رئیس امنیت بایننس ماه‌ها پیش از هک ۶.۳ میلیارد دلاری، تاکتیک مهاجمان را ناخواسته فاش کرد

هشدار مدیر امنیت بایننس در مورد حملات فیشینگ از طریق مصاحبه‌های شغلی جعلی، پیش از هک ۶.۳ میلیارد دلاری

چند ماه پیش از آنکه صرافی بایننس ۶.۳ میلیارد دلار در پی یک حمله سایبری از دست بدهد، مدیر ارشد امنیت این شرکت در مصاحبه‌ای هشدار داده بود که چگونه مصاحبه‌های شغلی جعلی می‌توانند راه را برای نفوذ مهاجمان به سیستم‌های داخلی صرافی باز کنند. این روش، شباهت نزدیکی به یکی از شیوه‌هایی دارد که در نهایت در حمله اخیر مورد استفاده قرار گرفت.

جیمی سو، مدیر ارشد امنیت بایننس، در مصاحبه‌ای در ماه جولای در خصوص واکنش این شرکت به تهدیدات امنیتی رو به افزایش، به کوین‌تلگراف گفته بود که مصاحبه‌های شغلی جعلی «چیزی است که ما در داخل شرکت به شدت نگران آن هستیم.» وی توضیح داد که مهاجمان می‌توانند یک فرصت شغلی را برای یک کارمند خاص طراحی کرده و سپس او را متقاعد کنند که در جریان یک ارزیابی فنی، کدی را اجرا کند.

سو در این باره گفت: «و به محض اجرای این کد، دستگاه آلوده می‌شود و سپس مهاجمان می‌توانند شروع به سرقت اطلاعات احراز هویت کنند.» وی افزود که مهاجمان می‌توانند از این اطلاعات برای نفوذ بیشتر به شبکه استفاده کنند.

هشدار دقیق سو در مورد ارزیابی‌های کدنویسی مخرب، در پوشش خبری ماه جولای کوین‌تلگراف گنجانده نشده بود، اما با توجه به بزرگترین هک تاریخ ارزهای دیجیتال که اخیراً رخ داد، اهمیت ویژه‌ای پیدا کرده است.

در ماه سپتامبر، یکی از مهندسان نرم‌افزار بایننس در جریان یک مصاحبه شغلی جعلی، یک تکلیف کدنویسی مخرب را بر روی رایانه کاری خود دانلود کرد. طبق تحقیقات اولیه بایننس، این نفوذ بخشی از حمله چند مرحله‌ای بود که در نهایت به سرقت در ماه اکتبر منجر شد.

سو در مصاحبه با کوین‌تلگراف همچنین پیش‌بینی کرده بود که چرا ابزارهای امنیتی ممکن است نتوانند چنین تله‌ای را شناسایی کنند. وی در ماه جولای توضیح داده بود که یک ارزیابی فنی می‌تواند شامل مراحل ظاهراً قانونی باشد، مانند دانلود یک مخزن کد از GitHub.

او گفته بود: «هر مرحله به تنهایی قانونی است. بنابراین بسیاری از ابزارهای ضدویروس ممکن است قادر به شناسایی و پرچم‌گذاری آن نباشند.»

تحقیقات بعدی بایننس نیز به شکست مشابهی در شناسایی اشاره کرد و اعلام داشت که فرآیند راه‌اندازی تکلیف، بدافزاری را اجرا کرده بود که از طریق ابهام‌زدایی و سایر تکنیک‌های گریز، از ابزارهای امنیتی نقطه پایانی (endpoint security) این شرکت فرار کرده بود.

سو به کوین‌تلگراف گفته بود که مسئولیت مهار ریسک در زمانی که کارمندان در حال پیگیری فرصت‌های شغلی خارج از شرکت با استفاده از رایانه‌های کاری هستند، بر عهده بایننس است.

وی افزود: «البته کارمندان می‌توانند فرصت‌های خارج از شرکت را بررسی کنند. آنچه ما نگران آن هستیم این است که این کار را با دستگاه شرکت انجام دهند.» او اضافه کرد که اگر کارمندی فریب مصاحبه جعلی را بخورد، «وظیفه ماست که آن را شناسایی کرده» و «اجرای واقعی آن کد را متوقف کنیم.»

هشدار در مورد تهدیدات سایبری

بایننس پیش از این نیز در حال آزمایش کارمندان خود در برابر استخدام‌کنندگان جعلی بود. سو گفت که تیم داخلی قرمز (red team) این شرکت به مدت سه تا چهار سال، شبیه‌سازی‌های فیشینگ ماهانه را انجام می‌داد و برای کارمندانی که موفق نمی‌شدند، آموزش‌های اصلاحی ارائه می‌کرد.

او گفت: «در ابتدا، بهداشت امنیتی بسیار ضعیف بود. اما پس از این مدت، شرکت به طور قابل توجهی بهبود یافته است.»

کوین گیبسون از شرکت استخدام Proof of Search به کوین‌تلگراف گفت که این تهدید همچنین نحوه ارزیابی کارفرمایان ارز دیجیتال از متقاضیان را تغییر داده است، به طوری که مشتریان به طور فزاینده‌ای می‌خواهند بدانند آیا نامزدها به صورت حضوری ملاقات شده‌اند یا خیر.

گیبسون گفت: «تعدادی از مشتریان ما اکنون مستقیماً از ما می‌پرسند که آیا نامزد را به صورت حضوری ملاقات کرده‌ایم یا خیر.» وی افزود که نامزدهایی که توسط یک استخدام‌کننده شخص ثالث به صورت حضوری ملاقات شده‌اند، مزیت دارند.

کارمندان، مانند مورد بایننس، نیز می‌توانند هدف قرار گیرند.

او گفت: «در حوزه ارز دیجیتال، یک پیشنهاد شغلی مشکوک یا یک «تماس سریع برای گپ زدن» می‌تواند اولین گام در یک حمله چند میلیون دلاری باشد.»

بایننس اعلام کرد که تاکنون ۵۷ مورد تهدید سایبری مشکوک مرتبط با کره شمالی را در سال جاری مسدود کرده است که تقریباً معادل یک حمله در هر پنج روز است.

پس از حمله ماه اکتبر، بایننس اعلام کرد که کنترل‌های دستگاه‌ها را سخت‌گیرانه‌تر کرده، سیستم‌های کیف پول آسیب‌دیده و ابزارهای هوش مصنوعی داخلی را بازسازی کرده، کنترل‌های دسترسی را تقویت کرده و اطلاعات احراز هویت به خطر افتاده را باطل کرده است.

این شرکت همچنین اعلام کرد که سرمایه‌گذاری در حفاظت از نقطه پایانی و امنیت محیط توسعه‌دهنده را افزایش داده و کارشناسان مستقل امنیت سایبری را برای بررسی حادثه استخدام کرده است. برخی جزئیات فنی و اقدامات امنیتی محرمانه باقی خواهند ماند.