El grupo de ransomware n0n publicó archivos de configuración de cortafuegos y datos de contraseñas y claves vinculados a Finzly, una empresa de tecnología financiera que conecta bancos con redes de pago. Los documentos describen conexiones con la Reserva Federal y reglas para el tráfico de FedNow y FedACH. La Fed aseguró que sus servicios de pago no se vieron afectados. Finzly, por su parte, afirma que cambió las claves y credenciales del sistema y que, hasta ahora, no ha encontrado indicios de que se expusieran datos de clientes bancarios o información para acceder a sus sistemas.
El incidente afecta a los servicios de Finzly que permiten a los bancos conectarse a redes de pago. No está claro si los archivos filtrados todavía podrían servir para acceder a sistemas. Aunque se hayan cambiado las credenciales, las configuraciones pueden revelar conexiones de red que los bancos y sus proveedores deberían revisar.
Los archivos describen conexiones con servicios de la Reserva Federal
La plataforma BankOS de Finzly conecta a bancos con redes de pago como ACH, Fedwire y FedNow. Los clientes acceden a estos servicios mediante una conexión compartida. La semana pasada, el sitio web de la empresa mostraba 11 bancos y cooperativas de crédito como clientes.
Un portavoz de Finzly señaló que la compañía había «rotado las claves y credenciales del sistema» y añadió que los archivos de configuración, por sí solos, no permiten acceder a sus sistemas ni a sus datos. La investigación interna no ha encontrado indicios de que se hayan comprometido datos de clientes bancarios ni información de acceso a los sistemas de sus clientes. La empresa también indicó que las operaciones de estos no se vieron afectadas.
Finzly notificó a las fuerzas del orden, contrató especialistas externos en asesoría legal y análisis forense, y empezó a ponerse en contacto con sus clientes. Según la compañía, está trabajando con ellos y con los reguladores.
Un portavoz de la Reserva Federal confirmó que los servicios de pago de la institución no sufrieron impactos. Los archivos divulgados no parecen incluir datos de clientes o bancos ni registros de transacciones. No se ha comprobado si contienen contraseñas o claves que continúen vigentes. Los comentarios incluidos en la configuración la identifican como «configuración de 2023», lo que apunta a que podría corresponder a ese año.
La semana pasada, n0n amenazó con publicar configuraciones de red y claves de acceso de infraestructura de pagos. El grupo amplió el plazo, que vencía el viernes, hasta el martes por la noche. Una vez vencido, difundió los archivos. Sus acciones apuntan a que Finzly podría no haber pagado el rescate, aunque n0n no reveló cuánto exigía. La firma de inteligencia de amenazas Cyfirma ha documentado exigencias de n0n a empresas surcoreanas de entre 600.000 y 14 millones de dólares, pagaderas en bitcoin.
Sigue sin aclararse cómo se accedió al dispositivo
Finzly afirmó que un tercero no autorizado accedió a un dispositivo de su centro de datos de respaldo que contenía información de configuración. La empresa no ha precisado si se trataba del cortafuegos al que corresponden los archivos, cuándo ocurrió la intrusión ni cómo obtuvo acceso el atacante.
De los seis archivos publicados por n0n, cinco parecen formar parte de la configuración de un cortafuegos Fortinet FortiGate. El sexto es un resumen que describe el dispositivo como una «pasarela de pagos». Los documentos identifican una conexión directa llamada «FED» e incluyen reglas para tráfico etiquetado como FedNow y FedACH. El resumen también indica que las contraseñas y claves de la configuración se descifraron el 15 de octubre.
Los cortafuegos suelen almacenar contraseñas y claves cifradas. En 2019, Fortinet reconoció que versiones anteriores de su software de cortafuegos utilizaban la misma clave fija en todos los dispositivos para cifrar las contraseñas incluidas en los archivos de configuración. Michael Tigges, analista principal de respuesta táctica en la empresa de ciberseguridad Huntress, dijo que era «perfectamente posible» que un atacante hubiera obtenido las claves descifrando un archivo de configuración. No hay pruebas públicas que confirmen cómo lo hizo n0n.
Cambiar claves no elimina toda la exposición
Cambiar contraseñas y claves modifica las credenciales de acceso, pero no altera automáticamente las conexiones de red descritas en una configuración. Rafe Pilling, director sénior de investigación de amenazas en la firma de ciberseguridad Sophos, señaló que una configuración antigua de cortafuegos puede revelar qué conexiones se consideran de confianza. Los archivos difundidos muestran rutas entre los sistemas en la nube de Finzly y la Reserva Federal, lo que podría dar a un atacante pistas sobre cómo se comunican.
Waseem Ahmed, responsable de ingeniería de la empresa de seguridad Secure.com, añadió que los diseños de red, las direcciones IP, los extremos de los túneles y las relaciones de confianza suelen cambiar menos que las contraseñas. Aunque las credenciales antiguas ya no funcionen, un mapa de red filtrado podría reducir el tiempo que necesita un atacante para entender un objetivo.
Tigges indicó que, en el peor de los casos, una configuración de cortafuegos filtrada podría utilizarse para ampliar el control sobre una red o aumentar el riesgo de robo de números de cuenta y operaciones financieras, así como de un ataque de ransomware. La información disponible no permite determinar si n0n intentó usar las claves para acceder a sistemas, ni si Finzly detectó actividad inusual antes del intento de extorsión o supo del incidente después. La empresa tampoco ha aclarado si cambió las claves antes o después de que se obtuvieran o publicaran los archivos.
Recomiendan a los bancos revisar credenciales y registros
Denis Calderone, director de tecnología de la empresa de ciberseguridad Suzu Labs, recomendó que los bancos afectados por una filtración de configuraciones de un proveedor le pidan confirmar que rotó todas las credenciales y claves incluidas en los archivos y que aporte pruebas. También pueden preguntar si el proveedor notificó a la Reserva Federal.
Ahmed aconsejó a los bancos identificar todas sus conexiones con el proveedor, cambiar las credenciales que controlan y coordinar con este la renovación de las claves VPN, en lugar de esperar a que el proveedor plantee cada cambio. Calderone recomendó además revisar los registros para detectar conexiones inusuales y ampliar el análisis a los meses anteriores a la filtración, no solo al periodo posterior a su publicación.
La información disponible indica que los archivos publicados no contenían datos de clientes bancarios ni registros de transacciones y que los servicios de pago de la Reserva Federal no se vieron afectados. Siguen sin aclararse el momento y el método de acceso al dispositivo del centro de datos de respaldo, cuándo se rotaron las claves y si es necesario modificar otras conexiones entre los bancos y Finzly.