O Instituto de Segurança Financeira da Coreia do Sul sofreu um ciberataque que expôs centenas de registros de funcionários e documentos pertencentes a dezenas de empresas financeiras, menos de duas semanas depois de a exchange de criptomoedas Bithumb relatar uma violação de segurança separada.
Resumo
- O Instituto de Segurança Financeira da Coreia do Sul sofreu um ciberataque que expôs cerca de 300 registros de informações pessoais pertencentes principalmente a funcionários de instituições financeiras.
- Os hackers teriam se passado por um regulador financeiro e explorado uma falha de autenticação para acessar documentos associados a dezenas de empresas financeiras.
- Reguladores financeiros e a polícia iniciaram investigações sobre a violação, enquanto o instituto bloqueou o acesso ao sistema afetado.
- O incidente ocorre após uma violação de segurança separada na exchange de criptomoedas Bithumb em outubro e uma ameaça de hacking que levou a GOPAX a suspender negociações e saques em novembro.
De acordo com uma reportagem de 11 de novembro do Chosun Daily, os atacantes se passaram por um funcionário do Serviço de Supervisão Financeira (FSS) e exploraram falhas em um sistema de autenticação para obter acesso não autorizado aos registros do instituto.
O instituto, que ajuda a proteger a indústria financeira da Coreia do Sul contra ameaças cibernéticas, descobriu a intrusão em 9 de novembro e subsequentemente bloqueou o acesso ao sistema afetado.
Descobertas preliminares indicam que informações associadas a mais de 40 empresas financeiras foram comprometidas, incluindo cerca de 300 registros de informações pessoais contendo nomes e datas de nascimento.
Hackers se passaram por regulador financeiro para acessar registros de segurança
Os atacantes visaram o Sistema de Suporte à Avaliação Contínua do instituto, uma plataforma online usada por empresas financeiras para enviar documentos e passar por avaliações de segurança da informação.
Os investigadores descobriram que os hackers exploraram uma página de acesso temporário destinada a situações em que a autenticação por SMS não estava disponível.
A rota de acesso alternativa não exigia o mesmo processo de verificação, permitindo que os atacantes entrassem no sistema por meio de uma conta que parecia pertencer ao FSS.
De acordo com a reportagem, os atacantes usaram mais de 100 endereços IP diferentes durante a intrusão, alterando frequentemente suas conexões para evitar detecção.
Um funcionário do instituto explicou que acessar repetidamente um sistema a partir do mesmo endereço pode deixar rastros identificáveis, o que pode explicar por que os atacantes ficavam trocando de endereço.
A conta comprometida supostamente tinha permissões associadas a reguladores financeiros, que podem revisar informações enviadas por múltiplas instituições. Empresas financeiras comuns, em comparação, podem acessar apenas seus próprios registros.
Os investigadores estão examinando como a conta fraudulenta recebeu essas permissões e se a exceção de autenticação foi gerenciada adequadamente.
O material exposto incluía aproximadamente 200 formulários administrativos, mais de 300 registros de informações pessoais e cerca de 350 registros de usuários do sistema contendo nomes e números de telefone parcialmente mascarados.
A maior parte das informações pessoais afetadas pertencia a funcionários responsáveis por avaliações de segurança em instituições financeiras.
O instituto afirmou que a plataforma comprometida não armazenava configurações de rede sensíveis, resultados de avaliações de vulnerabilidade ou informações de crédito pessoal dos clientes.
Coreia do Sul investiga violação que afeta dezenas de empresas financeiras
Após a descoberta, o instituto relatou o incidente à Comissão de Serviços Financeiros e à Agência de Internet e Segurança da Coreia.
As empresas financeiras afetadas foram notificadas individualmente, enquanto o instituto começou os preparativos para informar os funcionários cujas informações pessoais haviam sido expostas.
As autoridades iniciaram uma investigação sobre o ataque, com a polícia recebendo informações técnicas, incluindo endereços IP associados à intrusão, em 10 de novembro.
Os reguladores financeiros começaram uma inspeção no local no dia seguinte para examinar os arranjos de segurança do instituto e determinar como os atacantes obtiveram acesso.
O instituto afirmou que revisará seus procedimentos de gestão de segurança e fornecerá compensação se danos adicionais resultarem das informações expostas.
O incidente ocorre após vários problemas de segurança cibernética em todo o setor financeiro da Coreia do Sul, incluindo ataques envolvendo exchanges de criptomoedas.
Em outubro, os reguladores identificaram incidentes de segurança em 16 instituições financeiras, incluindo duas empresas de criptomoedas, enquanto aproximadamente 100.000 registros de clientes foram relatados como expostos.
Uma revisão de todo o setor subsequentemente identificou vulnerabilidades de segurança em 130 das 555 empresas financeiras examinadas.
Bithumb e GOPAX enfrentaram incidentes de segurança separados
O ataque mais recente ocorre após um incidente em 27 de outubro na Bithumb, onde uma parte não autorizada acessou o sistema interno de groupware móvel da exchange de criptomoedas usado para comunicações entre funcionários.
Como o crypto.news relatou anteriormente, a Bithumb confirmou que informações de funcionários haviam sido expostas e começou a investigar se registros de clientes estavam incluídos.
A exchange sustentou que o sistema comprometido operava separadamente de sua infraestrutura de negociação e não poderia ser usado para acessar as participações em criptomoedas dos clientes.
Durante o mesmo período, a Daishin Securities divulgou que informações pessoais e de crédito pertencentes a 38.490 clientes haviam sido expostas, enquanto a Mirae Asset Global Investments relatou acesso não autorizado a certos sistemas.
Mais recentemente, a exchange sul-coreana GOPAX suspendeu negociações e saques em 6 de novembro após receber um e-mail ameaçando um ciberataque.
A GOPAX afirmou que não havia detectado uma intrusão real ou roubo de criptomoedas quando as restrições foram introduzidas.
A Comissão de Serviços Financeiros havia instruído separadamente as exchanges de criptomoedas domésticas a fortalecer os controles de acesso de administradores, os procedimentos de aprovação de saques e o monitoramento de transações após o hack da Binance em 29 de outubro.
De acordo com as regras existentes na Coreia do Sul, as exchanges devem manter pelo menos 80% dos ativos em criptomoedas dos clientes em armazenamento a frio.
No final de setembro, a Bithumb mantinha 94,76% dos ativos dos clientes offline, enquanto a GOPAX relatou uma proporção de 80,54%.
