La gigante del exchange de criptomonedas Coinbase previene un ciberataque, pero se exponen datos de empleados

El exchange de criptomonedas Coinbase ha reportado un reciente ciberataque que tuvo como objetivo a uno de sus empleados, lo que resultó en el robo de credenciales de acceso y la exposición de cierta información de contacto perteneciente a varios empleados. Sin embargo, los controles de ciberseguridad de la empresa impidieron que el atacante accediera directamente al sistema, y no se comprometieron datos ni fondos de clientes.

«Coinbase experimentó recientemente un ataque de ciberseguridad dirigido a uno de sus empleados. Afortunadamente, los controles de ciberseguridad de Coinbase impidieron que el atacante accediera directamente al sistema y evitaron cualquier pérdida de fondos o compromiso de la información de los clientes. Solo se expuso una cantidad limitada de datos de nuestro directorio corporativo.»

Equipo de Coinbase

Cómo ocurrió el ataque

Según Coinbase, el 5 de febrero, varios empleados recibieron mensajes SMS que indicaban la necesidad urgente de iniciar sesión para recibir un mensaje importante. Aunque la mayoría ignoró el mensaje, uno de los empleados hizo clic en el enlace e introdujo sus credenciales de acceso, creyendo que se trataba de un mensaje legítimo. El atacante, con un nombre de usuario y contraseña legítimos de empleado de Coinbase, realizó intentos repetidos para obtener acceso remoto a la empresa, pero no pudo proporcionar las credenciales de autenticación multifactor (MFA) requeridas, lo que bloqueó su acceso.

Posteriormente, el atacante llamó al empleado y afirmó ser del departamento de Tecnología de la Información (TI) corporativa de Coinbase, solicitando la ayuda del empleado. Creyendo que quien llamaba era personal legítimo de TI de Coinbase, el empleado inició sesión en su estación de trabajo y siguió las instrucciones del atacante. Sin embargo, a medida que avanzaba la conversación, el empleado comenzó a sentirse cada vez más sospechoso, hasta que finalmente las solicitudes resultaron demasiado sospechosas.

Coinbase aseguró a sus clientes que no se vieron comprometidos fondos ni información de clientes, y que solo se expuso una cantidad limitada de datos del directorio corporativo. Este incidente resalta la importancia de controles cibernéticos sólidos y la concienciación de los empleados para prevenir ataques cibernéticos exitosos.

Prevención de ciberataques

Coinbase compartió algunas tácticas, técnicas y procedimientos (TTP) clave que otras empresas de criptomonedas pueden utilizar para identificar y defenderse de un ataque similar.

El TTP incluye el monitoreo del tráfico web desde los activos tecnológicos de la empresa hacia direcciones específicas, como sso-.com, -sso.com, login.-sso.com, dashboard-.com y *-dashboard.com. Además, es vital monitorear descargas o intentos de descarga de visores de escritorio remoto específicos, incluidos AnyDesk e ISL Online, así como cualquier intento de acceder a la organización desde un proveedor de VPN de terceros, específicamente Mullvad VPN, según Coinbase.

Además, Coinbase también compartió que las empresas de criptomonedas deben estar atentas a llamadas telefónicas o mensajes de texto entrantes de proveedores específicos, incluidos Google Voice, Skype, Vonage/Nexmo y Bandwidth. También deben monitorear intentos inesperados de instalar extensiones de navegador específicas, incluida EditThisCookie.

Según Will Thomas del Centro de Análisis de Amenazas de Equinix (ETAC), algunos dominios adicionales con temática de Coinbase, como sso-cbhq[.]com, sso-cb[.]com y coinbase[.]sso-cloud[.]com, pudieron haber sido utilizados en el ataque. Es fundamental saber que el modus operandi del atacante es similar al observado durante las campañas de phishing Scatter Swine/0ktapus el año pasado.

Group-IB, una empresa de ciberseguridad, también informó que el actor de amenazas robó casi 1.000 inicios de sesión corporativos enviando enlaces de phishing por SMS a empleados de la empresa.