Nach Bithumb: Hacker greifen Südkoreas Finanzsicherheitsbehörde an

Cyberangriff auf das Finanzsicherheitsinstitut Südkoreas

Das Finanzsicherheitsinstitut Südkoreas wurde Opfer eines Cyberangriffs, bei dem Hunderte von Mitarbeiterdaten und Dokumenten von Dutzenden von Finanzunternehmen offengelegt wurden. Dies geschah weniger als zwei Wochen, nachdem die Kryptowährungsbörse Bithumb einen separaten Sicherheitsvorfall gemeldet hatte.

Details des Angriffs

Laut einem Bericht der Chosun Daily vom 11. November gaben sich die Angreifer als Beamte der Finanzaufsichtsbehörde (FSS) aus und nutzten Schwachstellen in einem Authentifizierungssystem aus, um unbefugten Zugang zu den Aufzeichnungen des Instituts zu erhalten. Das Institut, das die Finanzindustrie Südkoreas vor Cyberbedrohungen schützen soll, entdeckte den Eindringling am 9. November und sperrte anschließend den Zugang zu dem betroffenen System.

Erste Erkenntnisse deuten darauf hin, dass Informationen von mehr als 40 Finanzunternehmen kompromittiert wurden, darunter etwa 300 persönliche Datensätze mit Namen und Geburtsdaten. Die Angreifer zielten auf das Continuous Evaluation Support System des Instituts ab, eine Online-Plattform, die von Finanzunternehmen zur Einreichung von Dokumenten und zur Durchführung von Informationssicherheitsbewertungen genutzt wird.

Techniken der Angreifer

Ermittler fanden heraus, dass die Hacker eine temporäre Zugangsseite ausnutzten, die für Situationen gedacht war, in denen die SMS-Authentifizierung nicht verfügbar war. Der alternative Zugang erforderte nicht denselben Verifizierungsprozess, was es den Angreifern ermöglichte, über ein Konto, das scheinbar zur FSS gehörte, in das System einzudringen.

„Laut dem Bericht verwendeten die Angreifer während des Eindringens mehr als 100 verschiedene IP-Adressen und wechselten häufig ihre Verbindungen, um einer Entdeckung zu entgehen.“

Ein Beamter des Instituts erklärte, dass wiederholter Zugriff auf ein System von derselben Adresse identifizierbare Spuren hinterlassen kann, was erklären könnte, warum die Angreifer die Adressen ständig wechselten. Das kompromittierte Konto hatte Berichten zufolge Berechtigungen, die mit Finanzaufsichtsbehörden verbunden sind, die Informationen überprüfen können, die von mehreren Institutionen eingereicht wurden.

Folgen des Vorfalls

Das offengelegte Material umfasste etwa 200 Verwaltungsformulare, mehr als 300 persönliche Datensätze und rund 350 Systembenutzeraufzeichnungen mit teilweise maskierten Namen und Telefonnummern. Der Großteil der betroffenen persönlichen Informationen gehörte zu Mitarbeitern, die für Sicherheitsbewertungen bei Finanzinstituten verantwortlich sind.

Das Institut erklärte, dass die kompromittierte Plattform keine sensiblen Netzwerk-Konfigurationen, Ergebnisse von Schwachstellenbewertungen oder persönliche Kreditinformationen von Kunden speicherte. Nach der Entdeckung meldete das Institut den Vorfall der Finanzdienstleistungsbehörde und der Korea Internet & Security Agency.

Untersuchung und Reaktionen

Die betroffenen Finanzunternehmen wurden einzeln benachrichtigt, während das Institut mit den Vorbereitungen begann, um Mitarbeiter zu informieren, deren persönliche Informationen offengelegt wurden. Die Behörden leiteten eine Untersuchung des Angriffs ein, wobei die Polizei am 10. November technische Informationen, einschließlich IP-Adressen, die mit dem Eindringen in Verbindung standen, erhielt.

Die Finanzaufsichtsbehörden begannen am folgenden Tag mit einer Vor-Ort-Inspektion, um die Sicherheitsvorkehrungen des Instituts zu überprüfen und festzustellen, wie die Angreifer Zugang erhielten. Das Institut hat erklärt, dass es seine Sicherheitsmanagementverfahren überprüfen und Entschädigungen anbieten wird, falls durch die offengelegten Informationen zusätzlicher Schaden entsteht.

Kontext und weitere Vorfälle

Der Vorfall folgt mehreren Cybersecurity-Problemen in der Finanzindustrie Südkoreas, einschließlich Angriffe auf Kryptowährungsbörsen. Im Oktober identifizierten die Aufsichtsbehörden Sicherheitsvorfälle bei 16 Finanzinstituten, darunter zwei Kryptowährungsunternehmen, während etwa 100.000 Kundenaufzeichnungen als offengelegt gemeldet wurden.

Eine branchenweite Überprüfung identifizierte anschließend Sicherheitsanfälligkeiten bei 130 der 555 untersuchten Finanzunternehmen. Der letzte Angriff folgt einem Vorfall am 27. Oktober bei Bithumb, bei dem eine unbefugte Partei auf das interne mobile Groupware-System der Kryptowährungsbörse zugriff, das für die Kommunikation der Mitarbeiter verwendet wird.

Wie crypto.news zuvor berichtete, bestätigte Bithumb, dass Mitarbeiterinformationen offengelegt wurden und begann zu untersuchen, ob auch Kundenaufzeichnungen betroffen waren. Die Börse betonte, dass das kompromittierte System separat von ihrer Handelsinfrastruktur betrieben wurde und nicht verwendet werden konnte, um auf die Kryptowährungsbestände der Kunden zuzugreifen.

In derselben Zeit gab Daishin Securities bekannt, dass persönliche und Kreditinformationen von 38.490 Kunden offengelegt wurden, während Mirae Asset Global Investments unbefugten Zugriff auf bestimmte Systeme meldete. Kürzlich stellte die südkoreanische Börse GOPAX am 6. November den Handel und die Abhebungen ein, nachdem sie eine E-Mail erhalten hatte, die mit einem Cyberangriff drohte.

Die Börse begann, die Kryptowährungen der Kunden in Offline-Wallets zu übertragen, um Vorsichtsmaßnahmen zu treffen, und führte einen manuellen Abhebungsprozess ein, der erforderte, dass die Kunden das Support-Team kontaktieren. GOPAX erklärte, dass sie bei der Einführung der Einschränkungen keinen tatsächlichen Eindringling oder Diebstahl von Kryptowährungen festgestellt hatten.

Die Finanzdienstleistungsbehörde hatte zuvor in einer separaten Anweisung die inländischen Kryptowährungsbörsen angewiesen, die Zugriffssteuerungen für Administratoren, die Genehmigungsverfahren für Abhebungen und die Transaktionsüberwachung zu verstärken, nachdem der Hack bei Binance am 29. Oktober stattgefunden hatte. Nach den bestehenden Regeln Südkoreas müssen Börsen mindestens 80 % der Kunden-Kryptowährungsvermögen in Cold Storage halten. Ende September hielt Bithumb 94,76 % der Kundenvermögen offline, während GOPAX ein Verhältnis von 80,54 % berichtete.