Malaking Pag-atake ng Hacker sa Sektor ng Pagbabangko
Noong Hulyo 7, iniulat ang isa sa pinakamalaking pag-atake ng hacker sa sektor ng pagbabangko sa nakaraang taon. Nagnakaw ang mga cybercriminal ng humigit-kumulang $140 milyon mula sa anim na institusyong pinansyal sa Brazil sa pamamagitan ng paggamit ng mga kredensyal ng isang empleyado ng C&M Software.
Detalye ng Insidente
Ang insidente ay naganap noong Hunyo 30, nang ang mga umaatake ay nagbigay ng suhol kay João Nazareno Roque at nakakuha ng access sa sistema gamit ang kanyang mga kredensyal. Ayon sa pulisya, siya rin ay nagbigay ng mga tagubilin upang isagawa ang ilang mga aksyon na nagbigay-daan sa tagumpay ng pag-atake. Sa simula, tumanggap si Roque ng $920 para sa kanyang partisipasyon. Sa kalaunan, ayon sa mga ulat, nagpatakbo siya ng mga utos sa loob ng imprastruktura ng C&M at kumita ng karagdagang $1,850.
Sinubukan ni Roque na itago ang kanyang mga aktibidad sa pamamagitan ng pagpapalit ng mga cellphone tuwing 15 araw. Gayunpaman, noong Hulyo 3, siya ay nahuli sa São Paulo. Tinatayang hindi bababa sa $30–40 milyon ng mga nagnakaw na pondo ang na-convert sa mga crypto-assets.
Imbestigasyon at Pag-aresto
Ayon sa isang imbestigasyon ng on-chain detective na si ZachXBT, ang mga umaatake ay nag-convert ng mga pondo sa BTC, ETH, at USDT sa pamamagitan ng mga Latin American OTC at crypto exchanges. Noong Hulyo 9, lumabas ang balita tungkol sa pagkakahuli ng propesyonal na manlalaro ng basketball na Ruso na si Daniil Kasatkin. Ayon sa mga ulat ng media, siya ay naaresto noong Hunyo 21 sa Charles de Gaulle Airport sa France, sa kahilingan ng mga awtoridad ng U.S.
“Ang atleta ay inakusahan ng pagiging tagapamagitan sa isang hacker network na gumamit ng ransomware.”
Si Kasatkin ay nananatiling nakakulong, at ang mga awtoridad ng U.S. ay humihingi ng kanyang extradition upang harapin ang mga paratang. Idineklara ng kanyang abogado ang kawalang-sala ng atleta. Ang pangalan ng hacker group ay hindi pa naihahayag.
Kritikal na Kahinaan sa McHire System
Mula 2020 hanggang 2022, iniulat na ang mga umaatake ay nagsagawa ng higit sa 900 na pag-atake sa iba’t ibang mga organisasyon, kabilang ang dalawang ahensya ng gobyerno. Ayon sa Wired, natuklasan ng mga mananaliksik na sina Ian Carroll at Sam Curry ang mga kritikal na kahinaan sa McHire system noong Hunyo 9. Ang platform, na nag-hire ng mga empleyado para sa McDonald’s, ay gumagamit ng isang AI bot na pinangalanang Olivia.
Sa pamamagitan ng paggamit ng mga simpleng password tulad ng “123456,” nakakuha ang mga mananaliksik ng access sa admin panel ng developer ng platform, ang Paradox.ai. Naglalaman ito ng isang database na may 64 milyong tala, kabilang ang mga pangalan, email, at numero ng telepono ng mga naghahanap ng trabaho. Mula noong 2019, ang platform ay naa-access nang walang two-factor authentication.
Inamin ng Paradox.ai ang pagtagas at sinabi na ang account ay hindi ginamit ng mga third party maliban sa mga mananaliksik mismo. Nangako ang kumpanya na magpatupad ng isang bug bounty program upang maiwasan ang mga katulad na insidente sa hinaharap. Sinabi ng McDonald’s, sa kanilang bahagi, na naayos nila ang kahinaan sa araw na ito ay natuklasan.
“Mukhang partikular na dystopian ito sa akin kumpara sa normal na proseso ng pag-hire, di ba?”
Sinabi ni Carroll na nalaman lamang niya ang “napakabigat na antas ng seguridad” dahil siya ay interesado sa desisyon na suriin ang mga potensyal na empleyado sa pamamagitan ng isang AI bot at isang personality test.
Pagtagas ng Personal na Data sa Bitcoin Depot
Ang Bitcoin Depot, isang operator ng isang Bitcoin ATM network na may higit sa 17,000 device sa U.S., Canada, at Australia, ay nagpabatid sa mga customer tungkol sa isang pagtagas ng personal na data. Ang kahina-hinalang aktibidad sa network ay unang natuklasan noong Hunyo 23, 2023, at ang panloob na imbestigasyon ng kumpanya ay natapos noong Hulyo 2024.
Humiling ang mga awtoridad ng U.S. na ipagpaliban ang pampublikong pagsisiwalat hanggang sa makumpleto ang kanilang sariling imbestigasyon. Ayon sa isang liham na ipinadala sa mga biktima, nakuha ng mga umaatake ang mga dokumento na pag-aari ng humigit-kumulang 27,000 customer na nakatapos ng mga KYC procedures.
Ang uri ng data na na-leak ay nag-iiba mula sa tao sa tao, ngunit maaaring kabilang ang:
- Buong pangalan
- Numero ng telepono
- Numero ng lisensya sa pagmamaneho
- Tirahan
- Petsa ng kapanganakan
- Email address
Walang pinansyal na kabayaran o proteksyon laban sa identity theft ang inaalok, dahil ang mga panganib ay nauugnay sa mga cryptocurrency assets. Sa halip, pinayuhan ang mga biktima na manatiling mapagmatyag at subaybayan ang kanilang mga bank statement.
