dicho<\/a> sus “controles cibern\u00e9ticos impidieron que el atacante obtuviera acceso directo al sistema y evitaron cualquier p\u00e9rdida de fondos o compromiso de la informaci\u00f3n del cliente”.<\/p>\nEl incidente, que tuvo lugar el 5 de febrero de 2023, result\u00f3 en la exposici\u00f3n de una “cantidad limitada de datos” de su directorio, incluidos los nombres de los empleados, las direcciones de correo electr\u00f3nico y algunos n\u00fameros de tel\u00e9fono.<\/p>\n
Como parte del ataque, varios empleados fueron objeto de una campa\u00f1a de phishing por SMS inst\u00e1ndolos a iniciar sesi\u00f3n en las cuentas de su empresa para leer un mensaje importante.<\/p>\n
Se dice que un empleado cay\u00f3 en la estafa, que ingres\u00f3 su nombre de usuario y contrase\u00f1a en una p\u00e1gina de inicio de sesi\u00f3n falsa creada por los actores de amenazas para recolectar las credenciales.<\/p>\n
“Despu\u00e9s de ‘iniciar sesi\u00f3n’, se le solicita al empleado que ignore el mensaje y se le agradece por cumplir”, dijo la compa\u00f1\u00eda. “Lo que sucedi\u00f3 despu\u00e9s fue que el atacante […] Hizo repetidos intentos de obtener acceso remoto a Coinbase”.<\/p>\n
Estos intentos de iniciar sesi\u00f3n en los sistemas utilizando las credenciales capturadas no tuvieron \u00e9xito debido a las protecciones de autenticaci\u00f3n de m\u00faltiples factores que se habilitaron para la cuenta.<\/p>\n
Sin inmutarse, el actor de amenazas llam\u00f3 al empleado que dec\u00eda ser del equipo corporativo de Tecnolog\u00eda de la Informaci\u00f3n (TI) de Coinbase y le indic\u00f3 que iniciara sesi\u00f3n en su estaci\u00f3n de trabajo y siguiera un conjunto de instrucciones.<\/p>\n
“Eso comenz\u00f3 un ir y venir entre el atacante y un empleado cada vez m\u00e1s sospechoso”, explic\u00f3 Coinbase. “A medida que avanzaba la conversaci\u00f3n, las solicitudes se volvieron cada vez m\u00e1s sospechosas”.<\/p>\n
La compa\u00f1\u00eda dijo que fue alertada dentro de los primeros 10 minutos del ataque y que sus respondedores de incidentes se comunicaron con la v\u00edctima para preguntar sobre la actividad sospechosa de su cuenta, lo que llev\u00f3 a la persona a cortar todas las comunicaciones con el adversario.<\/p>\n
Coinbase no dio m\u00e1s detalles sobre las instrucciones exactas que el actor de amenazas le dio al empleado, pero inst\u00f3 a otras compa\u00f1\u00edas a estar atentas a posibles intentos de instalar software de escritorio remoto como AnyDesk o ISL Online, as\u00ed como una extensi\u00f3n leg\u00edtima de Google Chrome llamada EditThisCookie.<\/p>\n
Tambi\u00e9n advirti\u00f3 sobre llamadas telef\u00f3nicas entrantes y mensajes de texto de proveedores espec\u00edficos como Google Voice, Skype, Vonage\/Nexmo y Bandwidth.<\/p>\n
Coinbase se\u00f1al\u00f3 adem\u00e1s que el ataque probablemente est\u00e9 relacionado con la sofisticada campa\u00f1a de phishing conocida como 0ktapus (tambi\u00e9n conocida como Scatter Swine) que apunt\u00f3 a m\u00e1s de 130 empresas, incluidas Twilio, Cloudflare, MailChimp y Signal, entre otras, el a\u00f1o pasado.<\/p>\n
<\/p>\n