Gigante da exchange de criptomoedas Coinbase impede ataque cibernético, mas dados de funcionários são expostos

A exchange de criptomoedas Coinbase reportou um recente ataque cibernético que atingiu um de seus funcionários, resultando no roubo de credenciais de login e na exposição de algumas informações de contato pertencentes a vários funcionários. No entanto, os controles cibernéticos da empresa impediram que o atacante obtivesse acesso direto ao sistema, e nenhum dado ou fundos de clientes foram comprometidos.

“A Coinbase sofreu recentemente um ataque de segurança cibernética que visou um de seus funcionários. Felizmente, os controles cibernéticos da Coinbase impediram que o atacante obtivesse acesso direto ao sistema e evitaram qualquer perda de fundos ou comprometimento das informações dos clientes. Apenas uma quantidade limitada de dados do nosso diretório corporativo foi exposta.”

Equipe da Coinbase

Como o ataque ocorreu

De acordo com a Coinbase, em 5 de fevereiro, vários funcionários receberam mensagens SMS indicando que precisavam fazer login urgentemente para receber uma mensagem importante. Embora a maioria dos funcionários tenha ignorado a mensagem, um funcionário clicou no link e inseriu suas informações de login, achando que era uma mensagem legítima. O atacante, equipado com um nome de usuário e senha legítimos de um funcionário da Coinbase, fez várias tentativas de obter acesso remoto à empresa, mas não conseguiu fornecer as credenciais necessárias de Autenticação Multifator (MFA), o que bloqueou seu acesso.

Posteriormente, o atacante ligou para o funcionário e afirmou ser do departamento de Tecnologia da Informação (TI) corporativo da Coinbase, buscando a ajuda do funcionário. O funcionário, acreditando que o chamador era um membro legítimo da equipe de TI da Coinbase, fez login em sua estação de trabalho e seguiu as instruções do atacante. No entanto, o funcionário ficou cada vez mais desconfiado à medida que a conversa progredia, e, por fim, os pedidos se tornaram suspeitos demais.

A Coinbase tranquilizou seus clientes de que nenhum fundo ou informação de cliente foi comprometido, e apenas uma quantidade limitada de dados do diretório corporativo foi exposta. O incidente destaca a importância de controles cibernéticos fortes e conscientização dos funcionários para prevenir ataques cibernéticos bem-sucedidos.

Prevenindo ataques cibernéticos

A Coinbase compartilhou algumas táticas, técnicas e procedimentos (TTPs) principais que outras empresas de criptomoedas podem usar para identificar e se defender contra um ataque semelhante.

Os TTPs incluem monitorar o tráfego web dos ativos tecnológicos da empresa para endereços específicos, como sso-.com, -sso.com, login.-sso.com, dashboard-.com e *-dashboard.com. Além disso, monitorar downloads ou tentativas de download de visualizadores de área de trabalho remota específicos, incluindo AnyDesk e ISL Online, e quaisquer tentativas de acessar a organização a partir de um provedor de VPN de terceiros, especificamente a Mullvad VPN, é vital, de acordo com a Coinbase.

Além disso, a Coinbase também compartilhou que as empresas de criptomoedas devem estar vigilantes quanto a chamadas telefônicas/mensagens de texto recebidas de provedores específicos, incluindo Google Voice, Skype, Vonage/Nexmo e Bandwidth. Elas também devem monitorar tentativas inesperadas de instalar extensões de navegador específicas, incluindo EditThisCookie.

De acordo com Will Thomas do Centro de Análise de Ameaças da Equinix (ETAC), alguns domínios adicionais com o tema Coinbase, como sso-cbhq[.]com, sso-cb[.]com e coinbase[.]sso-cloud[.]com, podem ter sido usados no ataque. É essencial saber que a modus operandi do atacante é semelhante ao observado durante as campanhas de phishing Scatter Swine/0ktapus do ano passado.

A Group-IB, uma empresa de segurança cibernética, também relatou que o ator da ameaça roubou quase 1.000 logins de acesso corporativo enviando links de phishing por SMS para funcionários da empresa.