रैनसमवेयर समूह n0n ने बैंकिंग भुगतान नेटवर्क से Finzly को जोड़ने वाली फ़ायरवॉल कॉन्फ़िगरेशन फ़ाइलें और पासवर्ड व कुंजी संबंधी जानकारी सार्वजनिक की है। फ़ाइलों में Federal Reserve से कनेक्शन और FedNow तथा FedACH ट्रैफ़िक के नियम दर्ज हैं। Federal Reserve ने कहा कि उसकी भुगतान सेवाएं प्रभावित नहीं हुईं। Finzly ने सिस्टम कुंजियां और क्रेडेंशियल बदल दिए हैं और कहा है कि अब तक बैंक ग्राहकों के डेटा या सिस्टम तक पहुंच की जानकारी से समझौते का कोई सबूत नहीं मिला।
यह मामला बैंकों के लिए Finzly की भुगतान-नेटवर्क कनेक्टिविटी सेवाओं से जुड़ा है। यह स्पष्ट नहीं है कि लीक हुई फ़ाइलों के जरिए अब भी किसी सिस्टम तक पहुंचा जा सकता है या नहीं। क्रेडेंशियल बदलने के बावजूद, कॉन्फ़िगरेशन में दिखाए गए नेटवर्क कनेक्शन की समीक्षा बैंकों और उनके सेवा-प्रदाताओं के लिए जरूरी हो सकती है।
लीक फ़ाइलों में Federal Reserve सेवाओं के कनेक्शन
Finzly का BankOS प्लेटफ़ॉर्म बैंकों को ACH, Fedwire और FedNow जैसे भुगतान नेटवर्क से जोड़ता है। ग्राहक इन सेवाओं का इस्तेमाल साझा कनेक्शन के जरिए करते हैं। पिछले सप्ताह कंपनी की वेबसाइट पर 11 बैंक और क्रेडिट यूनियन ग्राहक सूचीबद्ध थे।
Finzly के प्रवक्ता ने कहा कि कंपनी ने “सिस्टम कुंजियां और क्रेडेंशियल बदल दिए हैं।” उनके मुताबिक, केवल कॉन्फ़िगरेशन फ़ाइलों से Finzly के सिस्टम या डेटा तक पहुंच नहीं मिलती। कंपनी की जांच में बैंक ग्राहकों के डेटा या ग्राहक प्रणालियों तक पहुंचने के लिए इस्तेमाल होने वाली जानकारी के साथ समझौते का कोई सबूत नहीं मिला। Finzly ने यह भी कहा कि ग्राहकों के संचालन पर असर नहीं पड़ा। कंपनी ने कानून प्रवर्तन एजेंसियों को सूचित किया है, बाहरी कानूनी और फॉरेंसिक विशेषज्ञों को शामिल किया है और ग्राहकों से संपर्क शुरू कर दिया है। उसने कहा कि वह नियामकों और ग्राहकों के साथ काम कर रही है।
Federal Reserve के प्रवक्ता के अनुसार, उसकी भुगतान सेवाएं प्रभावित नहीं हुईं। सार्वजनिक की गई फ़ाइलों में ग्राहक डेटा, बैंक डेटा या लेनदेन रिकॉर्ड दिखाई नहीं देते। हालांकि, यह जांचा नहीं गया है कि उनमें ऐसे पासवर्ड या कुंजियां हैं या नहीं जो अब भी वैध हों। कॉन्फ़िगरेशन में एक टिप्पणी इसे “2023 config” बताती है, जिससे संकेत मिलता है कि फ़ाइलें उस वर्ष की हो सकती हैं।
पिछले सप्ताह n0n ने भुगतान ढांचे से जुड़ी नेटवर्क कॉन्फ़िगरेशन और एक्सेस कुंजियां जारी करने की धमकी दी थी। समूह ने अपनी समयसीमा शुक्रवार से बढ़ाकर मंगलवार शाम कर दी। समयसीमा बीतने के बाद उसने फ़ाइलें प्रकाशित कर दीं। समूह की कार्रवाई से संकेत मिलता है कि Finzly ने शायद फिरौती का भुगतान नहीं किया, हालांकि n0n ने मांगी गई रकम का खुलासा नहीं किया। साइबर खतरा खुफिया फर्म Cyfirma ने दक्षिण कोरियाई कंपनियों के खिलाफ n0n की 600,000 डॉलर से 14 मिलियन डॉलर तक की फिरौती मांग दर्ज की है; भुगतान बिटकॉइन में मांगा गया था।
बैकअप डेटा सेंटर में डिवाइस तक पहुंच का तरीका अज्ञात
Finzly ने कहा कि एक अनधिकृत तीसरे पक्ष ने उसके बैकअप डेटा सेंटर में मौजूद एक ऐसे डिवाइस तक पहुंच बनाई, जिसमें कॉन्फ़िगरेशन जानकारी थी। कंपनी ने यह नहीं बताया कि वह डिवाइस संबंधित फ़ायरवॉल ही था या नहीं, घुसपैठ कब हुई और हमलावर ने प्रवेश कैसे पाया।
n0n द्वारा जारी छह फ़ाइलों में से पांच Fortinet FortiGate फ़ायरवॉल की कॉन्फ़िगरेशन का हिस्सा लगती हैं। छठी फ़ाइल एक कॉन्फ़िगरेशन सारांश है, जिसमें डिवाइस को “payment gateway” कहा गया है। फ़ाइलों में “FED” नाम का सीधा कनेक्शन और FedNow तथा FedACH के रूप में चिह्नित ट्रैफ़िक के लिए फ़ायरवॉल नियम दर्ज हैं। सारांश में यह भी कहा गया है कि कॉन्फ़िगरेशन में मौजूद पासवर्ड और कुंजियां 15 अक्टूबर को डिक्रिप्ट की गई थीं।
