Пробив на податоци кај Marquis влијае на повеќе од 74 банки и кредитни унии во САД

Добавувачот на финансиски софтвер Marquis Software Solutions предупредува дека претрпел пробив на податоци кој влијаел врз десетици банки и кредитни унии низ САД.

Marquis Software Solutions обезбедува аналитика на податоци, CRM алатки, извештаи за усогласеност и дигитални маркетинг услуги за повеќе од 700 банки, кредитни унии и кредитори за хипотеки.

Во известувањата за пробив на податоци поднесени до канцелариите на американските државни обвинителства, Marquis наведува дека претрпел рансомвер напад на 14 август 2025 година, откако нивната мрежа била компромитирана преку SonicWall заштитниот ѕид.

Ова им овозможило на хакерите да украдат „одредени датотеки од нивните системи“ за време на нападот.

„Прегледот утврди дека датотеките содржеле лични информации примени од одредени деловни клиенти,“ стои во известувањето поднесено до Канцеларијата на државниот обвинител на Мејн.

„Личните информации кои потенцијално се засегнати за жителите на Мејн вклучуваат имиња, адреси, телефонски броеви, броеви на социјално осигурување, даночни идентификациски броеви, информации за финансиски сметки без безбедносни или пристапни кодови и датуми на раѓање.“

Marquis сега поднесува известувања во име на своите клиенти, во некои случаи наведувајќи го точниот број засегнати лица по банка во секоја држава. Овие известувања укажуваат дека слични податоци биле изложени и за клиенти во други американски држави.

Според известувањата поднесени во Мејн, Ајова и Тексас, повеќе од 400.000 клиенти се погодени од следните 74 банки и кредитни унии.

1st Northern California Credit Union	Abbott Laboratories Employees Credit Union	Advantage Federal Credit Union
Agriculture Federal Credit Union	Alltrust Credit Union	BayFirst National Bank
Bellwether Community Credit Union	C&N Bank	Cape Cod Five
Capital City Bank Group	Central Virginia Federal Credit Union	Clark County Credit Union
Community 1st Credit Union	Community Bancshares of Mississippi, Inc.	Cornerstone Community Financial Credit Union
CPM Federal Credit Union	CSE Federal Credit Union	CU Hawaii Federal Credit Union
d/b/a Community Bank	Discovery Federal Credit Union	Earthmover Credit Union
Educators Credit Union	Energy Capital Credit Union	Fidelity Cooperative Bank
First Community Credit Union	First Northern Bank of Dixon	Florida Credit Union
Fort Community Credit Union	Founders Federal Credit Union	Freedom of Maryland Federal Credit Union
Gateway First Bank	Generations Federal Credit Union	Gesa Credit Union
Glendale Federal Credit Union	Hope Federal Credit Union	IBERIABANK n/k/a First Horizon Bank
Industrial Federal Credit Union	Interior Federal	Interior Federal Credit Union
Interra Credit Union	Jonestown Bank & Trust Co.	Kemba Financial Credit Union
Liberty First Credit Union	Maine State Credit Union	Market USA FCU
MemberSource Credit Union	Michigan First Credit Union	MIT Federal Credit Union
New Orleans Firemen’s Federal Credit Union	New Peoples Bank	Newburyport Five Cents Savings Bank
NIH Federal Credit Union	Pasadena Federal Credit Union	Pathways Financial Credit Union
Peake Federal Credit Union	Pelican Credit Union	Pentucket Bank
PFCU Credit Union	QNB Bank	Security Credit Union
Seneca Savings	ServU Credit Union	StonehamBank Cooperative
Suncoast Credit Union	Texoma Community Credit Union	Thomaston Savings Bank
Time Bank	TowneBank	Ulster Savings Bank
University Credit Union	Valley Strong Credit Union	Westerra Credit Union
Whitefish Credit Union	Zing Credit Union

Во овој момент, Marquis изјавува дека нема докази дека податоците биле злоупотребени или објавени било каде.

Сепак, како што претходно објави Comparitech, сега избришано известување од кредитната унија Community 1st тврдело дека Marquis платил откуп, што се прави за да се спречи протекување и злоупотреба на украдените податоци.

„Marquis плати рансомвер кратко по 14.08.2025. На 27.10.2025 C1st беше известен дека нејавни лични податоци поврзани со членовите на C1st биле вклучени во пробивот кај Marquis,“ стои во избришаното известување што го видел Comparitech.

Додека во официјалните известувања за пробив на податоци компанијата наведува само дека „презела чекори за намалување на ризикот од ваков тип инциденти“, едно известување поднесено од CoVantage Credit Union до државниот обвинител на Њу Хемпшир открива дополнителни детали за тоа како компанијата ја засилува безбедноста.

Во ова известување се наведува дека Marquis ги подобрил своите безбедносни контроли преку следните мерки:

• Осигурување дека сите firewall уреди се целосно закрпени и ажурирани,
• Ротирање на лозинки за локални кориснички сметки,
• Бришење на стари или неупотребувани сметки,
• Осигурување дека мулти-факторска автентикација е овозможена за сите firewall и VPN сметки,
• Зголемување на времето за задржување на логови за firewall уреди,
• Применување политика за заклучување на сметките на VPN при премногу неуспешни најави,
• Применување geo-IP филтрирање за дозволување врски само од конкретни земји потребни за деловно работење, и
• Применување политики за автоматско блокирање на врски до/од познати Botnet Command and Control сервери на firewall-от.

Овие чекори укажуваат дека заканувачите најверојатно добиле пристап до мрежата на компанијата преку SonicWall VPN сметка, позната тактика што ја користат некои рансомвер групи, особено Akira ransomware.

Насочување кон SonicWall firewall-ови

Иако Marquis не сподели дополнителни детали за рансомвер-нападот, групата Akira ransomware ги таргетира SonicWall firewall-уредите за да добие почетен пристап до корпоративни мрежи уште од почетокот на септември 2024 година.

Akira започна да пробива SonicWall SSL VPN уреди во 2024 година искористувајќи ја ранливоста CVE-2024-40766, која им овозможуваше на напаѓачите да крадат VPN кориснички имиња, лозинки и OTP „seed“-ови за генерирање еднократни кодови.

Дури и откако SonicWall ја закрпи ранливоста, многу организации не ги ресетираа правилно своите VPN акредитиви, што му овозможи на Akira да продолжи да пробива закрпени уреди користејќи претходно украдени акредитиви.

Еден понов извештај покажува дека групата сè уште се најавува на SonicWall VPN сметки и кога MFA е овозможено, што сугерира дека напаѓачите ги украле OTP „seed“-овите за време на претходната експлоатација.

Откако Akira ќе влезе преку VPN, тие брзо ја скенираат мрежата, спроведуваат извидување, добиваат повисоки привилегии во Windows Active Directory, крадат податоци и потоа го активираат рансомверот.

Извори:

• Bleeping Computer– Marquis data breach impacts over 74 US banks, credit unions Bleeping Computer