Крупнейшая хакерская атака на банковский сектор
7 июля стало известно о одной из крупнейших хакерских атак на банковский сектор за последний год. Киберпреступники похитили около 140 миллионов долларов из шести бразильских финансовых учреждений, используя учетные данные сотрудника компании C&M Software.
Схема атаки
Инцидент произошел 30 июня, когда злоумышленники подкупили Жоау Назарено Роке и получили доступ к системе, используя его учетные данные. По данным полиции, он также передавал инструкции для выполнения определенных действий, которые обеспечили успех атаки. Роке изначально получил 920 долларов за свое участие. Позже, следуя указаниям злоумышленников, он выполнял команды внутри инфраструктуры C&M и заработал дополнительно 1850 долларов, согласно отчетам.
Роке пытался скрыть свою деятельность, меняя мобильные телефоны каждые 15 дней. Однако 3 июля он был задержан в Сан-Паулу. По оценкам, как минимум 30–40 миллионов долларов из украденных средств были конвертированы в криптоактивы.
Задержание Даниила Касаткина
9 июля появились новости о задержании российского профессионального баскетболиста Даниила Касаткина. По сообщениям СМИ, он был арестован 21 июня в аэропорту Шарля де Голля во Франции по запросу властей США. Спортсмен обвиняется в том, что действовал в качестве переговорщика в хакерской сети, использующей программное обеспечение-вымогатель. Касаткин остается под стражей, и власти США добиваются его экстрадиции для предъявления обвинений. Его адвокат заявил о невиновности спортсмена.
Уязвимости в системе McHire
Согласно Wired, исследователи Иан Кэрролл и Сэм Керри обнаружили критические уязвимости в системе McHire 9 июня. Платформа, которая нанимает сотрудников для McDonald’s, использует ИИ-бота по имени Оливия. Используя простые пароли, такие как «123456», исследователи получили доступ к админ-панели разработчика платформы, Paradox.ai.
Она содержала базу данных с 64 миллионами записей, включая имена, электронные адреса и номера телефонов соискателей. С 2019 года платформа была доступна без двухфакторной аутентификации. Paradox.ai признала утечку и заявила, что аккаунт не использовался третьими лицами, кроме самих исследователей. Компания пообещала внедрить программу вознаграждения за обнаружение ошибок, чтобы предотвратить подобные инциденты в будущем.
«Это показалось мне особенно дистопичным по сравнению с обычным процессом найма, верно? Это и побудило меня углубиться в вопрос. Я начал подавать заявку на работу, и в течение 30 минут мы получили полный доступ практически ко всем заявкам, когда-либо поданным в McDonald’s за последние годы,» — подчеркнул он в комментарии Wired.
Утечка данных в Bitcoin Depot
Bitcoin Depot, оператор сети Bitcoin-банкоматов с более чем 17 000 устройств в США, Канаде и Австралии, уведомил клиентов о утечке личных данных. Подозрительная активность в сети была впервые обнаружена 23 июня 2023 года, а внутреннее расследование компании завершилось в июле 2024 года.
Правоохранительные органы США запросили задержку публичного раскрытия до завершения собственного расследования. Согласно письму, отправленному жертвам, злоумышленники получили документы, принадлежащие примерно 27 000 клиентов, прошедших процедуры KYC. Тип утекших данных варьируется от человека к человеку, но может включать: полное имя, номер телефона, номер водительских прав, адрес проживания, дату рождения, адрес электронной почты.
Финансовая компенсация или защита от кражи личных данных не предлагаются, так как риски связаны с криптоактивами. Жертвам вместо этого рекомендовали быть бдительными и следить за своими банковскими выписками.
