Rundt 3000 UniCredit-arbeiderdata blir lagt ut for salg etter et hackeangrep

19. april tilbød en hackingforumbruker seg bak c0C0linoz-monikeren tilbudt personlig og arbeidsrelatert informasjon til UniCredit-ansatte. UniCredit er den største banken i Italia, og den er en av de største finansinstitusjonene i Europa. Det har nærmere 100 tusen ansatte samt datterselskaper i en rekke land. Mange mennesker var interessert i hva som ble lagt ut for salg nøyaktig, og forskere fra Cyble så vel som ansatte ved en Telecom Italia-enhet kalt Telsy bestemte seg for å ta en titt.

Hva ble stjålet?

I følge c0c0linoz 'innlegg kan spirende kriminelle med litt kontanter i lommene kjøpe UniCredit-ansattes navn, e-postadresser, telefonnumre og krypterte passord. Ikke mye var tilgjengelig med tanke på teknisk informasjon, men selgeren påpekte at dataene var datert tilbake til "sent 2018-2019", og etter å ha sjekket eksempelfortallene c0c0linoz lagt ut på hackeforumet, konkluderte Telsys forskere at informasjonen er autentisk.

Hvor ble det stjålet fra?

Selvfølgelig kan et brudd på en så massiv finansinstitusjon få enorme konsekvenser ikke bare for ansatte, men også for kunder. Etter å ha hørt om historien, kontaktet Bloomberg banken og fikk beskjed om at UniCredits systemer ikke har blitt brutt. I stedet var angrepet rettet mot en HR-rekrutteringsplattform utviklet og administrert av et rumensk selskap.

Telsys undersøkelse identifiserte flere kontoer på andre hackeforum, som sannsynligvis er koblet til c0c0linoz, og forskerne så at dataene ble annonsert flere ganger. Noen av annonsene nevnte at dataene stammer fra Romania, men det er fortsatt uklart om de berørte ansatte bare befinner seg i det østeuropeiske landet eller om de er spredt rundt hele kontinentet.

Hvor mye koster dataene?

Bevis tyder på at tredjeparts HR-plattformen ble hacket via en SQL-injeksjon. SQL-injeksjoner er i den nedre enden av spekteret når det gjelder sofistikering. Det er langt fra det vanskeligste angrepet å trekke av, men faktum gjenstår at den som gjorde det vil ha en pen krone.

Antall berørte ansatte ligger på rundt 3 tusen, og nettkriminelle som ønsker en liste over navnene deres, kan ha den for 1 tusen dollar. De som ønsker å ha den komplette databasen sammen med alle detaljer, må imidlertid betale 10 000 dollar.

Krypteringsalgoritmen som brukes til å kryptere de berørte arbeidernes passord er ukjent, noe som betyr at det er vanskelig å si hvor mye av risikoen dataene utgjør. Med mindre det er trivielt å hente klartekstinformasjon, kan summen som er lagt ut i annonsen imidlertid koste c0c0linoz ut av markedet. Forhåpentligvis er det akkurat dette som kommer til å skje, men UniCredit bør være forberedt på å dempe risikoen i tilfelle den ikke gjør det.