กลุ่มเรียกค่าไถ่ n0n เผยแพร่ไฟล์ตั้งค่า รหัสผ่าน และข้อมูลคีย์ของไฟร์วอลล์เครื่องหนึ่งของ Finzly บริษัทฟินเทคที่ให้บริการเชื่อมต่อเครือข่ายชำระเงินแก่ธนาคาร ไฟล์ดังกล่าวระบุการเชื่อมต่อไปยังธนาคารกลางสหรัฐ (เฟด) รวมถึงกฎสำหรับทราฟฟิก FedNow และ FedACH โดยเฟดยืนยันว่าบริการชำระเงินไม่ได้รับผลกระทบ ขณะที่ Finzly ระบุว่าได้เปลี่ยนคีย์ระบบและข้อมูลรับรองแล้ว และยังไม่พบหลักฐานว่าข้อมูลลูกค้าธนาคารหรือข้อมูลสำหรับเข้าถึงระบบถูกเปิดเผย
เหตุการณ์นี้เกี่ยวข้องกับบริการเชื่อมต่อเครือข่ายชำระเงินที่ Finzly ให้แก่ธนาคาร ยังไม่ชัดเจนว่าไฟล์ที่เผยแพร่สามารถใช้เข้าถึงระบบได้หรือไม่ แต่ข้อมูลการตั้งค่าอาจเปิดเผยเส้นทางและความสัมพันธ์ของเครือข่าย ซึ่งเป็นประเด็นที่ธนาคารและผู้ให้บริการต้องประเมิน แม้จะเปลี่ยนข้อมูลรับรองแล้วก็ตาม
ไฟล์ที่เผยแพร่แสดงเส้นทางเชื่อมต่อไปยังเฟด
แพลตฟอร์ม BankOS ของ Finzly ช่วยให้ธนาคารเชื่อมต่อกับเครือข่ายชำระเงินต่าง ๆ เช่น ACH, Fedwire และ FedNow โดยลูกค้าใช้การเชื่อมต่อร่วมกัน เว็บไซต์ของบริษัทระบุรายชื่อลูกค้าซึ่งเป็นธนาคารและสหกรณ์เครดิตยูเนียน 11 แห่งเมื่อสัปดาห์ก่อน
โฆษก Finzly ระบุว่าบริษัทได้ “เปลี่ยนคีย์ระบบและข้อมูลรับรอง” แล้ว พร้อมย้ำว่าไฟล์ตั้งค่าที่รั่วไหลเพียงอย่างเดียวไม่เพียงพอให้เข้าถึงระบบหรือข้อมูลของ Finzly การตรวจสอบจนถึงขณะนี้ยังไม่พบว่าข้อมูลลูกค้าธนาคารหรือข้อมูลสำหรับเข้าถึงระบบถูกกระทบ และการดำเนินงานของลูกค้ายังเป็นปกติ บริษัทแจ้งหน่วยงานบังคับใช้กฎหมาย ว่าจ้างผู้เชี่ยวชาญด้านกฎหมายและนิติพิสูจน์ดิจิทัลจากภายนอก และเริ่มติดต่อสื่อสารกับลูกค้า โดยระบุว่ากำลังประสานงานกับหน่วยงานกำกับดูแลและลูกค้า
โฆษกเฟดกล่าวว่าบริการชำระเงินของเฟดไม่ได้รับผลกระทบ ไฟล์ที่เปิดเผยต่อสาธารณะไม่ปรากฏข้อมูลลูกค้า ข้อมูลธนาคาร หรือประวัติธุรกรรม ส่วนข้อมูลรหัสผ่านและคีย์ในไฟล์ยังไม่ได้รับการทดสอบว่ายังใช้งานได้หรือไม่ หมายเหตุในไฟล์เรียกการตั้งค่านี้ว่า “2023 config” ซึ่งบ่งชี้ว่าไฟล์อาจจัดทำขึ้นในปี 2023
