勒索团伙n0n本周公开了金融科技公司Finzly一台防火墙的配置文件、密码和密钥信息。该设备连接Finzly客户使用的支付基础设施，相关文件还列出通往美联储的连接，以及针对FedNow和FedACH流量设置的规则。美联储表示，其支付服务未受影响；Finzly称已轮换系统密钥和凭证，目前没有证据显示银行客户数据或其系统访问信息遭到泄露。
这起事件涉及Finzly为银行提供的支付网络连接服务。泄露文件是否仍可用于访问系统尚不明确，但配置内容可能暴露网络连接关系，即使凭证已经更换，仍留下需要银行和供应商评估的安全问题。
泄露文件涉及通往美联储的连接
Finzly的BankOS平台为银行连接ACH、Fedwire、FedNow等支付网络，客户通过一个共享连接使用这些服务。该公司网站上周列出11家银行及信用社客户。
Finzly发言人表示，公司已“轮换系统密钥和凭证”，但仅凭被泄露的配置资料，并不能进入Finzly的系统或数据。公司目前的调查没有发现银行客户数据或其系统访问信息遭到破坏，也称客户运营未受影响。Finzly已通知执法部门，聘请外部法律和取证专家，并开始与客户沟通；公司表示正与监管机构及客户合作。
美联储发言人称，美联储支付服务没有受到影响。公开文件中未见客户数据、银行数据或交易记录；文件是否包含仍有效的密码或密钥，没有经过测试。配置注释将其称为“2023 config”，显示文件可能形成于2023年。
n0n上周威胁要公开支付基础设施的网络配置和访问密钥，并把最后期限从周五延至周二晚间。延期结束后，该团伙公布文件，其行为显示Finzly可能没有支付赎金，但团伙没有披露向Finzly索要的金额。威胁情报公司Cyfirma曾记录，n0n针对韩国企业的勒索要求从60万美元到1400万美元不等，以比特币计价。
入侵设备和密钥来源仍未查明
Finzly表示，未经授权的第三方访问了其备份数据中心的一台设备，该设备存有配置信息。但公司没有说明这台设备是否就是涉事防火墙、入侵发生时间，或攻击者如何取得访问权限。
n0n公布的六份文件中，有五份看起来构成一台Fortinet FortiGate防火墙的配置，另一份是配置摘要，并将设备称为“支付网关”。文件列出名为“FED”的直接连接，以及标注FedNow和FedACH流量的防火墙规则。摘要还称，配置中的密码和密钥于10月15日被解密。
防火墙通常会以加密形式保存密码和密钥。Fortinet曾在2019年承认，较早版本的防火墙软件使用过每台设备相同的硬编码密钥来加密配置文件中的密码。网络安全公司Huntress首席战术响应分析师Michael Tigges表示，攻击者通过解密配置文件取得密钥是“完全可能的”，但目前没有公开证据说明n0n具体采用了哪种方式。
更换凭证未必消除配置暴露的风险
更换密码和密钥可以改变系统的访问凭证，却不会自动重画网络连接关系。网络安全公司Sophos威胁研究高级总监Rafe Pilling指出，旧防火墙配置仍可能显示哪些连接受到信任。此次文件呈现了通往Finzly云系统及美联储的连接路径，可帮助攻击者了解不同系统之间如何通信。
安全公司Secure.com工程负责人Waseem Ahmed也指出，网络布局、IP地址、隧道端点和信任关系的变化，通常比密码更慢。换言之，即便旧凭证已经失效，泄露的网络地图仍可能减少攻击者摸清目标所需的时间。
Tigges表示，在最坏情况下，泄露的防火墙配置可能被用于进一步控制整个网络，也可能增加账户号码、金融交易等数据被窃取或遭遇勒索软件攻击的风险。不过，现有信息没有说明n0n是否曾尝试使用这些密钥进入系统，也没有说明Finzly是在勒索开始前发现异常，还是收到勒索后才得知情况。公司也未说明密钥是在对方取得文件前还是公开文件后更换。
银行可要求供应商核实凭证轮换并检查日志
网络安全公司Suzu Labs首席技术官Denis Calderone建议，受到供应商防火墙配置泄露影响的银行，应先要求供应商确认文件中的每项凭证和密钥是否都已轮换，并提供相应证明；银行也可询问供应商是否已通知美联储。
Ahmed建议银行梳理与供应商之间的全部连接，更换由银行控制的凭证，并与供应商协商新的VPN密钥，不必等待供应商逐项提出要求。Calderone还建议检查日志中的异常连接，并把排查时间范围延伸到泄露事件之前数月，而不只是事件公开后的记录。
目前已知的信息显示，公开文件未包含银行客户数据或交易记录，美联储支付服务也未受影响。尚待厘清的重点包括攻击者进入备份数据中心设备的时间和方式、密钥轮换的具体时间，以及银行与供应商之间相关连接是否需要进一步调整。