Фінансовий інститут безпеки Південної Кореї зазнав кібератаки, внаслідок якої було викрито сотні записів співробітників та документів, що належать десяткам фінансових компаній, менш ніж через два тижні після того, як криптовалютна біржа Bithumb повідомила про окремий витік безпеки.
Резюме
- Фінансовий інститут безпеки Південної Кореї зазнав кібератаки, внаслідок якої було викрито приблизно 300 записів персональної інформації, що належать переважно співробітникам фінансових установ.
- Хакери, як повідомляється, видавали себе за фінансового регулятора та використали вразливість автентифікації для доступу до документів, пов'язаних із десятками фінансових компаній.
- Фінансові регулятори та поліція розпочали розслідування витоку, тоді як інститут заблокував доступ до постраждалої системи.
- Інцидент стався після окремого витоку безпеки на криптовалютній біржі Bithumb у жовтні та хакерської загрози, яка змусила GOPAX призупинити торгівлю та виведення коштів у листопаді.
Згідно з репортажем Chosun Daily від 11 листопада, зловмисники видавали себе за посадовця Служби фінансового нагляду (FSS) та використали слабкі місця в системі автентифікації, щоб отримати несанкціонований доступ до записів інституту.
Інститут, який допомагає захищати фінансову галузь Південної Кореї від кіберзагроз, виявив вторгнення 9 листопада і згодом заблокував доступ до постраждалої системи.
Попередні висновки свідчать про те, що було скомпрометовано інформацію, пов'язану з понад 40 фінансовими компаніями, включаючи приблизно 300 записів персональної інформації, що містять імена та дати народження.
Хакери видавали себе за фінансового регулятора, щоб отримати доступ до записів безпеки
Зловмисники націлилися на Систему підтримки безперервного оцінювання інституту — онлайн-платформу, яку фінансові компанії використовують для подання документів і проходження оцінок інформаційної безпеки.
Слідчі встановили, що хакери використали тимчасову сторінку доступу, призначену для ситуацій, коли SMS-автентифікація була недоступною.
Альтернативний шлях доступу не вимагав того самого процесу перевірки, що дозволило зловмисникам увійти в систему через обліковий запис, який, схоже, належав FSS.
Згідно з повідомленням, під час вторгнення зловмисники використовували понад 100 різних IP-адрес, часто змінюючи свої з'єднання, щоб уникнути виявлення.
Посадовець інституту пояснив, що повторний доступ до системи з однієї й тієї ж адреси може залишати ідентифіковані сліди, що може пояснювати, чому зловмисники постійно змінювали адреси.
Як повідомляється, скомпрометований обліковий запис мав дозволи, пов'язані з фінансовими регуляторами, які можуть переглядати інформацію, подану кількома установами. Звичайні фінансові компанії, для порівняння, можуть отримати доступ лише до власних записів.
Слідчі вивчають, як шахрайський обліковий запис отримав ці дозволи та чи належним чином керували винятком автентифікації.
Викритий матеріал включав приблизно 200 адміністративних форм, понад 300 записів персональної інформації та приблизно 350 записів користувачів системи, що містять частково замасковані імена та номери телефонів.
Більшість постраждалої персональної інформації належала співробітникам, відповідальним за оцінки безпеки у фінансових установах.
Інститут заявив, що скомпрометована платформа не зберігала конфіденційних мережевих конфігурацій, результатів оцінки вразливостей або персональної кредитної інформації клієнтів.
Південна Корея розслідує витік, що торкнувся десятків фінансових компаній
Після виявлення інциденту інститут повідомив про нього Комісії з фінансових послуг та Корейському агентству з питань Інтернету та безпеки.
Постраждалі фінансові компанії були окремо повідомлені, тоді як інститут розпочав підготовку до інформування співробітників, чия персональна інформація була викрита.
Влада розпочала розслідування атаки, причому поліція отримала технічну інформацію, включаючи IP-адреси, пов'язані з вторгненням, 10 листопада.
Фінансові регулятори розпочали виїзну перевірку наступного дня, щоб вивчити заходи безпеки інституту та встановити, як зловмисники отримали доступ.
Інститут заявив, що перегляне свої процедури управління безпекою та надасть компенсацію, якщо внаслідок розкриття інформації виникнуть додаткові збитки.
Інцидент стався після низки проблем із кібербезпекою в фінансовому секторі Південної Кореї, зокрема атак, пов'язаних із криптовалютними біржами.
У жовтні регулятори виявили інциденти безпеки в 16 фінансових установах, включно з двома криптовалютними компаніями, а також повідомлялося про розкриття приблизно 100 000 записів клієнтів.
Подальший галузевий огляд виявив слабкі місця в безпеці у 130 із 555 перевірених фінансових компаній.
Bithumb і GOPAX зіткнулися з окремими інцидентами безпеки
Остання атака сталася після інциденту 27 жовтня в Bithumb, де несанкціонована сторона отримала доступ до внутрішньої мобільної системи групового програмного забезпечення криптовалютної біржі, що використовується для комунікації між співробітниками.
Як раніше повідомляло crypto.news, Bithumb підтвердила, що інформація про співробітників була розкрита, і розпочала розслідування, чи були включені записи клієнтів.
Біржа наполягала на тому, що скомпрометована система працювала окремо від її торгової інфраструктури і не могла бути використана для доступу до криптовалютних активів клієнтів.
Протягом того ж періоду Daishin Securities повідомила, що персональні та кредитні дані 38 490 клієнтів були розкриті, а Mirae Asset Global Investments повідомила про несанкціонований доступ до певних систем.
Нещодавно південнокорейська біржа GOPAX призупинила торгівлю та виведення коштів 6 листопада після отримання електронного листа з погрозою кібератаки.
GOPAX заявила, що на момент запровадження обмежень не виявила фактичного вторгнення чи крадіжки криптовалюти.
Комісія з фінансових послуг окремо доручила вітчизняним криптовалютним біржам посилити контроль доступу адміністраторів, процедури затвердження виведення коштів та моніторинг транзакцій після злому Binance 29 жовтня.
Згідно з чинними правилами Південної Кореї, біржі повинні зберігати щонайменше 80% криптовалютних активів клієнтів у холодному сховищі.
Наприкінці вересня Bithumb зберігала 94,76% активів клієнтів в офлайні, тоді як GOPAX повідомила про показник 80,54%.
