암호화폐 거래소 거대 기업 Coinbase, 사이버 공격 차단 but 직원 데이터 노출

암호화폐 거래소 Coinbase는 보고 직원을 표적으로 한 최근 사이버 공격으로 로그인 자격 증명이 도난당하고 여러 직원의 일부 연락처 정보가 노출되었다고 밝혔습니다. 그러나 회사의 사이버 통제 조치로 공격자가 시스템에 직접 접근하는 것을 방지했으며 고객 데이터나 자금은 침해되지 않았습니다.

"Coinbase는 최근 직원을 표적으로 한 사이버 보안 공격을 경험했습니다. 다행히도 Coinbase의 사이버 통제 조치로 공격자가 시스템에 직접 접근하는 것과 자금 손실 또는 고객 정보 침해가 방지되었습니다. 당사 기업 디렉토리에서 제한된 양의 데이터만 노출되었습니다."

Coinbase 팀

공격 발생 과정

Coinbase에 따르면, 2월 5일 여러 직급이 중요한 메시지를 받기 위해 긴급하게 로그인해야 한다는 SMS 메시지를 받았습니다. 대부분의 직원이 메시지를 무시했지만, 한 직원이 링크를 클릭하고 정당한 메시지라고 생각하여 로그인 정보를 입력했습니다. 공격자는 정당한 Coinbase 직원 사용자 이름과 비밀번호를 갖추고 있었지만, 반복적으로 회사에 대한 원격 접근을 시도했지만 필요한 다중 요소 인증(MFA) 자격 증명을 제공할 수 없어 접근이 차단되었습니다.

이후 공격자는 직원에게 전화하여 Coinbase의 기업 정보 기술(IT) 부서 소속이라고 주장하며 직원의 도움을 요청했습니다. 직원은 발신자를 정당한 Coinbase IT 직원이라고 믿고 작업대에 로그인하여 공격자의 지시를 따랐습니다. 그러나 대화 진행 과정에서 직원은 점점 더 의심을 품게 되었고, 결국 요청이 너무 의심스러워졌습니다.

Coinbase는 고객에게 자금이나 고객 정보가 침해되지 않았으며 기업 디렉토리에서 제한된 양의 데이터만 노출되었다고 안심시켰습니다. 이 사건은 성공적인 사이버 공격을 방지하기 위해 강력한 사이버 통제와 직원 인식의 중요성을 강조합니다.

사이버 공격 예방

Coinbase는 다른 암호화폐 회사가 유사한 공격을 식별하고 방어하는 데 사용할 수 있는 주요 전술, 기술 및 절차(TTP)를 공유했습니다.

TTP에는 sso-.com, -sso.com, login.-sso.com, dashboard-.com 및 *-dashboard.com과 같은 특정 주소로의 회사 기술 자산으로부터의 웹 트래픽 모니터링을 포함합니다. 또한 Coinbase에 따르면 AnyDesk 및 ISL Online을 포함한 특정 원격 데스크톱 뷰어의 다운로드 또는 다운로드 시도 모니터링과 Mullvad VPN과 같은 제3자 VPN 공급자로부터의 조직 접근 시도는 매우 중요합니다.

또한 Coinbase는 Google Voice, Skype, Vonage/Nexmo 및 Bandwidth와 같은 특정 공급자로부터의 전화/문자 메시지 수신에 대해 암호화폐 회사가 경계해야 한다고 공유했습니다. 또한 EditThisCookie를 포함한 특정 브라우저 확장 프로그램의 예기치 않은 설치 시도를 모니터링해야 합니다.

Equinix 위협 분석 센터(ETAC)의 Will Thomas에 따르면 sso-cbhq[.]com, sso-cb[.]com 및 coinbase[.]sso-cloud[.]com과 같은 일부 추가 Coinbase 테마 도메인이 공격에 사용되었을 수 있습니다. 공격자의 수법은 작년 Scatter Swine/0ktapus 피싱 캠페인 동안 관찰된 것과 유사하다는 점을 아는 것이 중요합니다.

사이버 보안 회사인 Group-IB도 위협 행위자가 회사 직원에게 SMS를 통해 피싱 링크를 보내almost 1,000개의 기업 접근 로그인을 훔쳤다고 보고했습니다.