После взлома Bithumb хакеры атаковали финансовый институт Южной Кореи

Кибератака на Финансовый институт безопасности Южной Кореи

Финансовый институт безопасности Южной Кореи подвергся кибератаке, в результате которой были раскрыты сотни записей сотрудников и документы, принадлежащие десяткам финансовых компаний. Это произошло менее чем через две недели после того, как криптовалютная биржа Bithumb сообщила о своем инциденте безопасности.

Методы злоумышленников

Согласно отчету Chosun Daily от 11 ноября, злоумышленники выдали себя за официальное лицо Финансовой службы надзора (FSS) и использовали уязвимости в системе аутентификации для получения несанкционированного доступа к записям института. Институт, который отвечает за защиту финансовой индустрии Южной Кореи от киберугроз, обнаружил вторжение 9 ноября и впоследствии заблокировал доступ к затронутой системе.

Предварительные данные указывают на то, что информация, связанная с более чем 40 финансовыми компаниями, была скомпрометирована, включая около 300 записей личной информации с именами и датами рождения.

Злоумышленники нацелились на Систему поддержки непрерывной оценки института — онлайн-платформу, используемую финансовыми компаниями для подачи документов и прохождения оценок информационной безопасности. Следователи выяснили, что хакеры использовали временную страницу доступа, предназначенную для ситуаций, когда SMS-аутентификация недоступна.

Расследование и последствия

Скомпрометированный аккаунт имел разрешения, связанные с финансовыми регуляторами, которые могут просматривать информацию, представленную несколькими учреждениями. В отличие от этого, обычные финансовые компании могут получить доступ только к своим собственным записям. Следователи изучают, как мошеннический аккаунт получил эти разрешения и было ли исключение аутентификации должным образом управляемо.

Раскрытые материалы включали около 200 административных форм, более 300 записей личной информации и около 350 записей пользователей системы с частично замаскированными именами и номерами телефонов.

Большинство затронутой личной информации принадлежало сотрудникам, ответственным за оценки безопасности в финансовых учреждениях. Институт сообщил, что скомпрометированная платформа не хранила конфиденциальные сетевые конфигурации, результаты оценки уязвимостей или личную кредитную информацию клиентов.

Реакция и меры безопасности

После обнаружения инцидента институт сообщил о происшествии в Комиссию по финансовым услугам и Корейское агентство интернет-безопасности. Затронутые финансовые компании были уведомлены индивидуально, в то время как институт начал подготовку к информированию сотрудников, чья личная информация была раскрыта.

Власти начали расследование атаки, при этом полиция получила техническую информацию, включая IP-адреса, связанные с вторжением, 10 ноября. Финансовые регуляторы начали выездную проверку на следующий день, чтобы изучить меры безопасности института и определить, как злоумышленники получили доступ.

Контекст киберугроз в Южной Корее

Этот инцидент произошел на фоне нескольких проблем с кибербезопасностью в финансовой индустрии Южной Кореи, включая атаки на криптовалютные биржи. В октябре регуляторы выявили инциденты безопасности в 16 финансовых учреждениях, включая два криптовалютных бизнеса, в то время как было сообщено о раскрытии примерно 100,000 записей клиентов.

Отраслевой обзор впоследствии выявил уязвимости безопасности в 130 из 555 проверенных финансовых компаний. Последняя атака произошла после инцидента 27 октября на Bithumb, где несанкционированная сторона получила доступ к внутренней мобильной системе групповой работы биржи, используемой для коммуникации сотрудников.

Как ранее сообщал crypto.news, Bithumb подтвердила, что информация сотрудников была раскрыта и начала расследование, включены ли записи клиентов. Биржа утверждала, что скомпрометированная система работала отдельно от ее торговой инфраструктуры и не могла быть использована для доступа к криптовалютным активам клиентов.

В тот же период Daishin Securities сообщила, что личная и кредитная информация 38,490 клиентов была раскрыта, в то время как Mirae Asset Global Investments сообщила о несанкционированном доступе к определенным системам. Совсем недавно южнокорейская биржа GOPAX приостановила торговлю и вывод средств 6 ноября после получения электронного письма с угрозой кибератаки.

Комиссия по финансовым услугам отдельно поручила отечественным криптовалютным биржам усилить контроль доступа администраторов, процедуры одобрения выводов и мониторинг транзакций после взлома Binance 29 октября. Согласно существующим правилам Южной Кореи, биржи должны хранить не менее 80% активов клиентов в холодном хранилище.