Dwie akcje, dwie różne kwoty
Departament Sprawiedliwości USA podał, że organy ścigania przejęły chmurową infrastrukturę służącą do prowadzenia oszustw nazwanych FaceStealer. Według władz amerykańskich związani z Koreą Północną przestępcy zdołali w ten sposób ukraść w ciągu około 18 miesięcy kryptowaluty warte ponad 400 mln dolarów. Osobno prokuratura uzyskała decyzję sądu pozwalającą na przejęcie lub zabezpieczenie aktywów o wartości przekraczającej 1,2 mld dolarów, powiązanych z innym atakiem na Binance.
Kwot tych nie należy sumować jako strat z jednego włamania ani przedstawiać tak, jakby całą wartość środków odzyskano już i wypłacono poszkodowanym. Pierwsza dotyczy rozbudowanego oszustwa wykorzystującego podszywanie się pod rozmówców, a druga działań mających zabezpieczyć skradzione wcześniej aktywa z giełdy. To dwa odrębne mechanizmy połączone ustaleniami o działalności północnokoreańskich hakerów.
Cyberprzestępczość nie ogranicza się do ataków na branżę finansów cyfrowych. Przykładem innego rodzaju zagrożenia był opisywany przez nas atak na systemy poznańskiego urzędu miasta. W każdym przypadku szczegóły techniczne są inne, ale wspólnym elementem jest ryzyko utraty dostępu do danych, pieniędzy lub zaufanych kanałów komunikacji.
FaceStealer: Jak ofiara trafia na fałszywą rozmowę
FBI opisało metodę polegającą na przejmowaniu kont komunikacyjnych i zapraszaniu kolejnych osób na wideokonferencje przypominające popularne usługi, takie jak Zoom, Microsoft Teams czy Google Meet. Zaproszenie może pochodzić z konta znajomego lub współpracownika, które wcześniej zostało skompromitowane. Ofiara nie musi więc zobaczyć wiadomości od zupełnie nieznanego nadawcy.
Sprawcy używają wcześniej zarejestrowanych obrazów osób z otoczenia ofiary. Po połączeniu pojawia się pozorny problem techniczny - na przykład awaria dźwięku - i sugestia pobrania łatki lub uruchomienia pliku naprawczego. W rzeczywistości taki krok może zainstalować złośliwe oprogramowanie, które umożliwia dalsze przejmowanie kont i dostęp do zasobów cyfrowych. Kamera i głos rozmówcy mogą sprawiać wrażenie autentyczności, choć nie potwierdzają jego tożsamości.
FBI wskazało na ponad 900 zabezpieczonych nagrań z kamer internetowych, wykorzystywanych jako materiał do podszywania się pod osoby. Zwróciło też uwagę na użycie sztucznej inteligencji do tworzenia fałszywych filmów. Nie oznacza to, że każdy z 900 nagranych rozmówców bezpośrednio utracił kryptowaluty; liczba opisuje zidentyfikowane nagrania, a nie potwierdzony bilans pokrzywdzonych finansowo.
Co z pieniędzmi skradzionymi z giełdy Binance?
Według amerykańskich władz osobny atak na Binance spowodował stratę wycenianą na około 6,3 mld dolarów. Zidentyfikowane aktywa, wobec których uzyskano uprawnienia do zajęcia lub zablokowania, mają wartość przekraczającą 1,2 mld dolarów. Inne działania instytucji państwowych i partnerów sektora prywatnego pozwoliły łącznie zamrozić więcej środków, jednak sam fakt blokady nie jest równoznaczny ze zwrotem pieniędzy każdemu właścicielowi.
Postępowania dotyczące aktywów cyfrowych wymagają ustalenia ich pochodzenia, właścicieli oraz przebiegu transferów przez kolejne portfele. Należy też odróżnić administracyjne ograniczenie dostępu do środków od ostatecznego rozstrzygnięcia w sądzie. W tym sensie ogłoszona akcja jest ważnym krokiem organów ścigania, ale procedury odzyskiwania i ewentualnej dystrybucji środków nie zostały zakończone.
W oficjalnym komunikacie USA rozdzielono techniczne usunięcie zasobów wykorzystywanych przez oszustów od sądowych działań wobec cyfrowych pieniędzy. Oba elementy są ważne: infrastruktura pozwala prowadzić kolejne kampanie oszustw, a aktywa mogą pozostawać w obrocie pomimo ujawnienia kradzieży. Działania wymierzone w serwery nie oznaczają jednak automatycznego ustalenia tożsamości każdej osoby uczestniczącej w procederze.
Pracownicy branży kryptowalutowej bywają atakowani także przez fałszywe oferty rekrutacyjne i prośby o uruchomienie obcego kodu. FBI łączy FaceStealer z inną metodą niż klasyczny phishing e-mailowy: sprawcy wykorzystują obraz i relacje interpersonalne. Dlatego skuteczna ochrona nie sprowadza się wyłącznie do filtrowania wiadomości z nieznanych adresów.
Jak rozpoznać podejrzane zaproszenie na spotkanie
Szczególną ostrożność powinny zachować osoby mające dostęp do firmowych portfeli kryptowalutowych, kluczy prywatnych, kodu źródłowego czy kont administratora. Jeżeli podczas spotkania pojawia się polecenie instalacji „naprawy dźwięku”, lepiej przerwać połączenie i samodzielnie skontaktować się z organizatorem znanym wcześniej kanałem. Nawet prawdziwe konto nadawcy może być przejęte, dlatego samo zdjęcie profilowe lub znajomy obraz wideo nie wystarczą do potwierdzenia tożsamości.
Warto odróżnić te działania od politycznych oskarżeń o cyberataki, takich jak francuskie zarzuty dotyczące włamań do systemów sklepów. W omawianej sprawie amerykański Departament Sprawiedliwości przedstawił własne działania śledcze i decyzje o zabezpieczeniu infrastruktury. Nadal jednak poszczególne zarzuty podlegają odpowiednim procedurom prawnym, a sam opis urzędowy nie zastępuje końcowych orzeczeń sądu.
Sprawa ma również wymiar bezpieczeństwa międzynarodowego: amerykańskie instytucje wiążą kradzieże kryptowalut z pozyskiwaniem środków przez Koreę Północną. Przy ocenie tego wątku warto pamiętać o szerszym tle napięć wokół północnokoreańskich programów wojskowych i wcześniejszych doniesieniach ONZ o kradzieżach kryptowalut. Nowością są jednak przede wszystkim ogłoszone teraz działania przeciw infrastrukturze i aktywom.
Źródła informacji
Departament Sprawiedliwości USA, FBI, Reuters
