Nhóm tống tiền n0n công bố trong tuần này các tệp cấu hình, mật khẩu và thông tin khóa của một tường lửa thuộc công ty công nghệ tài chính Finzly. Thiết bị kết nối với hạ tầng thanh toán mà khách hàng của Finzly sử dụng, trong khi các tệp có nhắc đến kết nối tới Cục Dự trữ Liên bang Mỹ (Fed) và các quy tắc xử lý lưu lượng FedNow, FedACH. Fed cho biết dịch vụ thanh toán không bị ảnh hưởng; Finzly đã thay khóa hệ thống và thông tin xác thực, đồng thời chưa tìm thấy bằng chứng dữ liệu khách hàng ngân hàng hoặc thông tin truy cập hệ thống của họ bị lộ.
Vụ việc liên quan đến dịch vụ kết nối mạng thanh toán mà Finzly cung cấp cho các ngân hàng. Chưa rõ những tệp bị công bố có thể tiếp tục được dùng để truy cập hệ thống hay không. Tuy nhiên, nội dung cấu hình có thể cho thấy các mối liên kết trong mạng, khiến ngân hàng và nhà cung cấp vẫn cần đánh giá rủi ro ngay cả sau khi thông tin xác thực được thay mới.
Tệp bị lộ đề cập các kết nối tới Fed
Nền tảng BankOS của Finzly giúp ngân hàng kết nối với các mạng thanh toán như ACH, Fedwire và FedNow. Khách hàng sử dụng các dịch vụ này thông qua một kết nối dùng chung. Tuần trước, trang web của công ty liệt kê 11 ngân hàng và hiệp hội tín dụng là khách hàng.
Người phát ngôn Finzly cho biết công ty đã “thay khóa hệ thống và thông tin xác thực”. Theo công ty, chỉ dựa vào các tệp cấu hình bị lộ thì không thể truy cập hệ thống hoặc dữ liệu của Finzly. Cuộc điều tra đến nay chưa phát hiện dữ liệu khách hàng ngân hàng hay thông tin truy cập hệ thống của họ bị xâm phạm; hoạt động của khách hàng cũng không bị ảnh hưởng. Finzly đã thông báo cho cơ quan thực thi pháp luật, thuê chuyên gia pháp lý và điều tra số bên ngoài, đồng thời bắt đầu trao đổi với khách hàng. Công ty cho biết đang phối hợp với cơ quan quản lý và khách hàng.
Người phát ngôn Fed xác nhận các dịch vụ thanh toán của cơ quan này không bị ảnh hưởng. Trong những tệp được công bố, chưa thấy dữ liệu khách hàng, dữ liệu ngân hàng hay hồ sơ giao dịch. Chưa có thử nghiệm để xác định liệu các tệp có chứa mật khẩu hoặc khóa còn hiệu lực hay không. Ghi chú trong cấu hình gọi đây là “cấu hình năm 2023”, cho thấy tài liệu có thể được tạo từ năm đó.
Tuần trước, n0n đe dọa công bố cấu hình mạng và khóa truy cập của hạ tầng thanh toán, sau đó dời hạn chót từ thứ Sáu sang tối thứ Ba. Khi thời hạn gia hạn kết thúc, nhóm này đăng tải các tệp. Diễn biến cho thấy Finzly có thể đã không trả tiền chuộc, nhưng n0n không tiết lộ số tiền yêu cầu. Công ty tình báo mối đe dọa Cyfirma từng ghi nhận các khoản đòi tiền chuộc bằng Bitcoin của n0n nhắm vào doanh nghiệp Hàn Quốc dao động từ 600.000 đến 14 triệu USD.
Chưa rõ thiết bị bị xâm nhập và nguồn gốc khóa
Finzly cho biết một bên thứ ba không được phép đã truy cập vào một thiết bị tại trung tâm dữ liệu dự phòng của công ty, nơi lưu thông tin cấu hình. Công ty chưa nêu rõ thiết bị này có phải chính là tường lửa liên quan đến vụ việc hay không, thời điểm xảy ra xâm nhập hoặc cách kẻ tấn công có được quyền truy cập.
Trong sáu tệp n0n công bố, năm tệp có vẻ tạo thành cấu hình của một tường lửa Fortinet FortiGate; tệp còn lại là bản tóm tắt cấu hình và gọi thiết bị là “cổng thanh toán”. Tài liệu liệt kê một kết nối trực tiếp có tên “FED”, cùng các quy tắc tường lửa được gắn nhãn lưu lượng FedNow và FedACH. Bản tóm tắt cũng cho biết mật khẩu và khóa trong cấu hình đã được giải mã vào ngày 15/10.
