Il gigante delle crypto exchange Coinbase previene un attacco informatico, ma i dati dei dipendenti sono esposti

La crypto exchange Coinbase ha riportato un recente attacco informatico che ha preso di mira uno dei suoi dipendenti, risultando nel furto delle credenziali di accesso e nell'esposizione di alcune informazioni di contatto appartenenti a più dipendenti. Tuttavia, i controlli informatici dell'azienda hanno impedito all'attaccante di ottenere l'accesso diretto al sistema e non sono stati compromessi dati dei clienti o fondi.

"Coinbase ha recentemente subito un attacco informatico che ha preso di mira uno dei suoi dipendenti. Fortunatamente, i controlli informatici di Coinbase hanno impedito all'attaccante di ottenere l'accesso diretto al sistema e hanno impedito qualsiasi perdita di fondi o compromissione delle informazioni dei clienti. È stato esposto solo un importo limitato di dati dal nostro directory aziendale."

Team Coinbase

Come è avvenuto l'attacco

Secondo Coinbase, il 5 febbraio diversi dipendenti hanno ricevuto messaggi SMS che indicavano la necessità urgente di accedere per ricevere un messaggio importante. Mentre la maggior parte dei dipendenti ha ignorato il messaggio, un dipendente ha fatto clic sul link e ha inserito le proprie informazioni di accesso, pensando che si trattasse di un messaggio legittimo. L'attaccante, dotato di un nome utente e password legittimi di un dipendente Coinbase, ha tentato ripetutamente di ottenere l'accesso remoto all'azienda ma non è riuscito a fornire le credenziali richieste per l'Autenticazione Multi-Fattore (MFA), bloccando il loro accesso.

Successivamente, l'attaccante ha chiamato il dipendente e si è dichiarato proveniente dal dipartimento IT aziendale di Coinbase, cercando l'aiuto del dipendente. Il dipendente, credendo che il chiamante fosse un membro legittimo del personale IT di Coinbase, ha effettuato l'accesso alla propria workstation e ha seguito le istruzioni dell'attaccante. Tuttavia, il dipendente è diventato sempre più sospettoso mentre la conversazione procedeva e, alla fine, le richieste sono diventate troppo sospette.

Coinbase ha rassicurato i clienti che nessun fondo o informazione sui clienti è stato compromesso e che è stato esposto solo un importo limitato di dati dalla directory aziendale. L'incidente sottolinea l'importanza di forti controlli informatici e della consapevolezza dei dipendenti nella prevenzione di attacchi informatici di successo.

Prevenire gli attacchi informatici

Coinbase ha condiviso alcune tattiche, tecniche e procedure (TTP) chiave che altre aziende crypto possono utilizzare per identificare e difendersi da un attacco simile.

Le TTP includono il monitoraggio del traffico web dalle risorse tecnologiche dell'azienda verso indirizzi specifici, come sso-.com, -sso.com, login.-sso.com, dashboard-.com e *-dashboard.com. Inoltre, il monitoraggio dei download o dei tentativi di download di specifici visualizzatori di desktop remoto, tra cui AnyDesk e ISL Online, e qualsiasi tentativo di accedere all'organizzazione da un provider VPN di terze parti, in particolare Mullvad VPN, è vitale, secondo Coinbase.

Inoltre, Coinbase ha anche condiviso che le aziende crypto dovrebbero essere vigili riguardo alle chiamate/messaggi in arrivo da provider specifici, tra cui Google Voice, Skype, Vonage/Nexmo e Bandwidth. Dovrebbero anche monitorare tentativi inaspettati di installare estensioni del browser specifiche, tra cui EditThisCookie.

Secondo Will Thomas del Centro di Analisi delle Minacce Equinix (ETAC), alcuni domini aggiuntivi a tema Coinbase, come sso-cbhq[.]com, sso-cb[.]com e coinbase[.]sso-cloud[.]com, potrebbero essere stati utilizzati nell'attacco. È essenziale sapere che la modus operandi dell'attaccante è simile a quella osservata durante le campagne di phishing Scatter Swine/0ktapus dello scorso anno.

Group-IB, un'azienda di cybersecurity, ha anche riferito che l'attore della minaccia ha rubato quasi 1.000 accessi aziendali inviando link di phishing via SMS ai dipendenti dell'azienda.