Крупнейшая криптобиржа Coinbase предотвратила кибератаку, но данные сотрудников были раскрыты

Криптобиржа Coinbase сообщила о недавней кибератаке, которая была направлена против одного из ее сотрудников, в результате чего были украдены учетные данные для входа и раскрыта некоторая контактная информация нескольких сотрудников. Однако киберзащита компании не позволила злоумышленнику получить прямой доступ к системе, и данные клиентов или средства не были скомпрометированы.

«Недавно Coinbase подверглась кибератаке, которая была направлена против одного из ее сотрудников. К счастью, киберзащита Coinbase не позволила злоумышленнику получить прямой доступ к системе и предотвратила потерю средств или компрометацию информации клиентов. Была раскрыта лишь ограниченная часть данных из нашего корпоративного справочника.»

Команда Coinbase

Как произошла атака

По словам Coinbase, 5 февраля несколько сотрудников получили SMS-сообщения с указанием срочно войти в систему, чтобы получить важное сообщение. Хотя большинство сотрудников проигнорировали сообщение, один сотрудник перешел по ссылке и ввел свои учетные данные, приняв сообщение за легитимное. Злоумышленник, обладающий действительным именем пользователя и паролем сотрудника Coinbase, предпринял повторные попытки получить удаленный доступ к компании, но не смог предоставить необходимые учетные данные для многофакторной аутентификации (MFA), что заблокировало его доступ.

Впоследствии злоумышленник позвонил сотруднику и представился сотрудником корпоративного отдела информационных технологий (ИТ) компании Coinbase, попросив помощи. Сотрудник, приняв звонящего за легитимного сотрудника ИТ, вошел в свою рабочую станцию и следовал инструкциям злоумышленника. Однако по ходу разговора сотрудник становился все более подозрительным, и в конечном итоге запросы стали слишком подозрительными.

Coinbase заверила своих клиентов, что средства или информация клиентов не были скомпрометированы, и была раскрыта лишь ограниченная часть данных из корпоративного справочника. Этот инцидент подчеркивает важность сильных киберзащитных мер и осведомленности сотрудников для предотвращения успешных кибератак.

Предотвращение кибератак

Coinshare поделилась некоторыми ключевыми тактиками, техниками и процедурами (TTP), которые другие криптокомпании могут использовать для выявления и защиты от подобных атак.

Согласно Coinbase, TTP включает мониторинг веб-трафика с технологических активов компании к определенным адресам, таким как sso-.com, -sso.com, login.-sso.com, dashboard-.com и *-dashboard.com. Кроме того, мониторинг загрузок или попыток загрузок определенных программ для удаленного рабочего стола, включая AnyDesk и ISL Online, а также любых попыток доступа к организации через сторонний VPN-провайдер, в частности Mullvad VPN, имеет жизненно важное значение.

Кроме того, Coinbase также поделилась тем, что криптокомпаниям следует быть внимательными к входящим телефонным звонкам/сообщениям от конкретных провайдеров, включая Google Voice, Skype, Vonage/Nexmo и Bandwidth. Они также должны отслеживать неожиданные попытки установки определенных расширений браузера, включая EditThisCookie.

По словам Уилла Томаса из Центра анализа угроз Equinix (ETAC), некоторые дополнительные домены, связанные с Coinbase, такие как sso-cbhq[.]com, sso-cb[.]com и coinbase[.]sso-cloud[.]com, возможно, использовались в атаке. Важно знать, что метод работы злоумышленника аналогичен тому, что наблюдалось во время фишинговых кампаний Scatter Swine/0ktapus в прошлом году.

Компания по кибербезопасности Group-IB также сообщила, что злоумышленник похитил почти 1000 корпоративных учетных данных для входа, отправив фишинговые ссылки по SMS сотрудникам компании.