Bitfinex – hackeo aparentemente menor a la plataforma de soporte y asistencia

[DdmrDdmr]

Un empleado de Bitfinex parece haber caído víctima de phishing de credenciales, facultando que unos hackers se hiciesen con un acceso a datos de clientes de la plataforma de soporte y asistencia técnica, obteniendo de esta manera "ciertos" datos de algunos clientes del Exchange. No se especifica más, salvo que los datos eran parciales y obsoletos (en sus palabras). Tampoco parece que el incidente afecte a las cuentas de los clientes de manera directa, y consideran que no se han visto comprometidos ni las cuentas ni los fondos de sus clientes.
 
A priori, bajo el esquema de las grandes cosas, parece efectivamente un incidente menor, pero si de ello se deriva que algunos clientes acaben siendo víctimas de phishings targetizados, o llamadas de un falso soporte, para éstos cliente, el incidente puede que no sea tan menor como lo pintan.

Lo que sigo sin entender es cómo no tienen un sistema de control de accesos basados en 2FA y control de IPs desde las cuales se puede acceder a los entornos corporativos desde puestos remotos. O si los tienen, cómo logran saltarse estos controles.

Ver:
https://www.criptonoticias.com/seguridad-bitcoin/ataque-phishing-informacion-usuarios-bitfinex/
https://blog.bitfinex.com/media-releases/bitfinex-minor-security-incident/

[darbitmobilerecovery]

Lo que sigo sin entender es cómo no tienen un sistema de control de accesos basados en 2FA y control de IPs desde las cuales se puede acceder a los entornos corporativos desde puestos remotos. O si los tienen, cómo logran saltarse estos controles.

Ver:
https://www.criptonoticias.com/seguridad-bitcoin/ataque-phishing-informacion-usuarios-bitfinex/
https://blog.bitfinex.com/media-releases/bitfinex-minor-security-incident/

Adhiero y esto nos muestra algo que ya sabemos y en mi caso lo veo mucho con los soportes de los casinos, son todos tercerizados con algun acceso a funciones o simplemente para FAQs.

Esto nos abre dos cuestiones:

1- Esperemos que sean MUY profesionales esas empresas, pero puede haber casos que no.
2- De ser asi también nos da una tranquilidad de que solo pueden ingresar hasta ahí, y no estan completamente adentro del sistema de la empresa principal en si (en este caso bitfinex).

Ahora bien dicho esto volvemos a tu planteo original, imagino que una empresa que da soporte a compañías tan grandes debería tener lo que estas comentando y obturar al instante la falla.

[famososMuertos]

Lo que sigo sin entender es cómo no tienen un sistema de control de accesos basados en 2FA y control de IPs desde las cuales se puede acceder a los entornos corporativos desde puestos remotos. O si los tienen, cómo logran saltarse estos controles.

Ver:
https://www.criptonoticias.com/seguridad-bitcoin/ataque-phishing-informacion-usuarios-bitfinex/
https://blog.bitfinex.com/media-releases/bitfinex-minor-security-incident/

Adhiero y esto nos muestra algo que ya sabemos y en mi caso lo veo mucho con los soportes de los casinos, son todos tercerizados con algun acceso a funciones o simplemente para FAQs.

Esto nos abre dos cuestiones:

1- Esperemos que sean MUY profesionales esas empresas, pero puede haber casos que no.
2- De ser asi también nos da una tranquilidad de que solo pueden ingresar hasta ahí, y no estan completamente adentro del sistema de la empresa principal en si (en este caso bitfinex).

Ahora bien dicho esto volvemos a tu planteo original, imagino que una empresa que da soporte a compañías tan grandes debería tener lo que estas comentando y obturar al instante la falla.

El asunto es que la historia siempre es parcial, no hay un perito que lo corrobore, de hecho debería estandarizarse un organismo que verifique que fue lo que paso y si coincide con la historia del afectado una especie de NCIS Cripto-Exchange, pero como dicen, se han preguntado si alguien va ahí y "mira".

Por qué, como es que... existiendo los protocolos para que no sucedan, estas cosas pasan y la respuesta siempre es; "víctima de phishing". Y lo más increíble cualquier Exchange sigue su ritmo como si... aquí no paso nada.

[albert0bsd]

Lo mencione un un post del norte y lo vuelvo a mencionar aqui...

Como es posible que Bitfinex siga operando despues del hackeo de hace años cualquier cliente viejo que siga utilizando la plataforma no esta bien informado...

Eso de que el ataque de pishing sea "de menor impacto" no deja nada claro, pishing  es pishing y un solo acceso puede comprometer toda la compañia (Ataques laterales, mas ingenieria social entre otros vectores).

Lo que sigo sin entender es cómo no tienen un sistema de control de accesos basados en 2FA y control de IPs desde las cuales se puede acceder a los entornos corporativos desde puestos remotos. O si los tienen, cómo logran saltarse estos controles.

Concuerdo, contraseñas robustas, Accesos solo mediante VPN y 2FA son fundamentales hoy en dia y mas si manejas fondos millonarios y datos de identificacion personal de clientes.

[DdmrDdmr]

No sé si será el caso, pero muchas corporaciones delegan la prestación del soporte en empresas terceras, lo cual no exime de que el cliente (Bitfinex), en su caso, deba exigir y verificar unos protocolos de seguridad en toda su cadena de valor, en la cual incluyo el soporte.

