عملاق تبادل العملات المشفرة Coinbase يمنع هجومًا إلكترونيًا، لكن بيانات الموظف تم كشفها

أبلغت منصة تبادل العملات المشفرة Coinbase عن هجوم إلكتروني حديث استهدف أحد موظفيها، مما أدى إلى سرقة بيانات تسجيل الدخول وكشف بعض معلومات الاتصال التابعة لعدة موظفين. ومع ذلك، منعت ضوابط الأمن السيبراني للشركة المهاجم من الوصول المباشر إلى النظام، ولم يتم المساس ببيانات العملاء أو أموالهم.

«عانت Coinbase مؤخرًا من هجوم أمني استهدف أحد موظفيها. لحسن الحظ، منعت ضوابط الأمن السيبراني في Coinbase المهاجم من الوصول المباشر إلى النظام ومنعت أي فقدان للأموال أو المساس بمعلومات العملاء. تم كشف كمية محدودة فقط من البيانات من دليل شركتنا.»

فريق Coinbase

كيف وقع الهجوم

وفقًا لـCoinbase، في 5 فبراير، تلقى عدة موظفون رسائل نصية SMS تشير إلى أنهم بحاجة ماسة لتسجيل الدخول لتلقي رسالة مهمة. بينما تجاهل معظم الموظفين الرسالة، نقر أحد الموظفين على الرابط وأدخل معلومات تسجيل الدخول، معتقدًا أنها رسالة شرعية. قام المهاجم، الذي كان مجهزًا باسم مستخدم وكلمة مرور شرعيين لموظف Coinbase، بمحاولات متكررة للحصول على وصول عن بعد إلى الشركة لكنه لم يتمكن من تقديم بيانات المصادقة متعددة العوامل (MFA) المطلوبة، مما حجب وصوله.

بعد ذلك، اتصل المهاجم بالموظف وزعم أنه من قسم تكنولوجيا المعلومات (IT) المؤسسي في Coinbase، طالبًا مساعدة الموظف. قام الموظف، الذي اعتقد أن المتصل موظفًا شرعيًا في قسم تكنولوجيا المعلومات بشركة Coinbase، بتسجيل الدخول إلى محطة العمل الخاصة به واتباع تعليمات المهاجم. ومع ذلك، أصبح الموظف أكثر شكًا مع تقدم المحادثة، وفي النهاية أصبحت الطلبات مشبوهة للغاية.

أطمأنت Coinbase عملاءها بعدم المساس بالأموال أو معلومات العملاء، وتم كشف كمية محدودة فقط من البيانات من الدليل المؤسسي. تسلط الحادثة الضوء على أهمية ضوابط الأمن السيبراني القوية ووعي الموظفين في منع هجمات إلكترونية ناجحة.

منع الهجمات الإلكترونية

شاركت Coinbase بعض التكتيكات والتقنيات والإجراءات (TTPs) الرئيسية التي يمكن لشركات العملات المشفرة الأخرى استخدامها لتحديد والدفاع ضد هجوم مماثل.

تشمل TTPs مراقبة حركة مرور الويب من أصول التكنولوجيا التابعة للشركة إلى عناوين محددة، مثل sso-.com، -sso.com، login.-sso.com، dashboard-.com، و*-dashboard.com. بالإضافة إلى ذلك، تعد مراقبة التنزيلات أو محاولات تنزيل مشاهدي سطح المكتب عن بعد المحددين، بما في ذلك AnyDesk وISL Online، وأي محاولات للوصول إلى المنظمة من مزود VPN من طرف ثالث، وتحديداً Mullvad VPN، أمرًا حيويًا، وفقًا لـCoinbase.

علاوة على ذلك، شاركت Coinbase أيضًا بأن شركات العملات المشفرة يجب أن تكون يقظة تجاه المكالمات الهاتفية/الرسائل الواردة من مزودين محددين، بما في ذلك Google Voice وSkype وVonage/Nexmo وBandwidth. يجب عليهم أيضًا مراقبة المحاولات غير المتوقعة لتثبيت امتدادات متصفح محددة، بما في ذلك EditThisCookie.

وفقًا لويل توماس من مركز تحليل التهديدات في Equinix (ETAC)، تم استخدام بعض النطاقات الإضافية ذات الطابع Coinbase، مثل sso-cbhq[.]com، sso-cb[.]com، وcoinbase[.]sso-cloud[.]com، على الأرجح في الهجوم. من المهم معرفة أن طريقة عمل المهاجم مشابهة لما تم رصده خلال حملات التصيد Scatter Swine/0ktapus العام الماضي.

أبلغت شركة Group-IB للأمن السيبراني أيضاً أن الفاعل الخبيث سرق ما يقرب من 1000 اسم مستخدم للوصول إلى حسابات الشركات عن طريق إرسال روابط تصيد عبر الرسائل القصيرة (SMS) إلى موظفي الشركات.