勒索團體n0n本週公開金融科技公司Finzly一台防火牆的設定檔、密碼及金鑰資訊。該設備連接Finzly客戶使用的支付基礎設施，檔案列出通往美聯儲的連線，以及處理FedNow和FedACH流量的防火牆規則。美聯儲表示支付服務未受影響；Finzly則稱已輪換系統金鑰與憑證，目前沒有證據顯示銀行客戶資料或系統存取資訊遭到外洩。
事件牽涉Finzly為銀行提供的支付網路連線服務。外洩檔案是否仍可用於存取系統，目前並不清楚；不過，設定內容可能揭示網路連線架構，即使憑證已更換，銀行與供應商仍須評估相關安全風險。
外洩設定檔列出連往美聯儲的連線
Finzly的BankOS平台協助銀行連接ACH、Fedwire、FedNow等支付網路，客戶透過共用連線使用這些服務。該公司網站上週列出11家銀行及信用合作社客戶。
Finzly發言人表示，公司已「輪換系統金鑰與憑證」，但單憑外洩的設定資料，無法進入Finzly的系統或取得資料。公司目前的調查未發現銀行客戶資料或系統存取資訊遭到破壞，也表示客戶營運未受影響。Finzly已通知執法機關，聘請外部法律及鑑識專家，並開始聯絡客戶；公司稱正與監管機構及客戶合作。
美聯儲發言人表示，其支付服務未受影響。公開檔案中未見客戶資料、銀行資料或交易紀錄；檔案是否含有仍有效的密碼或金鑰，則尚未經過測試。設定檔註記將其稱為「2023 config」，顯示檔案可能於2023年建立。
n0n上週威脅公開支付基礎設施的網路設定及存取金鑰，並將最後期限從週五延至週二晚間。期限屆滿後，該團體公布檔案；其行動顯示Finzly可能未支付贖金，但n0n並未透露向Finzly索取的金額。威脅情報公司Cyfirma曾記錄，n0n向南韓企業索取的贖金介於60萬至1,400萬美元，並以比特幣計價。
入侵設備與金鑰取得方式未明
Finzly表示，未經授權的第三方曾存取其備份資料中心的一台設備，該設備存有設定資訊。不過，公司未說明該設備是否就是涉事防火牆、入侵發生時間，或攻擊者如何取得存取權限。
n0n公布的六份檔案中，五份看來是Fortinet FortiGate防火牆設定，另一份則為設定摘要，並將設備稱作「支付閘道」。檔案列出一條名為「FED」的直接連線，以及標示FedNow和FedACH流量的防火牆規則。摘要另稱，設定中的密碼與金鑰於10月15日遭解密。
防火牆通常會以加密方式儲存密碼與金鑰。Fortinet曾於2019年承認，較早版本的防火牆軟體曾使用各設備共用的硬編碼金鑰，為設定檔中的密碼加密。網路安全公司Huntress首席戰術應變分析師Michael Tigges表示，攻擊者透過解密設定檔取得金鑰「完全有可能」，但目前沒有公開證據能確認n0n採用了哪種方法。
憑證輪換無法抹去網路架構資訊
更換密碼和金鑰能改變系統存取憑證，卻不會自動改變網路連線架構。網路安全公司Sophos威脅研究高級總監Rafe Pilling指出，舊防火牆設定仍可能揭示哪些連線受到信任。此次公開的檔案呈現通往Finzly雲端系統及美聯儲的路徑，可能讓攻擊者了解不同系統如何互通。
安全公司Secure.com工程主管Waseem Ahmed也指出，網路拓撲、IP位址、通道端點及信任關係的調整，通常比密碼更慢。也就是說，即使舊憑證已失效，外洩的網路地圖仍可能縮短攻擊者摸清目標環境所需的時間。
Tigges表示，最壞情況下，外洩的防火牆設定可能被用來進一步控制整個網路，也可能增加帳戶號碼、金融交易等資料遭竊或系統遭勒索軟體攻擊的風險。不過，目前沒有資訊顯示n0n是否曾嘗試利用這些金鑰進入系統，也不清楚Finzly是在勒索開始前發現異常，還是在收到勒索通知後才得知事件。公司亦未說明金鑰是在攻擊者取得檔案前，還是檔案公開後才更換。
銀行可要求確認憑證已輪換並檢查連線紀錄
網路安全公司Suzu Labs技術長Denis Calderone建議，受供應商防火牆設定外洩事件影響的銀行，應要求供應商確認檔案中的每項憑證與金鑰是否均已輪換，並提供佐證；銀行也可詢問供應商是否已通知美聯儲。
Ahmed建議銀行盤點與供應商之間的所有連線，更換由銀行管理的憑證，並與供應商協調更新VPN金鑰，不必等供應商逐項提出要求。Calderone也建議檢查紀錄中的異常連線，並將調查範圍回溯至事件公開前數月，而非只查看公開後的紀錄。
目前已知，公開檔案未包含銀行客戶資料或交易紀錄，美聯儲支付服務也未受影響。仍待釐清的事項包括攻擊者何時、如何存取備份資料中心設備，金鑰輪換的確切時間，以及銀行與供應商之間的相關連線是否需要進一步調整。