Tường lửa thường lưu mật khẩu và khóa dưới dạng mã hóa. Năm 2019, Fortinet thừa nhận các phiên bản phần mềm tường lửa cũ từng dùng cùng một khóa mã hóa được mã hóa cứng trên mọi thiết bị để bảo vệ mật khẩu trong tệp cấu hình. Michael Tigges, chuyên gia phản ứng chiến thuật cấp cao tại công ty an ninh mạng Huntress, nói việc kẻ tấn công giải mã tệp cấu hình để lấy khóa là “hoàn toàn có thể xảy ra”. Tuy nhiên, hiện chưa có bằng chứng công khai cho biết n0n đã sử dụng phương thức nào.
Thay thông tin xác thực chưa xóa hết rủi ro từ cấu hình
Thay mật khẩu và khóa giúp đổi thông tin dùng để truy cập hệ thống, nhưng không tự động thay đổi sơ đồ kết nối mạng. Rafe Pilling, giám đốc nghiên cứu mối đe dọa cấp cao tại công ty an ninh mạng Sophos, lưu ý cấu hình tường lửa cũ vẫn có thể cho thấy những kết nối nào được tin cậy. Các tệp trong vụ việc thể hiện đường kết nối tới hệ thống đám mây của Finzly và Fed, qua đó giúp kẻ tấn công hiểu các hệ thống liên lạc với nhau ra sao.
Waseem Ahmed, người phụ trách kỹ thuật tại công ty an ninh Secure.com, cũng cho biết sơ đồ mạng, địa chỉ IP, điểm cuối đường hầm và quan hệ tin cậy thường thay đổi chậm hơn mật khẩu. Vì vậy, dù thông tin xác thực cũ không còn hiệu lực, bản đồ mạng bị lộ vẫn có thể giúp kẻ tấn công rút ngắn thời gian tìm hiểu mục tiêu.
Tigges cho biết trong kịch bản xấu nhất, cấu hình tường lửa bị lộ có thể bị lợi dụng để mở rộng quyền kiểm soát mạng, đồng thời làm tăng nguy cơ đánh cắp dữ liệu như số tài khoản, giao dịch tài chính hoặc triển khai tấn công tống tiền bằng mã độc. Tuy nhiên, thông tin hiện có chưa cho biết n0n có từng thử dùng các khóa để truy cập hệ thống hay không, hoặc Finzly phát hiện bất thường trước khi bị đe dọa hay chỉ biết về vụ việc sau đó. Công ty cũng chưa nói rõ khóa được thay trước hay sau khi các tệp bị công bố.
Ngân hàng có thể yêu cầu nhà cung cấp xác nhận việc thay khóa
Denis Calderone, giám đốc công nghệ của công ty an ninh mạng Suzu Labs, khuyến nghị các ngân hàng bị ảnh hưởng yêu cầu nhà cung cấp xác nhận từng thông tin xác thực và khóa trong tệp đã được thay, đồng thời cung cấp bằng chứng. Ngân hàng cũng có thể hỏi nhà cung cấp liệu Fed đã được thông báo hay chưa.
Ahmed khuyên ngân hàng rà soát toàn bộ kết nối với nhà cung cấp, thay các thông tin xác thực do ngân hàng quản lý và phối hợp thiết lập khóa VPN mới, thay vì chờ nhà cung cấp chủ động yêu cầu từng bước. Calderone cũng đề xuất kiểm tra nhật ký để tìm kết nối bất thường và mở rộng thời gian rà soát về những tháng trước khi vụ việc bị phát hiện, thay vì chỉ xem dữ liệu sau khi thông tin được công bố.
Thông tin hiện có cho thấy các tệp công khai không chứa dữ liệu khách hàng ngân hàng hay hồ sơ giao dịch, còn dịch vụ thanh toán của Fed vẫn hoạt động bình thường. Những điểm chưa được làm rõ gồm thời điểm và cách thức kẻ tấn công truy cập thiết bị tại trung tâm dữ liệu dự phòng, thời điểm cụ thể Finzly thay khóa, và liệu các kết nối giữa ngân hàng với nhà cung cấp có cần điều chỉnh thêm hay không.