สัปดาห์ก่อน n0n ขู่ว่าจะเปิดเผยการตั้งค่าเครือข่ายและคีย์เข้าถึงโครงสร้างพื้นฐานด้านการชำระเงิน พร้อมเลื่อนกำหนดจากวันศุกร์เป็นคืนวันอังคาร หลังครบกำหนด กลุ่มดังกล่าวเผยแพร่ไฟล์ออกมา พฤติการณ์บ่งชี้ว่า Finzly อาจไม่ได้จ่ายค่าไถ่ แต่ n0n ไม่เปิดเผยว่าร้องขอเงินจากบริษัทเป็นจำนวนเท่าใด บริษัทข่าวกรองภัยคุกคาม Cyfirma เคยบันทึกว่า n0n เรียกค่าไถ่จากบริษัทเกาหลีใต้ตั้งแต่ 600,000 ถึง 14 ล้านดอลลาร์ โดยกำหนดให้ชำระเป็นบิตคอยน์
ยังไม่ทราบว่าอุปกรณ์ถูกเจาะเมื่อใดและได้คีย์มาอย่างไร
Finzly ระบุว่าบุคคลภายนอกที่ไม่ได้รับอนุญาตเข้าถึงอุปกรณ์เครื่องหนึ่งในศูนย์ข้อมูลสำรอง ซึ่งจัดเก็บข้อมูลการตั้งค่าระบบ อย่างไรก็ตาม บริษัทไม่ได้ระบุว่าอุปกรณ์นั้นเป็นไฟร์วอลล์ที่เกี่ยวข้องโดยตรงหรือไม่ เหตุการณ์เกิดขึ้นเมื่อใด หรือผู้โจมตีได้สิทธิ์เข้าถึงมาอย่างไร
ไฟล์ 6 รายการที่ n0n เผยแพร่มี 5 รายการที่ดูเหมือนเป็นไฟล์ตั้งค่าของไฟร์วอลล์ Fortinet FortiGate ส่วนอีกไฟล์เป็นสรุปการตั้งค่าและเรียกอุปกรณ์นี้ว่า “เกตเวย์การชำระเงิน” ในไฟล์มีการเชื่อมต่อโดยตรงชื่อ “FED” และกฎไฟร์วอลล์ที่ระบุทราฟฟิก FedNow และ FedACH นอกจากนี้ สรุปการตั้งค่ายังระบุว่ารหัสผ่านและคีย์ในไฟล์ถูกถอดรหัสเมื่อวันที่ 15 ตุลาคม
โดยทั่วไปไฟร์วอลล์จะจัดเก็บรหัสผ่านและคีย์ในรูปแบบเข้ารหัส Fortinet เคยยอมรับในปี 2019 ว่าซอฟต์แวร์ไฟร์วอลล์รุ่นเก่าบางรุ่นใช้คีย์ที่ฝังไว้แบบเดียวกันในอุปกรณ์ทุกเครื่อง เพื่อเข้ารหัสรหัสผ่านในไฟล์ตั้งค่า Michael Tigges หัวหน้านักวิเคราะห์ด้านการตอบสนองเชิงยุทธวิธีของบริษัทความปลอดภัยไซเบอร์ Huntress กล่าวว่าเป็นไปได้อย่างยิ่งที่ผู้โจมตีจะถอดรหัสไฟล์ตั้งค่าเพื่อดึงคีย์ออกมา แต่ยังไม่มีข้อมูลสาธารณะที่ยืนยันว่า n0n ใช้วิธีใด
เปลี่ยนข้อมูลรับรองแล้ว แต่แผนผังเครือข่ายยังอาจมีความเสี่ยง
การเปลี่ยนรหัสผ่านและคีย์ช่วยปรับข้อมูลที่ใช้เข้าถึงระบบ แต่ไม่ได้ทำให้แผนผังการเชื่อมต่อเครือข่ายเปลี่ยนไปโดยอัตโนมัติ Rafe Pilling ผู้อำนวยการอาวุโสฝ่ายวิจัยภัยคุกคามของ Sophos ระบุว่า ไฟล์ตั้งค่าไฟร์วอลล์เก่าอาจยังแสดงให้เห็นว่าระบบใดได้รับความเชื่อถือ ไฟล์ที่เปิดเผยครั้งนี้แสดงเส้นทางเชื่อมต่อไปยังระบบคลาวด์ของ Finzly และเฟด ซึ่งช่วยให้ผู้โจมตีเห็นว่าระบบต่าง ๆ สื่อสารกันอย่างไร
