Południowokoreański Instytut Bezpieczeństwa Finansowego padł ofiarą cyberataku, w wyniku którego ujawniono setki rekordów pracowników i dokumenty należące do dziesiątek firm finansowych, niespełna dwa tygodnie po tym, jak giełda kryptowalut Bithumb zgłosiła odrębny incydent bezpieczeństwa.
Podsumowanie
- Południowokoreański Instytut Bezpieczeństwa Finansowego padł ofiarą cyberataku, w wyniku którego ujawniono około 300 rekordów danych osobowych należących głównie do pracowników instytucji finansowych.
- Hakerzy mieli podszyć się pod regulatora finansowego i wykorzystać słabość uwierzytelniania, aby uzyskać dostęp do dokumentów związanych z dziesiątkami firm finansowych.
- Regulatorzy finansowi i policja wszczęli dochodzenia w sprawie naruszenia, a instytut zablokował dostęp do dotkniętego systemu.
- Incydent następuje po odrębnym naruszeniu bezpieczeństwa na giełdzie kryptowalut Bithumb w październiku oraz po zagrożeniu hakerskim, które skłoniło GOPAX do zawieszenia handlu i wypłat w listopadzie.
Według raportu Chosun Daily z 11 listopada napastnicy podszyli się pod urzędnika Financial Supervisory Service (FSS) i wykorzystali słabości systemu uwierzytelniania, aby uzyskać nieuprawniony dostęp do rekordów instytutu.
Instytut, który pomaga chronić południowokoreański sektor finansowy przed cyberzagrożeniami, wykrył włamanie 9 listopada, a następnie zablokował dostęp do dotkniętego systemu.
Wstępne ustalenia wskazują, że naruszono informacje związane z ponad 40 firmami finansowymi, w tym około 300 rekordów danych osobowych zawierających imiona i nazwiska oraz daty urodzenia.
Hakerzy podszyli się pod regulatora finansowego, aby uzyskać dostęp do rekordów bezpieczeństwa
Napastnicy obrali za cel System Wsparcia Ciągłej Oceny instytutu, platformę online używaną przez firmy finansowe do przesyłania dokumentów i przechodzenia ocen bezpieczeństwa informacji.
Śledczy ustalili, że hakerzy wykorzystali tymczasową stronę dostępu przeznaczoną na sytuacje, w których uwierzytelnianie SMS było niedostępne.
Alternatywna ścieżka dostępu nie wymagała tego samego procesu weryfikacji, co pozwoliło napastnikom wejść do systemu przez konto, które wydawało się należeć do FSS.
Według raportu napastnicy podczas włamania użyli ponad 100 różnych adresów IP, często zmieniając połączenia, aby uniknąć wykrycia.
Urzędnik instytutu wyjaśnił, że wielokrotny dostęp do systemu z tego samego adresu może pozostawić możliwe do zidentyfikowania ślady, co może tłumaczyć, dlaczego napastnicy stale zmieniali adresy.
Przejęte konto miało rzekomo uprawnienia związane z regulatorami finansowymi, którzy mogą przeglądać informacje przesyłane przez wiele instytucji. Zwykłe firmy finansowe dla porównania mogą uzyskać dostęp wyłącznie do własnych rekordów.
Śledczy badają, w jaki sposób oszukańcze konto otrzymało te uprawnienia oraz czy wyjątek uwierzytelniania był należycie zarządzany.
Ujawnione materiały obejmowały około 200 formularzy administracyjnych, ponad 300 rekordów danych osobowych oraz około 350 rekordów użytkowników systemu zawierających częściowo zamaskowane imiona i nazwiska oraz numery telefonów.
Większość dotkniętych danych osobowych należała do pracowników odpowiedzialnych za oceny bezpieczeństwa w instytucjach finansowych.
Instytut podał, że przejęta platforma nie przechowywała wrażliwych konfiguracji sieciowych, wyników oceny podatności ani osobistych informacji kredytowych klientów.
Korea Południowa bada naruszenie dotykające dziesiątki firm finansowych
Po wykryciu incydentu instytut zgłosił go Komisji Usług Finansowych oraz Koreańskiej Agencji Internetu i Bezpieczeństwa.
Dotknięte firmy finansowe zostały indywidualnie powiadomione, a instytut rozpoczął przygotowania do poinformowania pracowników, których dane osobowe zostały ujawnione.
Władze wszczęły dochodzenie w sprawie ataku, a policja otrzymała informacje techniczne, w tym adresy IP związane z włamaniem, 10 listopada.
Regulatorzy finansowi rozpoczęli następnego dnia kontrolę na miejscu, aby zbadać rozwiązania bezpieczeństwa instytutu i ustalić, w jaki sposób napastnicy uzyskali dostęp.
Instytut poinformował, że dokona przeglądu swoich procedur zarządzania bezpieczeństwem i zapewni odszkodowanie, jeśli w wyniku ujawnienia informacji wystąpią dodatkowe szkody.
Incydent ten następuje po kilku problemach z cyberbezpieczeństwem w południowokoreańskim sektorze finansowym, w tym atakach związanych z giełdami kryptowalut.
W październiku regulatorzy zidentyfikowali incydenty bezpieczeństwa w 16 instytucjach finansowych, w tym w dwóch firmach kryptowalutowych, podczas gdy zgłoszono ujawnienie około 100 000 rekordów klientów.
Następnie przeprowadzony przegląd całej branży zidentyfikował słabości w zakresie bezpieczeństwa w 130 z 555 zbadanych firm finansowych.
Bithumb i GOPAX stanęły w obliczu odrębnych incydentów bezpieczeństwa
Najnowszy atak następuje po incydencie z 27 października w Bithumb, gdzie nieuprawniona strona uzyskała dostęp do wewnętrznego mobilnego systemu groupware giełdy kryptowalut, używanego do komunikacji pracowników.
Jak crypto.news wcześniej informował, Bithumb potwierdził, że dane pracowników zostały ujawnione, i rozpoczął dochodzenie, czy obejmowały one również rekordy klientów.
Giełda utrzymywała, że naruszony system działał oddzielnie od jej infrastruktury handlowej i nie mógł być użyty do uzyskania dostępu do kryptowalutowych aktywów klientów.
W tym samym okresie Daishin Securities ujawniła, że dane osobowe i kredytowe należące do 38 490 klientów zostały ujawnione, podczas gdy Mirae Asset Global Investments zgłosiła nieuprawniony dostęp do niektórych systemów.
Niedawniej południowokoreańska giełda GOPAX zawiesiła handel i wypłaty 6 listopada po otrzymaniu e-maila z groźbą cyberataku.
GOPAX poinformowała, że w momencie wprowadzenia ograniczeń nie wykryła rzeczywistego włamania ani kradzieży kryptowalut.
Komisja Usług Finansowych osobno poleciła krajowym giełdom kryptowalut wzmocnienie kontroli dostępu administratorów, procedur zatwierdzania wypłat i monitorowania transakcji po ataku na Binance z 29 października.
Zgodnie z obowiązującymi przepisami w Korei Południowej giełdy muszą przechowywać co najmniej 80% aktywów kryptowalutowych klientów w zimnym przechowywaniu.
Pod koniec września Bithumb przechowywała 94,76% aktywów klientów w trybie offline, podczas gdy GOPAX odnotowała wskaźnik na poziomie 80,54%.
