Passport cüzdan üreticisi FOUNDATION, Cal.com üzerinden yaşanan ihlalde müşteri verilerine erişildiğini açıkladı
Saldırgan, şirketin kendi sunucusunda barındırdığı Cal.com randevu sistemi üzerinden içeri girip servis kimlik bilgilerini çaldı ve 21 bini aşkın adrese oltalama e-postası gönderdi. Şirket, cihazlardaki fonların etkilenmediğini belirtiyor.
Bitcoin donanım cüzdanı Passport'un geliştiricisi FOUNDATION, Ekim ayında yaşadığı güvenlik ihlaline ilişkin olay sonrası değerlendirmesini yayımladı. Aktarılan bilgilere göre ilk yetkisiz erişim 21 Ekim'e uzanıyor; şirket olayı 27 Ekim'de duyurmuştu.
Saldırı nasıl gerçekleşti?
Saldırgan, şirketin kendi altyapısında çalıştırdığı (self-hosted) Cal.com randevu sistemindeki bir kod çalıştırma açığını kullanarak sunucuyu ele geçirdi. Ardından HashiCorp Vault ile bağlantıyı sağlayan Bank-Vaults bileşenindeki bir zafiyetten yararlanarak birden fazla servis kimlik bilgisini çaldı. Kaynaklarda açık için CVE kimliği veya etkilenen sürüm bilgisi yer almıyor.
Bu kimlik bilgileriyle saldırgan müşteri kayıtlarına erişti, şirketin e-posta servis sağlayıcısı üzerinden 21.463 adrese 23 binden fazla phishing e-postası göndermeye çalıştı ve alan adı ayarlarında değişiklik yaptı.
Hangi veriler etkilendi?
Şirketin açıklamasına göre erişilen veriler arasında ad, e-posta ve posta adresi, telefon numarası, sipariş ayrıntıları, geçmiş müşteri hizmetleri kayıtları ve kısmi kart bilgileri (kart sahibi adı, son dört hane, son kullanma tarihi) bulunuyor. Tam kart numarasının ele geçirilmediği belirtiliyor.
FOUNDATION, Passport cihazlarındaki fonların güvende olduğunu, cihaz geri çağırma veya değişim planlanmadığını ve kullanıcılardan hiçbir zaman kurtarma ifadesi (seed phrase) istemeyeceğini vurguladı. Cihazların veya özel anahtarların etkilendiğine dair bir bulgu bildirilmedi.
Asıl risk: ikna edici dolandırıcılık
Gerçek sipariş bilgilerini ve kart hanelerini kullanarak FOUNDATION destek ekibini taklit eden dolandırıcılık aramaları yapıldığı aktarılıyor. Bu aramalarda kullanıcılar kurtarma ifadelerini paylaşmaya veya fon transferine yönlendiriliyor. Şirket, yanıt olarak self-hosted servislerini olabildiğince yönetilen altyapıya taşıyacağını ve uygulama erişim yetkilerini daraltacağını açıkladı.
Ne yapılmalı?
- Passport kullanıcıları, kurtarma ifadesi veya fon transferi isteyen her e-posta, arama ve mesajı dolandırıcılık kabul etmeli; doğru sipariş bilgisi içermesi meşruiyet göstergesi değildir.
- Şirket adına gelen bağlantılara tıklamak yerine resmi siteye doğrudan adres çubuğundan gidin.
- Kısmi kart bilgisi sızdığı için banka ekstrelerini izleyin; kart sahibinin bilgilerine dayanan sosyal mühendislik girişimlerine karşı dikkatli olun.
- Kendi altyapısında Cal.com ve benzeri self-hosted araçlar çalıştıran kurumlar, bu servislerin güncel olduğunu ve internete açık yüzeyini gözden geçirmeli; bu tür sunuculardan erişilebilen secret ve kimlik bilgilerinin kapsamını daraltmalı.
