Утечка данных Fractal ID была связана со взломом пароля 2022 года

Платформа блокчейн-идентификации Fractal ID опубликовала вскрытие с описанием утечки данных, от которой пострадала компания 14 июля. Оказалось, что утечка данных была связана с тем, что сотрудник повторно использовал пароль, скомпрометированный в 2022 году.

По данным Fractal ID, скомпрометированная учетная запись в течение трех лет принадлежала оператору платформы и имела права администратора. Это позволило злоумышленнику обойти внутренние системы конфиденциальности данных, хотя мониторинг системы помог заблокировать злоумышленника в течение 29 минут.

Основная причина утечки

Неспособность оператора следовать политикам операционной безопасности и обучению, а также повторное использование учетных данных, скомпрометированных в результате прошлых хакерских атак, способствовали взлому.

14 июля 2024 года поставщик криптовалютной проверки личности обнаружил необычную активность в одном из своих бэк-офисов. Эта деятельность была быстро идентифицирована как вредоносная атака, которая привела к краже данных примерно 0,5% пользовательской базы.

Источник: Fractal ID.

Однако в отчете о вскрытии Fractal ID отметила, что в ответ отключила все учетные записи во взломанной системе и ограничила доступ старшим сотрудникам. Компания также уделила приоритетное внимание усилению своих мер безопасности для предотвращения будущих инцидентов, таких как реализация регулирования запросов, более детальная авторизация, более строгий мониторинг неудачных попыток аутентификации и более строгий контроль IP.

Помимо внутренних усилий, Fractal ID связалась с соответствующими органами по защите данных и отделом полиции по борьбе с киберпреступностью в Берлине. Компания также сотрудничает со службами кибербезопасности для отслеживания любого потенциального распространения украденных данных на известных сайтах утечки данных.

Последствия утечки данных

Согласно отчету, украденные данные, от которых пострадали около 6300 пользователей, включают в себя различные уровни информации: от проверок личности до полных проверок KYC. Эти данные могут включать имена, адреса электронной почты, номера телефонов, адреса кошельков, физические адреса и изображения загруженных документов. Fractal ID также напрямую связалась с пострадавшими пользователями, чтобы сообщить им о взломе.

Соучредители Fractal ID Джулиан, Хулио, Луис и Анна выразили сожаление по поводу инцидента и подчеркнули свою приверженность защите пользовательских данных. Они подтвердили цель компании — перейти к системе хранения данных с самостоятельным хранением для повышения безопасности данных.

Эта ошибка в системе безопасности служит ярким напоминанием о трудностях в защите данных. Autix10, поставщик крипто-идентификаторов, 27 июня сообщил, что их административные данные для входа в Интернет были раскрыты. Однако в данном случае злоумышленник, похоже, не получил доступа к каким-либо данным клиентов.

Источник