Финансовый институт безопасности Южной Кореи подвергся кибератаке, в результате которой были раскрыты сотни записей сотрудников и документы, принадлежащие десяткам финансовых компаний, менее чем через две недели после того, как криптовалютная биржа Bithumb сообщила об отдельной утечке безопасности.
Краткое содержание
- Финансовый институт безопасности Южной Кореи подвергся кибератаке, в результате которой были раскрыты примерно 300 записей персональных данных, принадлежащих в основном сотрудникам финансовых учреждений.
- Хакеры, как сообщается, выдали себя за финансового регулятора и использовали уязвимость в системе аутентификации для доступа к документам, связанным с десятками финансовых компаний.
- Финансовые регуляторы и полиция начали расследования утечки, а институт заблокировал доступ к затронутой системе.
- Инцидент последовал за отдельной утечкой безопасности на криптовалютной бирже Bithumb в октябре и хакерской угрозой, которая побудила GOPAX приостановить торги и вывод средств в ноябре.
Согласно отчёту Chosun Daily от 11 ноября, злоумышленники выдали себя за должностное лицо Службы финансового надзора (FSS) и использовали слабые места в системе аутентификации, чтобы получить несанкционированный доступ к записям института.
Институт, который помогает защищать финансовую отрасль Южной Кореи от киберугроз, обнаружил вторжение 9 ноября и впоследствии заблокировал доступ к затронутой системе.
Предварительные результаты указывают на то, что была скомпрометирована информация, связанная с более чем 40 финансовыми компаниями, включая примерно 300 записей персональных данных, содержащих имена и даты рождения.
Хакеры выдали себя за финансового регулятора, чтобы получить доступ к записям безопасности
Злоумышленники нацелились на Систему поддержки непрерывной оценки института — онлайн-платформу, используемую финансовыми компаниями для подачи документов и прохождения оценок информационной безопасности.
Следователи установили, что хакеры использовали временную страницу доступа, предназначенную для ситуаций, когда SMS-аутентификация недоступна.
Альтернативный маршрут доступа не требовал той же процедуры проверки, что позволило злоумышленникам войти в систему через учётную запись, которая, по-видимому, принадлежала FSS.
Согласно отчёту, злоумышленники использовали более 100 различных IP-адресов во время вторжения, часто меняя подключения, чтобы избежать обнаружения.
Представитель института объяснил, что повторный доступ к системе с одного и того же адреса может оставлять идентифицируемые следы, что может объяснять, почему злоумышленники постоянно меняли адреса.
Скомпрометированная учётная запись, как сообщается, имела разрешения, связанные с финансовыми регуляторами, которые могут просматривать информацию, представленную несколькими учреждениями. Обычные финансовые компании, для сравнения, могут получать доступ только к своим собственным записям.
Следователи изучают, как мошенническая учётная запись получила эти разрешения и надлежащим ли образом управлялось исключение аутентификации.
Раскрытые материалы включали примерно 200 административных форм, более 300 записей персональных данных и около 350 записей пользователей системы, содержащих частично замаскированные имена и номера телефонов.
Большая часть затронутых персональных данных принадлежала сотрудникам, ответственным за оценки безопасности в финансовых учреждениях.
Институт заявил, что скомпрометированная платформа не хранила конфиденциальные сетевые конфигурации, результаты оценки уязвимостей или личную кредитную информацию клиентов.
Южная Корея расследует утечку, затронувшую десятки финансовых компаний
После обнаружения институт сообщил об инциденте в Комиссию по финансовым услугам и Корейское агентство интернета и безопасности.
Затронутые финансовые компании были уведомлены по отдельности, а институт начал подготовку к информированию сотрудников, чьи персональные данные были раскрыты.
Власти начали расследование атаки, причём полиция получила техническую информацию, включая IP-адреса, связанные со вторжением, 10 ноября.
Финансовые регуляторы начали выездную проверку на следующий день, чтобы изучить меры безопасности института и определить, как злоумышленники получили доступ.
Институт заявил, что пересмотрит свои процедуры управления безопасностью и предоставит компенсацию, если в результате раскрытия информации возникнет дополнительный ущерб.
Инцидент произошел на фоне нескольких проблем с кибербезопасностью в финансовой отрасли Южной Кореи, включая атаки, связанные с криптовалютными биржами.
В октябре регуляторы выявили инциденты безопасности в 16 финансовых учреждениях, включая два криптовалютных бизнеса, при этом сообщалось о раскрытии примерно 100 000 записей клиентов.
Последующая проверка в масштабах всей отрасли выявила уязвимости безопасности в 130 из 555 проверенных финансовых компаний.
Bithumb и GOPAX столкнулись с отдельными инцидентами безопасности
Последняя атака последовала за инцидентом 27 октября в Bithumb, где несанкционированная сторона получила доступ к внутренней мобильной системе группового программного обеспечения криптовалютной биржи, используемой для коммуникации сотрудников.
Как ранее сообщал crypto.news, Bithumb подтвердила, что информация о сотрудниках была раскрыта, и начала расследование, были ли включены записи клиентов.
Биржа утверждала, что скомпрометированная система работала отдельно от ее торговой инфраструктуры и не могла быть использована для доступа к криптовалютным активам клиентов.
В тот же период Daishin Securities раскрыла, что персональные и кредитные данные 38 490 клиентов были раскрыты, а Mirae Asset Global Investments сообщила о несанкционированном доступе к определенным системам.
Совсем недавно южнокорейская биржа GOPAX приостановила торги и вывод средств 6 ноября после получения электронного письма с угрозой кибератаки.
GOPAX заявила, что на момент введения ограничений не обнаружила фактического вторжения или кражи криптовалюты.
Комиссия по финансовым услугам отдельно поручила отечественным криптовалютным биржам усилить контроль доступа администраторов, процедуры одобрения вывода средств и мониторинг транзакций после взлома Binance 29 октября.
Согласно действующим правилам Южной Кореи, биржи должны хранить не менее 80% криптовалютных активов клиентов в холодном хранении.
На конец сентября Bithumb хранила 94,76% активов клиентов в офлайн-режиме, а GOPAX сообщила о показателе 80,54%.
