverfahren überprüfen und eine Entschädigung leisten, falls durch die offengelegten Informationen zusätzliche Schäden entstehen.
Der Vorfall folgt auf mehrere Cybersicherheitsprobleme in der südkoreanischen Finanzbranche, darunter Angriffe auf Kryptowährungsbörsen.
Im Oktober identifizierten die Aufsichtsbehörden Sicherheitsvorfälle bei 16 Finanzinstituten, darunter zwei Kryptowährungsunternehmen, während etwa 100.000 Kundendatensätze als offengelegt gemeldet wurden.
Eine branchenweite Überprüfung identifizierte anschließend Sicherheitsschwächen bei 130 der 555 untersuchten Finanzunternehmen.
Bithumb und GOPAX waren mit getrennten Sicherheitsvorfällen konfrontiert
Der jüngste Angriff folgt auf einen Vorfall vom 27. Oktober bei Bithumb, bei dem eine unbefugte Partei auf das interne mobile Groupware-System der Kryptowährungsbörse zugriff, das für die Mitarbeiterkommunikation genutzt wird.
Wie crypto.news zuvor berichtete, bestätigte Bithumb, dass Mitarbeiterinformationen offengelegt worden waren, und begann zu untersuchen, ob Kundendatensätze enthalten waren.
Die Börse betonte, dass das kompromittierte System getrennt von ihrer Handelsinfrastruktur betrieben wurde und nicht für den Zugriff auf Kryptowährungsbestände von Kunden genutzt werden konnte.
Im selben Zeitraum gab Daishin Securities bekannt, dass persönliche und Kreditinformationen von 38.490 Kunden offengelegt worden waren, während Mirae Asset Global Investments einen unbefugten Zugriff auf bestimmte Systeme meldete.
In jüngerer Zeit setzte die südkoreanische Börse GOPAX am 6. November den Handel und Auszahlungen aus, nachdem sie eine E-Mail mit der Drohung eines Cyberangriffs erhalten hatte.
GOPAX erklärte, zum Zeitpunkt der Einführung der Beschränkungen weder einen tatsächlichen Eindringversuch noch einen Diebstahl von Kryptowährungen festgestellt zu haben.
Die Financial Services Commission hatte inländischen Kryptowährungsbörsen separat angewiesen, nach dem Binance-Hack vom 29. Oktober die Zugriffskontrollen für Administratoren, die Genehmigungsverfahren für Auszahlungen und die Transaktionsüberwachung zu verstärken.
Nach den bestehenden südkoreanischen Vorschriften müssen Börsen mindestens 80 % der Kryptowährungsbestände ihrer Kunden in Cold Storage halten.
Ende September hielt Bithumb 94,76 % der Kundenbestände offline, während GOPAX eine Quote von 80,54 % meldete.