फ़ायरवॉल आम तौर पर पासवर्ड और कुंजियों को एन्क्रिप्टेड रूप में रखता है। Fortinet ने 2019 में स्वीकार किया था कि उसके फ़ायरवॉल सॉफ़्टवेयर के पुराने संस्करण कॉन्फ़िगरेशन फ़ाइलों में पासवर्ड एन्क्रिप्ट करने के लिए सभी डिवाइसों पर एक ही हार्ड-कोडेड कुंजी इस्तेमाल करते थे। साइबर सुरक्षा फर्म Huntress के प्रिंसिपल टैक्टिकल रिस्पॉन्स एनालिस्ट Michael Tigges ने कहा कि हमलावर के लिए कॉन्फ़िगरेशन फ़ाइल को डिक्रिप्ट करके कुंजियां हासिल करना “पूरी तरह संभव” था। हालांकि, n0n ने ऐसा कैसे किया, इसका कोई सार्वजनिक प्रमाण उपलब्ध नहीं है।
क्रेडेंशियल बदलने से नेटवर्क का पूरा जोखिम खत्म नहीं होता
पासवर्ड और कुंजियां बदलने से एक्सेस क्रेडेंशियल बदल सकते हैं, लेकिन कॉन्फ़िगरेशन में बताए गए नेटवर्क कनेक्शन अपने-आप नहीं बदलते। साइबर सुरक्षा फर्म Sophos के थ्रेट रिसर्च के वरिष्ठ निदेशक Rafe Pilling ने कहा कि पुरानी फ़ायरवॉल कॉन्फ़िगरेशन से अब भी पता चल सकता है कि किन कनेक्शनों पर भरोसा किया जाता है। जारी फ़ाइलों में Finzly के क्लाउड सिस्टम और Federal Reserve के बीच के रास्ते दिखते हैं, जिससे हमलावर को यह समझने में मदद मिल सकती है कि ये सिस्टम आपस में कैसे संवाद करते हैं।
सुरक्षा फर्म Secure.com के इंजीनियरिंग प्रमुख Waseem Ahmed ने भी कहा कि नेटवर्क लेआउट, IP पते, टनल एंडपॉइंट और भरोसे के संबंध आम तौर पर पासवर्ड की तुलना में धीरे बदलते हैं। पुराने क्रेडेंशियल काम न भी करें, तब भी लीक हुआ नेटवर्क नक्शा किसी हमलावर का लक्ष्य को समझने में लगने वाला समय घटा सकता है।
Tigges ने कहा कि सबसे खराब स्थिति में, लीक कॉन्फ़िगरेशन का इस्तेमाल नेटवर्क पर और नियंत्रण पाने या खाता नंबरों और वित्तीय लेनदेन की चोरी अथवा रैनसमवेयर हमले का जोखिम बढ़ाने के लिए किया जा सकता है। उपलब्ध जानकारी से यह साबित नहीं होता कि n0n ने सिस्टम तक पहुंचने के लिए कुंजियों का इस्तेमाल करने की कोशिश की थी या नहीं। यह भी स्पष्ट नहीं है कि Finzly ने जबरन वसूली की कोशिश से पहले असामान्य गतिविधि पकड़ी थी या उसे इसकी जानकारी बाद में मिली। कंपनी ने यह नहीं बताया कि फ़ाइलें हासिल या प्रकाशित होने से पहले कुंजियां बदली गई थीं या उसके बाद।
बैंकों से क्रेडेंशियल बदलाव की पुष्टि और लॉग की जांच की सलाह
साइबर सुरक्षा फर्म Suzu Labs के मुख्य प्रौद्योगिकी अधिकारी Denis Calderone ने कहा कि जिन बैंकों के सेवा-प्रदाता की फ़ायरवॉल कॉन्फ़िगरेशन लीक हुई है, उन्हें पुष्टि करनी चाहिए कि फ़ाइलों में मौजूद हर क्रेडेंशियल और कुंजी बदली गई है और इसके प्रमाण मांगने चाहिए। बैंक यह भी पूछ सकते हैं कि क्या सेवा-प्रदाता ने Federal Reserve को सूचित किया है।
Ahmed ने बैंकों को सेवा-प्रदाता से जुड़े सभी कनेक्शन का नक्शा तैयार करने, अपने नियंत्रण वाले क्रेडेंशियल बदलने और नई VPN कुंजियों के लिए सेवा-प्रदाता के साथ तालमेल करने की सलाह दी। उन्होंने कहा कि बैंकों को सेवा-प्रदाता की ओर से हर मुद्दा उठाए जाने का इंतजार नहीं करना चाहिए। Calderone ने असामान्य कनेक्शन के लिए लॉग की समीक्षा करने और जांच को केवल सार्वजनिक खुलासे के बाद की अवधि तक सीमित न रखकर लीक से पहले के महीनों तक बढ़ाने की भी सिफारिश की।
अब तक उपलब्ध जानकारी के मुताबिक, प्रकाशित फ़ाइलों में बैंक ग्राहकों का डेटा या लेनदेन रिकॉर्ड नहीं था और Federal Reserve की भुगतान सेवाएं अप्रभावित रहीं। बैकअप डेटा सेंटर के डिवाइस तक पहुंचने का समय और तरीका, कुंजियां कब बदली गईं और क्या बैंकों तथा सेवा-प्रदाता के बीच कनेक्शनों में और बदलाव जरूरी हैं—ये बातें अभी स्पष्ट नहीं हैं।