暗号通貨取引所の巨人Coinbaseがサイバー攻撃を阻止、ただし社員データが漏洩

暗号通貨取引所のCoinbaseは、最近、社員の1人を標的としたサイバー攻撃を受け、ログイン資格情報の盗難と複数の社員に属する連絡情報の一部が漏洩したことを報告しました。しかし、同社のサイバー管理により攻撃者がシステムに直接アクセスするのを防ぎ、顧客データや資金の侵害はありませんでした。

「Coinbaseは最近、社員の1人を標的としたサイバーセキュリティ攻撃を受けました。幸いにも、Coinbaseのサイバー管理により攻撃者がシステムに直接アクセスするのを防ぎ、資金の損失や顧客情報の侵害を防ぐことができました。当社ディレクトリの限られた量のデータのみが公開されました。」

Coinbaseチーム

攻撃の経緯

Coinbaseによると、2月5日、複数の社員が重要なメッセージを受け取るために緊急にログインする必要があることを示すSMSメッセージを受け取りました。ほとんどの社員がこのメッセージを無視しましたが、1人の社員がこれが正規のメッセージであると信じ、リンクをクリックしてログイン情報を入力しました。攻撃者は正規のCoinbase社員のユーザー名とパスワードを所持し、同社へのリモートアクセスを繰り返し試みましたが、必要な多要素認証（MFA）資格情報を提供できなかったため、アクセスはブロックされました。

その後、攻撃者は社員に電話をかけ、Coinbaseの企業情報技術（IT）部門からであると主張し、社員の協力を求めました。社員は発信者が正規のCoinbase ITスタッフであると信じ、ワークステーションにログインして攻撃者の指示に従いました。しかし、会話が進むにつれて社員は次第に疑念を抱くようになり、最終的に要求があまりにも不審なものとなりました。

Coinbaseは、資金や顧客情報が侵害されず、企業ディレクトリの限られた量のデータのみが公開されたことを顧客に安心させました。この事件は、成功したサイバー攻撃を防ぐために強力なサイバー管理と社員の意識が重要であることを浮き彫りにしています。

サイバー攻撃の防止

Coinbaseは、他の暗号通貨企業が同様の攻撃を特定し、防御するために使用できる主要な戦術、技術、手順（TTP）をいくつか共有しました。

TTPには、sso-.com、-sso.com、login.-sso.com、dashboard-.com、*-dashboard.comなどの特定のアドレスへの、同社の技術資産からのウェブトラフィックの監視が含まれます。さらに、AnyDeskやISL Onlineなどの特定のリモートデスクトップビューアのダウンロードまたはダウンロード試行、およびMullvad VPNなどの第三者VPNプロバイダーからの組織へのアクセス試行の監視は、Coinbaseによると極めて重要です。

さらに、Coinbaseはまた、暗号通貨企業がGoogle Voice、Skype、Vonage/Nexmo、Bandwidthなどの特定のプロバイダーからの着信電話やメッセージに警戒すべきことも共有しました。また、EditThisCookieなどの特定のブラウザ拡張機能の予期せぬインストール試行の監視も行うべきです。

Equinix脅威分析センター（ETAC）のWill Thomasによると、sso-cbhq[.]com、sso-cb[.]com、coinbase[.]sso-cloud[.]comなどのCoinbaseをテーマにした追加のドメインが攻撃に使用された可能性があります。攻撃者の手口は、昨年観測されたScatter Swine/0ktapusフィッシングキャンペーンで観察されたものと似ていることを知ることが重要です。

サイバーセキュリティ企業のGroup-IBも、脅威アクターが企業社員にSMSでフィッシングリンクを送信することで、ほぼ1,000件の企業アクセスログインを盗んだと報告しました。