Vernichtung und Betrug mit SSO entlarven fast eine Million Nutzer von Figure Technology Solutions

Ein massives Leck hat die persönlichen Daten von fast einer Million Benutzern nach einem Angriff auf die Systeme von Figur Technology Solutions, einem Fintech-Unternehmen, das auf Lockchain arbeitet und wird als natives zu dieser Technologie beschrieben. Obwohl das Unternehmen nicht zunächst eine umfangreiche Kommuniqué veröffentlichte, wurden Nachrichtenquellen und Datenleckmeldungsdienste den Umfang des Vorfalls rekonstruiert.

Abbildung, gegründet im Jahr 2018 und bekannt für die Verwendung der Blockchain Provenance in Darlehensprodukten, Investitionen und Verbriefung, hat mit mehr als 250 Partnern - zwischen Banken, Kreditgenossenschaften und anderen Finanzen - gearbeitet und behauptet, mehr als 22 Milliarden US-Dollar in Liquidität auf Wohnwert bereitgestellt haben. Sie können mehr über das Unternehmen auf seiner offiziellen Website konsultieren Abbildung.com und der großen Buchtechnologie, die sie in Herkunft..

Laut Medien, die das Unternehmen kontaktierten, gab Abbildung zu, was mit einem Social Engineering-Angriff geschah, in dem ein Mitarbeiter getäuscht wurde, um Zugang zu bieten. Das Portal Technik berichtete über die erste Bestätigung des Unternehmens, und der Have I Been Pwned Filter Notification Service veröffentlichte spezifische Daten, die helfen, den Vorfall zu vergrößern: 967.200 betroffenen Konten, mit Einzel-Mail-Adressen, Namen, Telefonnummern, physischen Adressen und Geburtsdatumn, entsprechend den Informationen aus dem Januar 2026. Sie können das Lückenprotokoll überprüfen Have I Been Pwned in Habebeenpwned.com / Breach / Abbildung.

Die Gruppe, die als ShinyHunters bekannt ist, hat die Aktion vergeben und auf ihrer Website auf dem dunklen Netzwerk veröffentlicht, was sie sagt, ist ein 2,5 GB Umschlag von Tausenden von Darlehen Bewerbern. Gruppen wie diese nutzen oft gestohlene Informationen für Erpressung, Dateiverkauf oder gezieltere Suplantationskampagnen. Mehrere Medien haben ihre Tätigkeit in den letzten Monaten berichtet und verfolgt; unter den Unternehmen, die betroffen sind, nach den Behauptungen der Gruppe, sind hohe Profilmarken in verschiedenen Sektoren.

Dieser Fall passt in einen besorgniserregenden Trend, der Angreifer Social Engineering-Telefonanrufe - die sogenannte "vishing"-Modalität - mit Suplanting-Seiten kombiniert, die Firmenzugangsportale mimieren, um Anmeldeinformationen und Multifaktor-Authentifizierungscodes zu erfassen. Eine jüngste Analyse dieser Technik zeigt Angriffe auf Single-Login-Konten (SSO) in Lieferanten wie Okta, Microsoft und Google, die als Hebel verwendet werden, um dann andere vernetzte Geschäftsanwendungen eingeben. Eine gute Überprüfung dieser Kampagne und ihrer technischen Merkmale findet sich im Bericht SilentPush die dokumentiert, wie es auf technische Unterstützung gesupplant wurde, um Mitarbeiter zu überzeugen, Anmeldeinformationen und MFA-Codes zu liefern.

Sobald Angreifer die Kontrolle über einen SSO übernehmen, können sie sich seitlich auf kritische Dienstleistungen eines Unternehmens bewegen: Corporate Mail, Verkaufssysteme, Dokument-Repositories, Kundendienstplattformen und andere. Dieser Zugang erleichtert Finanzbetrug, geistiges Eigentum Diebstahl und Verdrängungskampagnen, die das Vertrauen zwischen Mitarbeitern und Kunden nutzen.

Was können Menschen und Unternehmen jetzt tun? Erstens, jeder Benutzer, der glaubt, dass es betroffen sein könnte, sollte überprüfen, ob seine oder ihre E-Mail-Adresse im Leck durch Dienste wie Have I Been Pwned und folgen Sie den Empfehlungen dort angegeben. Es wird empfohlen, Passwörter in Diensten zu ändern, in denen derselbe Anmeldetag wiederverwendet wird, lange und einzigartige Passwörter zu privilegieren und Phishing-resistente Authentifizierungsmethoden zu aktivieren: FIDO-basierte Sicherheitsschlüssel (Hardware) sind die robusteste Option im Hinblick auf Social Engineering Code Diebstahl - Sie können auf dieser Technologie auf der Seite der FI. Allianz.

Es ist auch angebracht, ungewöhnliche Bewegungen in Bankkonten und Karten zu überprüfen, Warnungen mit Finanzinstituten vorzubereiten und den Kreditbericht einzufrieren, wenn er in den USA ist. Für die Opfer von Identitätsdiebstahl bietet das offizielle US-Regierungsportal konkrete Schritte in Identitätsdiebstahl.gov. Auf der Ebene der allgemeinen guten Nutzung hält die United States Agency for Cyber Security and Infrastructure (CISA) praktische Empfehlungen zum Schutz vor Phishing- und Social Engineering-Varianten in Ihr Phishing Guide.

Für Organisationen geht die Lektion über den unmittelbaren Patch hinaus: Es ist entscheidend, die Zugangskontrollen zu stärken, adaptive Authentifizierungsrichtlinien umzusetzen und Privilegien mit dem Prinzip der weniger Privilegien zu begrenzen. Überwachung und Reaktion auf anormale SSO-Sitzungen, die Segmentierung des Zugangs zu sensiblen Daten und die Aufrechterhaltung kontinuierlicher Mitarbeiterbewusstseinsprogramme, die realistische Phishing- und Vishing-Simulationen beinhalten, sind Maßnahmen, die die Auswirkungen solcher Angriffe reduzieren. Backup, Notfall-Reaktionspläne und Zugriffsrückverfolgbarkeit sind auch wichtig, um Intrusionen zu enthalten und wiederherzustellen.

Die Figur Episode fügt zu einer Welle von Intrusionen in großen und kleinen Unternehmen, in denen die Kombination von Social Engineering und Zugang zu SSO besonders effektiv für Angreifer. Da die Untersuchungen fortgesetzt werden und die Verantwortlichen die rechtlichen und regulatorischen Meldeanforderungen erfüllen, müssen sowohl Nutzer als auch Unternehmen schnell handeln, um Schäden zu begrenzen und vor allem die Verteidigungsstrategie auf Mechanismen zu ändern, die weniger anfällig für die Identitätsunterdrückung sind.

Wenn Sie auf diesen Fall folgen möchten, sind der erste Bericht und die Unternehmensaussagen bei Technik die technische Aufschlüsselung und Verfolgung der erpressenden Gruppe erscheint in öffentlichen Aufzeichnungen und Sicherheitsforen, und die Zusammenfassung der betreffenden Konten gibt ihr Habe ich gesungen?. Die Aktualität und die Vorbeugung bleibt heute die beste Verteidigung.