Личности хакеров не установлены в 16 из 18 предполагаемых зарубежных атак на финансовые компании с 2024 года
Коротко
Из 18 предполагаемых случаев взлома финансовых компаний из-за рубежа с 2024 года по 8 октября атакующего удалось установить лишь в двух, следует из данных Службы финансового надзора, полученных депутатом от «Партии силы народа» Сон Он Сок (송언석). Два установленных случая — атака вымогательской программы GUNRA на Seoul Guarantee Insurance в прошлом году и дело INC Ransom в Baro Savings Bank (바로저축은행) в апреле этого года. В регуляторе заявили, что отследить атакующих только по местоположению IP-адреса практически невозможно, поскольку они подменяют IP или подключаются через VPN.
Читать полностью 2 мин чтения
Атакующего удалось установить лишь в 2 из 18 предполагаемых случаев взлома финансовых компаний из-за рубежа с 2024 года по 8 октября, следует из данных Службы финансового надзора (FSS), полученных Сон Он Соком (송언석), членом «Партии силы народа» в комитете по государственной политике Национального собрания. Yonhap, Electronic Times, Maeil Business и Kyunghyang Shinmun сообщили об этих данных 9 октября. Yonhap и Kyunghyang отметили, что период охватывает около двух лет и девяти месяцев. [ 1 , 2 , 3 , 4 ]
Взлом Seoul Guarantee Insurance в июле прошлого года подтверждён как дело рук международной группы вымогателей GUNRA. Её серверы были заражены, работа сервисов остановилась примерно на 64 часа, а страховщик выплатил клиентам компенсацию в 11,91 млн вон, сообщили Yonhap и Kyunghyang. При взломе Baro Savings Bank (바로저축은행) в апреле этого года группа вымогателей INC Ransom напрямую потребовала выплаты, что позволило установить атакующего. [ 1 , 2 , 3 , 4 ]
Из остальных 16 случаев в 13 предположительно использовались зарубежные IP-адреса — это определили по запросам о доменах, собственному оборудованию безопасности и расследованиям инцидентов, ещё 3 отнесены к категории «зарубежная страна неизвестна». Yonhap сообщило, что к предположительно китайским по происхождению инцидентам относятся утечка данных около 2,97 млн клиентов Lotte Card в прошлом году и инциденты в SC First Bank и KB Life в том же году, а другие атаки предположительно совершены из таких мест, как США, Болгария, Вьетнам, Япония, Гонконг, Тайвань и Великобритания. Yonhap отметило, что зарубежный IP не позволяет определить реального атакующего или страну. [ 1 , 3 , 4 ]
В FSS заявили, что атакующие в основном подменяют IP или подключаются через VPN, поэтому установить их по местоположению IP практически невозможно. Yonhap сообщило, что FSS недавно передала финансовому сектору 28 IP-адресов атак без учёта дубликатов и предупредила, что их следует интерпретировать с осторожностью. [ 1 , 3 , 4 ]
Среди электронных финансовых компаний и онлайн-кредиторов, связанных с инвестициями, атакующего установили в 1 из 12 случаев из-за рубежа: DDoS-атака 2024 года на Eksimbei (엑심베이), получившую письмо с предупреждением от имени хакерской группы «Alpha Jackals». Koem Peimeonchu (코엠페이먼츠), которую Kyunghyang назвала платёжным шлюзом, была взломана через уязвимость в конце августа; атакующий связался с компанией, но его страна лишь предположительно определена как Китай. [ 1 , 2 , 3 , 4 ]
Полиция ищет атакующего в недавних взломах в финансовом секторе. CrowdStrike указала на 26-летнего жителя провинции Гуандун в Китае, опираясь на следы в журналах переписки с Claude Code на сервере атакующего. Kyunghyang сообщила, что CrowdStrike пришла к этому выводу 7 октября и что человек заявил изданию, что его кто-то подставил; Yonhap и Maeil сообщили, что он отрицает причастность. [ 1 , 3 , 4 ]
Сон заявил, что создание системы защиты на основе ИИ необходимо срочно, а разработка технологий отслеживания путей атак и установления реальных атакующих важна. По состоянию на 6 октября в нынешних инцидентах утечек не было нигде, кроме семи компаний: банков Shinhan, KB Kookmin, Hana и BNK Busan, сберегательных банков Yegaram и Welcome, а также Hyundai Capital. [ 1 , 2 , 3 , 4 ]
Почему это важно
Данные показывают, что регуляторы и финансовые компании редко могут назвать тех, кто стоит за атаками из-за рубежа, что СМИ связали с подменой IP и использованием VPN. Депутат Сон заявил, что необходимы система защиты на основе ИИ и технологии отслеживания путей атак, поскольку, как сообщают СМИ, взломы с использованием ИИ-агентов учащаются.
