Południowokoreańska giełda kryptowalut Bithumb wykryła nieuprawniony dostęp do swojego wewnętrznego mobilnego systemu groupware 27 października i tego samego dnia zgłosiła incydent do Korea Internet & Security Agency (KISA) oraz Komisji Ochrony Danych Osobowych (PIPC), poinformowała Yonhap.

Do czego dotarli atakujący

Naruszonym narzędziem jest Daou Office — aplikacja biurowa, której pracownicy Bithumb używają do komunikacji i udostępniania plików — poinformował News1. Bithumb przekazał redakcji, że usługi handlowe działają na fizycznie odseparowanej sieci i że nie skradziono żadnych kryptowalut. Jest to zgodne z zabezpieczeniami opisanymi w komunikacie bezpieczeństwa z 2 października: przechowywaniem w zimnych portfelach i procedurami zatwierdzania przy przemieszczaniu aktywów klientów, a także limitami i rejestrowaniem dostępu dla pracowników mających kontakt z danymi osobowymi.

Otwartym pytaniem pozostaje, jakie dane znajdowały się w aplikacji. Według Digital Today ujawnione do tej pory informacje dotyczą głównie pracowników, ale Bithumb nie wykluczył danych klientów. Czaty pracownicze i udostępniane pliki mogą zawierać dane klientów w ramach codziennej pracy wsparcia — dlatego weryfikacja obejmuje wiadomości i dokumenty, a nie tylko główną bazę danych klientów.

W oświadczeniu zacytowanym przez Financial News, przetłumaczonym z koreańskiego, giełda oświadczyła: "Analizujemy dokładny zakres, w tym możliwość, że w grę weszły dane klientów."

Bithumb nie podał, ilu osób — jeśli w ogóle — dotyczy incydent, które pola danych zostały ujawnione ani jak atakujący uzyskali dostęp.

Liczba 38 490 nie dotyczy Bithumb

Bithumb ujawnił naruszenie tego samego dnia, co dwie inne koreańskie instytucje finansowe, a przynajmniej jeden serwis o kryptowalutach podał następnie, że naruszenie w Bithumb dotyczyło 38 490 klientów. Ta liczba należy do Daishin Securities. The Korea Times poinformował, że Daishin potwierdził wyciek danych osobowych i kredytowych 38 490 klientów po nieuprawnionym dostępie do serwera powiązanego z internetowym otwieraniem kont, a atakiem objęto także Mirae Asset Global Investments.

Ujawnienie Daishin pokazuje, jak wygląda potwierdzone powiadomienie. Digital Today podał, że weryfikacja wykazała wyciek ośmiu rodzajów danych, w tym imion i nazwisk, adresów e-mail i adresów zamieszkania, numerów telefonów, nazw banków oraz numerów kont. Bithumb nie opublikował jeszcze niczego porównywalnego. Nie ma też publicznego ustalenia, że wszystkie trzy incydenty mają wspólnego atakującego lub wspólny punkt wejścia.

Bithumb już to przechodził

W 2017 roku atakujący przejął kontrolę nad domowym komputerem pracownika Bithumb i uzyskał imiona i nazwiska, adresy e-mail oraz numery telefonów komórkowych około 31 800 użytkowników, według ówczesnych doniesień. Nie przejęto żadnych haseł, a Bithumb podkreślał wówczas, że serwery centrali nie zostały naruszone.

Szkody przyszły później. Klienci zaczęli otrzymywać telefony i wiadomości od osób podszywających się pod pracowników Bithumb, które znały już ich imiona i nazwiska oraz numery telefonów, a niektórzy zostali nakłonieni do ujawnienia jednorazowych haseł chroniących ich konta. Ponad 100 klientów złożyło skargi w policyjnej jednostce ds. cyberprzestępczości, a Bithumb zaproponował każdemu poszkodowanemu użytkownikowi 100 000 wonów oraz zwrot udokumentowanych strat.

Incydent z 2026 roku dotyczy innego systemu i, jak dotąd, innego zakresu. Ale to ten schemat budzi niepokój: ryzyko związane z wyciekiem danych na giełdzie zwykle pojawia się później — w postaci telefonu, który brzmi wiarygodnie, ponieważ rozmówca zna prawdziwe szczegóły. Podobne obawy pojawiły się po wycieku danych klientów u izraelskiego brokera Bits of Gold.

Ostrzeżenie, które Bithumb wydał dwa tygodnie wcześniej

14 października, przed tym incydentem, Bithumb opublikował wskazówki dotyczące oszustw wykorzystujących wycieki danych osobowych. Giełda ostrzegła, że imię i nazwisko, dane kontaktowe oraz znajomość korzystanych przez kogoś usług mogą sprawić, że fałszywa wiadomość będzie wyglądać wiarygodnie, i opisała schematy oparte na fałszywych ofertach odszkodowań, weryfikacji tożsamości i przeglądach bezpieczeństwa kont — dokładnie te same argumenty, które oszust może próbować zastosować wobec zaniepokojonych klientów w tym tygodniu.

Co mogą zrobić klienci Bithumb

• Traktuj każdy telefon, SMS lub e-mail dotyczący naruszenia jako niezweryfikowany, dopóki nie sprawdzisz go w aplikacji lub na stronie Bithumb, z których zwykle korzystasz.
• Nigdy nie przekazuj hasła, kodu jednorazowego ani numeru weryfikacyjnego nikomu, kto się z Tobą kontaktuje, niezależnie od tego, jakie szczegóły już zna.
• Ignoruj oferty "odszkodowań", które proszą o zalogowanie się poprzez link lub przesunięcie środków.
• Śledź oficjalną tablicę ogłoszeń Bithumb w poszukiwaniu powiadomienia wskazującego, jakich danych dotyczy incydent.

Kiedy klienci powinni dowiedzieć się więcej

Koreańska ustawa o ochronie danych osobowych wyznacza termin. Gdy firma dowie się o wycieku danych osobowych, musi powiadomić osoby, których to dotyczy, w ciągu 72 godzin, wraz ze wskazaniem kroków, które mogą podjąć, aby ograniczyć szkody, oraz zgłosić incydent do PIPC lub KISA w tym samym okresie, jeśli dotyczy to 1 000 lub więcej osób albo wyciek wiązał się z nielegalnym dostępem z zewnątrz.

Bithumb już zgłosił włamanie obu agencjom. Jeśli weryfikacja potwierdzi ujawnienie danych klientów, 72-godzinny termin na powiadomienie tych klientów zacznie biec od tego ustalenia. Przydatne powiadomienie powinno wskazywać, jakie pola danych znajdowały się w aplikacji, jaki okres obejmuje ekspozycja oraz w jaki sposób Bithumb skontaktuje się z osobami, których to dotyczy — aby klienci potrafili odróżnić prawdziwą wiadomość od oszustw, przed którymi sama giełda ostrzegała we własnych wskazówkach.

Ten artykuł ma charakter wyłącznie informacyjny. Zakres incydentu pozostaje w trakcie badania, a ustalenia mogą ulec zmianie w miarę publikowania dalszych informacji przez Bithumb i organy ścigania.