En todo caso, este tipo de problemas, en los cuales los empleados son el objetivo del ataque cual Caballo de Troya para acceder a datos de los clientes de una entidad, no son ya nada nuevos, y debería mover a las entidades a establecer claros protocolos y mecanismos de seguridad y control como los citados en este hilo a estas alturas de la película.

[darbitmobilerecovery]

Concuerdo, contraseñas robustas, Accesos solo mediante VPN y 2FA son fundamentales hoy en dia y mas si manejas fondos millonarios y datos de identificacion personal de clientes.

Lo de las contraseñas obviamente adhiero pero mientras siga habiendo victimas de ingeniera social poco cambia a la cuestión.

Respecto a lo segundo me da la sensación de que mucha de la información personal mas profunda y me refiero a las fotos de documentos y demas estan tercerizadas tambien y ellos solo reciben la confirmación de si los datos coinciden, si bien ellos siempre dicen que guardan y bla bla, yo creo que no es tan asi.

[DdmrDdmr]

<…> Lo de las contraseñas obviamente adhiero pero mientras siga habiendo victimas de ingeniera social poco cambia a la cuestión. <…>

No bien bien, y por eso lo apuntaba más arriba, y lo recalcaba albert0bsd: Yo he estado en circunstancias operativas múltiples veces donde, para acceder a un entorno determinado, no bastaban con las credenciales de la plataforma, sino que además:

-   Debía conectarme usando una VPN configurada específicamente para acceder al entorno.

-   Además, si no recuerdo mal, debía usar 2FA (contraseña de 30 segundos mediante app) para poder acceder a la VPN.

-   Y en alguna ocasión, debía acceder además desde una IP fija, la cual autorizaban en el firewall para poder acceder al entorno.

Digamos que con lo anterior, uno ya podría conocer mis claves que no podría acceder al sistema ni en broma con las medidas antes citadas. Y no se trataba de la NASA, con lo que quiero decir que son medidas convencionales dentro de entorno bien controlados de corporaciones que cuidan estos aspectos. Un Exchange debería poder dedicar recursos a implementar medidas como las anteriores.

[CryptoDeivid]

Lo mencione un un post del norte y lo vuelvo a mencionar aqui...

Como es posible que Bitfinex siga operando despues del hackeo de hace años cualquier cliente viejo que siga utilizando la plataforma no esta bien informado...

Eso de que el ataque de pishing sea "de menor impacto" no deja nada claro, pishing  es pishing y un solo acceso puede comprometer toda la compañia (Ataques laterales, mas ingenieria social entre otros vectores).

Lo que sigo sin entender es cómo no tienen un sistema de control de accesos basados en 2FA y control de IPs desde las cuales se puede acceder a los entornos corporativos desde puestos remotos. O si los tienen, cómo logran saltarse estos controles.

Concuerdo, contraseñas robustas, Accesos solo mediante VPN y 2FA son fundamentales hoy en dia y mas si manejas fondos millonarios y datos de identificacion personal de clientes.

Comprendo la parte de seguridad 2FA, la que no entiendo es por qué el uso de una VPN? para tener controlado todo el flujo de acceso por una misma puerta??
PD: estudié medicina y la informática en Cuba quedó en la prehistoria, no me tengan en cuanta mis preguntas tontas 

[albert0bsd]

Comprendo la parte de seguridad 2FA, la que no entiendo es por qué el uso de una VPN? para tener controlado todo el flujo de acceso por una misma puerta??

En mi trabajo para acceder a la red Interna de la empresa (Intranet) se requiere una de dos cosas, estar fisicamente dentro de la oficina y conectado a la red de la empresa o bien si estas trabajando fuera y conectado a otra red se require que tengas encendida la VPN (Virtual Private Network)

Por lo cual si te roban los accesos no podrian acceder a nada a no ser que tambien tengan el acceso a la VPN (Cofiguracion correcta y certificados instalados en el equipo).

Y si como dices, para tener todos los accesos externos controlados bajo el mismo punto de entrada.

[famososMuertos]

.../Q/...,,,

Comprendo la parte de seguridad 2FA, la que no entiendo es por qué el uso de una VPN? para tener controlado todo el flujo de acceso por una misma puerta??
PD: estudié medicina y la informática en Cuba quedó en la prehistoria, no me tengan en cuanta mis preguntas tontas  

Todo el que ha estudiado una carrera larga, sabe que la pregunta tonta es la que no se hace   bienvenida cualquier inquietud, tengo un hilo que dice "sin penas voy a preguntar", porque puede que veas ese "pomposo" legendario/cualquier rango y muchos méritos en cualquier usuario, pero el arte de preguntar es el camino para aprender todos los días.

Creo que las respuestas dadas son concluyentes, pero en el espacio que nos movemos en estos últimos años las VPN se han popularizado tanto que su uso extendido, puede que resulta en pensar que solo se usan para poder evadir las jurisdicciones y así poder Streaming (x ejemplo) y/o cualquier otro sitios que necesitamos acceder, por ejemplo sucede en Cuba y en China, donde se usan muchos por estos motivos, para acceder a las prohibiciones de geolocalización por ejemplo, para ese tipo de cosas solo necesitas encender la VPN y listo, y literal no necesitas hacer más nada.

Pero en otras circunstancias avanzadas permiten controlar el acceso bajo claves, y entre las tantas aplicaciones, son muy útiles para acceder a información que tengas en un disco duro local por ejemplo, y de hecho puedes configurar una VPN en tu wifi y conectarte a esta sin ningún problema, ejemplos, cuando quieres evadir las nuevas imposiciones de Ip (hogar para Netflix, que solo es un ejemplo de ejercicio, no de recomendación).