Rozsiahly únik dát z Coinbase: Nové detaily odhaľujú rolu zamestnankyne outsourcingovej spoločnosti
V máji spoločnosť Coinbase informovala, že hackeri získali osobné údaje tisícov jej klientov. Tieto údaje zločinci zneužili na oklamanie zákazníkov, aby im odovzdali svoje digitálne meny. Coinbase odhaduje, že ju táto udalosť bude stáť až 400 miliónov dolárov. Spoločnosť uviedla, že útok pochádza od podvodných zamestnancov outsourcingovej firmy v Indii, no nepodrobila sa o konkrétnych zodpovedných osobách. Nový súdny dokument však poskytuje podrobnejší pohľad na jednu z podozrivých a na to, ako sa podieľala na tomto narušení bezpečnosti, ktoré je najhoršie v histórii Coinbase.
Podľa upravenej sťažnosti, ktorú podala právnická firma Greenbaum Olbrantz, je s útokom spojená Ashita Mishra, zamestnankyňa spoločnosti TaskUs, verejne obchodovanej firmy so sídlom v Texase. TaskUs poskytuje služby zákazníckej podpory pre veľké technologické spoločnosti v krajinách s lacnou pracovnou silou. Mishra pracovala v servisnom centre TaskUs v indickom Indore.
V septembri 2024 začala údajne krádež dôverných údajov zákazníkov vrátane čísel sociálneho zabezpečenia a informácií o bankových účtoch. Mishra sa dohodla, že tieto informácie predá hackerom, ktorí ich použili na vydávanie sa za zamestnancov Coinbase a na lákanie obetí, aby im odovzdali svoje kryptomeny.
Od septembra do januára Mishra a ďalší komplic naverbovali ďalších zamestnancov TaskUs, aby kradli informácie o zákazníkoch. Išlo o „sofistikované sprisahanie, ktoré prenášalo údaje o zákazníkoch Coinbase z počítačov TaskUs ku zločincom.“ Podľa sťažnosti sa na ňom podieľali dokonca aj vedúci tímov a prevádzkoví manažéri.
Keď TaskUs zistil narušenie bezpečnosti, Mishra mala vo svojom telefóne údaje o viac ako 10 000 zákazníkoch Coinbase. Ona a ďalší účastníci sprisahania dostávali za obrázok 200 dolárov. Niekedy Mishra urobila až 200 fotografií účtov zákazníkov Coinbase denne. Celkovo bolo ovplyvnených viac ako 69 000 zákazníkov.
Podľa starších reportov Fortune, hlavnými organizátormi úplatkárskej schémy boli tínedžeri a dvadsiatnici, ktorí sú súčasťou voľného združenia kriminálnych hackerov nazývaného „the Comm“.
Obvinenie, že krádeže údajov sa začali v septembri 2024, je významné, pretože Coinbase predtým uviedla, že k narušeniu bezpečnosti došlo koncom decembra.
TaskUs uviedla, že do útoku boli zapojení nielen externí dodávatelia, ale aj zamestnanci Coinbase, no nepodala žiadne ďalšie podrobnosti.
Hovorca Coinbase uviedol, že spoločnosť okamžite informovala dotknutých používateľov a regulačné orgány, kompenzovala poškodeným zákazníkom, sprísnila kontrolu nad dodávateľmi a internými zamestnancami a ukončila spoluprácu so spoločnosťou TaskUs. Spoločnosť odmietla zaplatiť zločincom a namiesto toho vyhlásila odmenu 20 miliónov dolárov za informácie vedúce k zatknutiu a odsúdeniu.
Hovorca TaskUs uviedol, že spoločnosť prikladá najvyššiu prioritu ochrane údajov svojich klientov a ich zákazníkov a pokračuje v posilňovaní svojich globálnych bezpečnostných protokolov a školiacich programov.
Príbeh načrtnutý v sťažnosti je doteraz najpodrobnejším opisom jedného z najväčších útokov na kryptomeny v danom roku a najväčšieho narušenia bezpečnosti, ktoré Coinbase za viac ako desať rokov svojej existencie odhalila.
Právnici zastupujúci poškodené strany podali žalobu na kryptomenovú burzu. Coinbase sa snažil tieto súdne spory presunúť do arbitráže, čo je proces, ktorý historicky pomáhal spoločnostiam zmierniť finančné škody a nepriaznivú publicitu.
To pravdepodobne čiastočne vysvetľuje, prečo sa firma zaoberajúca sa hromadnými žalobami rozhodla žalovať spoločnosť TaskUs, ktorá poskytuje outsourcing pre Coinbase, namiesto toho, aby sa zamerala priamo na kryptomenovú spoločnosť.
V rámci svojej sťažnosti právnická firma tvrdí, že TaskUs „podnikla kroky na umlčanie tých, ktorí mali vedomosti o narušení bezpečnosti“. V januári spoločnosť prepustila 226 zamestnancov pracujúcich v Indore. Podľa sťažnosti spoločnosť podnikla toto extrémne opatrenie preto, že sprisahanie „tak prenikavo preniklo do systémov TaskUs, že spoločnosť TaskUs nemohla identifikovať všetky zúčastnené osoby“.
A 10. februára sa TaskUs rozhodla prepustiť personálny tím, ktorý zostavila na vyšetrovanie narušenia bezpečnosti, čo bola podľa žaloby „pattern of concealment“.
Nová súdna žaloba od Greenbaum Olbrantz upravuje skoršiu sťažnosť podanú v máji, približne dva týždne po tom, čo Coinbase potvrdila narušenie bezpečnosti.
Ben Weiss
