Platforma tożsamości Blockchain Fractal ID opublikowała sekcję zwłok opisującą naruszenie danych, którego doświadczyła firma 14 lipca. Od tego czasu naruszenie ma korzenie w incydencie z 2022 r., kiedy pracownik ponownie użył złamanego hasła.

Według Fractal ID zhakowane konto przez trzy lata należało do operatora platformy i posiadało uprawnienia administratora. Umożliwiło to atakującemu ominięcie wewnętrznych systemów ochrony danych, chociaż monitorowanie systemu pomogło zablokować atakującego w ciągu 29 minut.

Podstawowa przyczyna naruszenia

Do naruszenia przyczyniło się nieprzestrzeganie przez operatora zasad bezpieczeństwa operacyjnego i szkoleń, a także ponowne wykorzystanie danych uwierzytelniających uzyskanych w wyniku wcześniejszych włamań.

14 lipca 2024 r. dostawca weryfikacji tożsamości kryptograficznej wykrył nietypową aktywność w jednym ze swoich biur zaplecza. Działanie to zostało szybko zidentyfikowane jako złośliwy atak, w wyniku którego doszło do wycieku danych w przypadku około 0,5% bazy użytkowników.

Jednakże Fractal ID odnotowało w raporcie pośmiertnym, że w odpowiedzi wyłączyło wszystkie konta w zaatakowanym systemie i ograniczyło dostęp dla pracowników wyższego szczebla. Firma nadała także priorytet ulepszeniu środków bezpieczeństwa, aby zapobiec przyszłym incydentom, takim jak wdrożenie ograniczania żądań, bardziej szczegółowej autoryzacji, dokładniejsze monitorowanie nieudanych prób uwierzytelnienia i ściślejsza kontrola adresów IP.

Powiązane: Nowe „ataki nakładkowe” stanowią rosnące zagrożenie dla użytkowników kryptowalut – dyrektora generalnego ds. bezpieczeństwa

Oprócz wysiłków wewnętrznych Fractal ID skontaktował się z właściwymi organami ochrony danych i wydziałem policji ds. cyberprzestępczości w Berlinie. Firma nawiązała także współpracę z usługami zajmującymi się cyberbezpieczeństwem w celu monitorowania potencjalnej dystrybucji skradzionych danych w znanych witrynach naruszających dane.

Wpływ naruszenia danych

Według raportu skradzione dane, które dotknęły około 6300 użytkowników, obejmują różne poziomy informacji, od weryfikacji tożsamości po pełną kontrolę KYC. Dane te mogą obejmować nazwiska, adresy e-mail, numery telefonów, adresy portfeli, adresy fizyczne i obrazy przesłanych dokumentów. Fractal ID skontaktował się również bezpośrednio z użytkownikami, których to dotyczyło, aby poinformować ich o naruszeniu.

Współzałożyciele Fractal ID, Julian, Julio, Lluis i Anna, wyrazili ubolewanie z powodu tego incydentu i podkreślili swoje zaangażowanie w ochronę danych użytkowników. Powtórzyli cel firmy, jakim jest przejście na system przechowywania danych z możliwością samodzielnego zarządzania, aby zwiększyć bezpieczeństwo danych.

Ta luka w zabezpieczeniach wyraźnie przypomina o trudnościach w ochronie danych. Autix10, dostawca identyfikatorów kryptograficznych, ujawnił 27 czerwca, że ​​ujawniono jego dane logowania administracyjnego online. Jednak w tym przypadku osoba atakująca najwyraźniej nie uzyskała dostępu do żadnych danych klientów.

Magazyn: Crypto-Sec: Evolve Bank doznał naruszenia bezpieczeństwa danych, entuzjasta Turbo Toad traci 3,6 tys. dolarów