Waseem Ahmed หัวหน้าฝ่ายวิศวกรรมของบริษัทความปลอดภัย Secure.com ระบุว่า รายละเอียดอย่างผังเครือข่าย ที่อยู่ IP ปลายทางของอุโมงค์เครือข่าย และความสัมพันธ์ด้านความเชื่อถือ มักเปลี่ยนแปลงช้ากว่ารหัสผ่าน ดังนั้น แม้ข้อมูลรับรองเดิมจะใช้ไม่ได้แล้ว แผนที่เครือข่ายที่รั่วไหลก็ยังอาจช่วยให้ผู้โจมตีใช้เวลาทำความเข้าใจเป้าหมายน้อยลง
Tigges กล่าวว่า ในกรณีเลวร้ายที่สุด ไฟล์ตั้งค่าไฟร์วอลล์ที่รั่วไหลอาจถูกนำไปใช้เพื่อควบคุมเครือข่ายในวงกว้างขึ้น หรือเพิ่มความเสี่ยงที่ข้อมูล เช่น หมายเลขบัญชีและธุรกรรมทางการเงิน จะถูกขโมยหรือถูกโจมตีด้วยแรนซัมแวร์ อย่างไรก็ดี ข้อมูลที่เปิดเผยยังไม่ชี้ว่า n0n เคยพยายามใช้คีย์เหล่านี้เข้าระบบหรือไม่ และ Finzly ตรวจพบความผิดปกติก่อนเริ่มถูกข่มขู่หรือรับทราบหลังได้รับคำขู่แล้ว บริษัทก็ยังไม่ได้ระบุว่าเปลี่ยนคีย์ก่อนหรือหลังฝ่ายผู้โจมตีได้ไฟล์ไป หรือก่อนหรือหลังไฟล์ถูกเผยแพร่
ธนาคารควรตรวจสอบการเปลี่ยนคีย์และบันทึกการเชื่อมต่อ
Denis Calderone ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของบริษัทความปลอดภัย Suzu Labs แนะนำให้ธนาคารที่ได้รับผลกระทบจากไฟล์ตั้งค่าไฟร์วอลล์ของผู้ให้บริการ ขอให้ผู้ให้บริการยืนยันว่าได้เปลี่ยนข้อมูลรับรองและคีย์ทุกรายการในไฟล์แล้ว พร้อมแสดงหลักฐาน ธนาคารยังอาจสอบถามด้วยว่าผู้ให้บริการได้แจ้งเฟดแล้วหรือไม่
Ahmed แนะนำให้ธนาคารรวบรวมรายการการเชื่อมต่อทั้งหมดกับผู้ให้บริการ เปลี่ยนข้อมูลรับรองที่ธนาคารเป็นผู้ดูแล และหารือกับผู้ให้บริการเรื่องการตั้งคีย์ VPN ใหม่ โดยไม่จำเป็นต้องรอให้ผู้ให้บริการแจ้งทีละรายการ ส่วน Calderone แนะนำให้ตรวจสอบบันทึกระบบเพื่อหาการเชื่อมต่อที่ผิดปกติ และขยายช่วงเวลาตรวจสอบย้อนหลังไปหลายเดือนก่อนเกิดเหตุ แทนที่จะดูเฉพาะข้อมูลหลังข่าวการรั่วไหลเผยแพร่
ข้อมูลที่ทราบในขณะนี้ระบุว่าไฟล์สาธารณะไม่มีข้อมูลลูกค้าธนาคารหรือประวัติธุรกรรม และบริการชำระเงินของเฟดยังไม่ได้รับผลกระทบ ประเด็นที่ยังต้องชี้แจง ได้แก่ เวลาและวิธีที่ผู้โจมตีเข้าถึงอุปกรณ์ในศูนย์ข้อมูลสำรอง ช่วงเวลาที่มีการเปลี่ยนคีย์ และการเชื่อมต่อระหว่างธนาคารกับผู้ให้บริการจำเป็นต้องปรับเพิ่มเติมหรือไม่