Le géant des échanges de cryptomonnaies Coinbase empêche une cyberattaque, mais les données des employés sont exposées

L'échange de cryptomonnaies Coinbase a signalé une récente cyberattaque qui a ciblé l'un de ses employés, entraînant le vol des identifiants de connexion et l'exposition de certaines informations de contact appartenant à plusieurs employés. Cependant, les contrôles de cybersécurité de l'entreprise ont empêché l'attaquant d'accéder directement au système, et aucune donnée client ou fonds n'a été compromis.

« Coinbase a récemment subi une cyberattaque qui a ciblé l'un de ses employés. Heureusement, les contrôles de cybersécurité de Coinbase ont empêché l'attaquant d'accéder directement au système et ont empêché toute perte de fonds ou toute compromission des informations clients. Seule une quantité limitée de données de notre annuaire d'entreprise a été exposée. »

Équipe Coinbase

Comment l'attaque s'est produite

Selon Coinbase, le 5 février, plusieurs employés ont reçu des messages SMS indiquant qu'ils devaient se connecter d'urgence pour recevoir un message important. Bien que la plupart des employés aient ignoré le message, un employé a cliqué sur le lien et saisi ses informations de connexion, pensant qu'il s'agissait d'un message légitime. L'attaquant, équipé d'un nom d'utilisateur et d'un mot de passe légitimes d'employé Coinbase, a tenté à plusieurs reprises d'obtenir un accès distant à l'entreprise mais n'a pas pu fournir les informations d'authentification multi-facteurs (MFA) requises, ce qui a bloqué son accès.

Par la suite, l'attaquant a appelé l'employé en prétendant être du département des technologies de l'information (IT) de l'entreprise Coinbase, demandant l'aide de l'employé. L'employé, croyant que l'appelant était un membre légitime du service IT de Coinbase, s'est connecté à son poste de travail et a suivi les instructions de l'attaquant. Cependant, l'employé est devenu de plus en plus suspicieux au fur et à mesure que la conversation progressait, et les demandes sont finalement devenues trop suspectes.

Coinbase a rassuré ses clients en affirmant qu'aucun fonds ou information client n'a été compromis, et qu'une quantité limitée de données de l'annuaire d'entreprise a été exposée. L'incident met en lumière l'importance de solides contrôles de cybersécurité et de la sensibilisation des employés pour prévenir les cyberattaques réussies.

Prévention des cyberattaques

Coinbase a partagé certaines tactiques, techniques et procédures (TTP) clés que d'autres entreprises de cryptomonnaies peuvent utiliser pour identifier et se défendre contre une attaque similaire.

Les TTP incluent la surveillance du trafic web provenant des actifs technologiques de l'entreprise vers des adresses spécifiques, telles que sso-.com, -sso.com, login.-sso.com, dashboard-.com et *-dashboard.com. De plus, la surveillance des téléchargements ou des tentatives de téléchargement de visionneuses de bureau à distance spécifiques, y compris AnyDesk et ISL Online, et toute tentative d'accès à l'organisation depuis un fournisseur de VPN tiers, en particulier Mullvad VPN, est vitale, selon Coinbase.

De plus, Coinbase a également partagé que les entreprises de cryptomonnaies devraient être vigilantes face aux appels téléphoniques/messages entrants provenant de fournisseurs spécifiques, y compris Google Voice, Skype, Vonage/Nexmo et Bandwidth. Elles devraient également surveiller les tentatives inattendues d'installation d'extensions de navigateur spécifiques, y compris EditThisCookie.

Selon Will Thomas du Centre d'analyse des menaces d'Equinix (ETAC), certains domaines supplémentaires de thème Coinbase, tels que sso-cbhq[.]com, sso-cb[.]com et coinbase[.]sso-cloud[.]com, ont peut-être été utilisés dans l'attaque. Il est essentiel de savoir que le modus operandi de l'attaquant est similaire à ce qui a été observé lors des campagnes de phishing Scatter Swine/0ktapus l'année dernière.

Group-IB, une entreprise de cybersécurité, a également signalé que l'acteur de la menace a volé près de 1 000 identifiants de connexion d'accès corporate en envoyant des liens de phishing par SMS aux employés de l'entreprise.