Ключевые факты
- С 2024 года по 8 октября в финансовых компаниях произошло 18 предполагаемых случаев взлома из-за рубежа; атакующего установили в 2. [ 1 , 2 , 3 , 4 ]
- Взлом Seoul Guarantee Insurance в июле прошлого года приписали международной группе вымогателей GUNRA; работа сервисов была остановлена примерно на 64 часа, страховщик выплатил клиентам компенсацию в 11,91 млн вон. [ 1 , 4 ]
- При взломе Baro Savings Bank в апреле этого года группа вымогателей INC Ransom напрямую потребовала выплаты, тем самым назвав себя. [ 1 , 2 , 3 , 4 ]
- Из остальных 16 случаев в 13 предположительно использовались зарубежные IP-адреса, ещё 3 отнесены к категории «зарубежная страна неизвестна». [ 1 , 3 , 4 ]
- Среди электронных финансовых компаний и онлайн-кредиторов, связанных с инвестициями, атакующего установили в 1 из 12 случаев взлома из-за рубежа: DDoS-атака 2024 года на Eksimbei (엑심베이), которой предшествовало письмо с предупреждением от имени «Alpha Jackals». [ 1 , 2 , 3 ]
- CrowdStrike предположила, что за недавними взломами в финансовом секторе может стоять 26-летний житель провинции Гуандун в Китае, опираясь на следы в журналах переписки с Claude Code на сервере атакующего; этот человек отрицает причастность. [ 1 , 3 , 4 ]
- По состоянию на 6 октября в нынешних инцидентах в финансовом секторе утечек не было нигде, кроме семи компаний (банки Shinhan, KB Kookmin, Hana и BNK Busan, сберегательные банки Yegaram и Welcome, а также Hyundai Capital). [ 1 ]
Подтверждено несколькими источниками
- Лишь в 2 из 18 предполагаемых случаев взлома финансовых компаний из-за рубежа с 2024 года атакующего удалось установить, следует из данных FSS, переданных депутату Сон Он Року. [ 1 , 2 , 3 , 4 ]
- Установленные случаи — атака GUNRA на Seoul Guarantee Insurance в июле прошлого года и дело INC Ransom в Baro Savings Bank в апреле этого года. [ 1 , 2 , 3 , 4 ]
- В FSS заявили, что атакующие в основном подменяют IP или подключаются через VPN, из-за чего установить их по местоположению IP практически невозможно. [ 1 , 3 , 4 ]
- В электронных финансах и онлайн-финансах, связанных с инвестициями, атакующего установили лишь в 1 из 12 случаев из-за рубежа — это предупреждение о DDoS-атаке от Alpha Jackals в адрес Eksimbei в 2024 году. [ 1 , 2 , 3 ]
- CrowdStrike указала на 26-летнего жителя Гуандуна в Китае, опираясь на журналы переписки с Claude Code; этот человек отрицает причастность. [ 1 , 3 , 4 ]
- В нынешних утечках не пострадали финансовые компании, кроме семи названных. [ 1 , 2 ]
Пока неясно
- Кто стоит за недавними взломами в финансовом секторе. Полиция продолжает искать атакующего; вывод CrowdStrike является оценкой, названный человек его отвергает. Kyunghyang написала, что CrowdStrike установила этого человека, а Yonhap и Maeil назвали это возможностью.
- Из каких стран на самом деле были совершены 13 атак, отслеженных по IP. Yonhap отметило, что зарубежный IP не позволяет определить реального атакующего или его страну, а FSS предупредила об обходных подключениях.
- Кто атаковал Koem Peimeonchu (코엠페이먼츠) в конце августа. Атакующий связался с компанией, но страна лишь предположительно определена как Китай.
Что пишут местные СМИ
Хронология, местное время
- Yonhap сообщает, что атакующего установили лишь в 2 из 18 предполагаемых взломов финансовых компаний из-за рубежа. [ 1 ]
- Electronic Times сообщает цифры, делая акцент на ограниченных возможностях отслеживания атакующих. [ 2 ]
- Maeil Business сообщает данные и оценку CrowdStrike в отношении атакующего. [ 3 ]
- Kyunghyang Shinmun публикует цифры вместе с опровержением названного человека, данным в интервью. [ 4 ]