Filtración de Coinone: contraseñas expuestas de clientes

La filtración de Coinone dejó contraseñas expuestas junto a cuentas bancarias, números de identidad nacional y direcciones de billeteras. El dato salió de las conversaciones de soporte, no de la plataforma de compraventa.

Coinone, una de las casas de cambio de criptomonedas de Corea del Sur, publicó el aviso este domingo 15 de noviembre a las 08:00, hora de Seúl. La intrusión ocurrió tres días antes y la empresa la conoció la misma mañana del ataque.

El atacante entró en la madrugada del 12 de noviembre, cerca de las 04:00, en un servidor de MetaM, la compañía externa que atiende el centro de ayuda de Coinone. A las 09:20, MetaM avisó a la casa de cambio de que alguien sin autorización había consultado o copiado registros de consultas de clientes.

Lo expuesto depende de lo que cada cliente escribió o dictó en su consulta. La lista del aviso incluye el teléfono usado en la atención, nombre, correo electrónico, fecha de nacimiento, número de cuenta bancaria, contraseña, número de registro de residente, fecha de emisión del documento de identidad, dirección de la casa, dirección de billetera e identificadores de transacción, conocidos como TXID.

Quien nunca escribió ni llamó al centro de ayuda quedó fuera del incidente. Coinone lo dice sin vueltas en el primer párrafo de su aviso, y también admite el límite del dato: no ha publicado cuántas personas sí pasaron por ese centro.

El contexto regulatorio aprieta. Cointelegraph recordó al publicar la noticia que la Comisión de Servicios Financieros de Corea del Sur encontró deficiencias de seguridad en 130 de 555 empresas financieras revisadas en octubre, y que el jueves el regulador abrió la puerta a que las casas de cambio suspendan retiros cuando sospechen un ataque, con vigilancia las 24 horas.

La entrada fue el servidor de MetaM

Los sistemas de cuentas, de operaciones y de billeteras de Coinone corren separados de los servidores de MetaM. La empresa afirma que, hasta el momento del aviso, no apareció evidencia de una intrusión directa en esa infraestructura, y que no se ha reportado pérdida de fondos de clientes.

Ese patrón, el del proveedor que guarda datos sensibles de otro, ya dejó una cadena larga de afectados en otro caso reciente: las licencias de Uber robadas tras la brecha de su proveedor Fireworks AI salieron de la cuenta que la empresa de transporte mantenía con un tercero, no de sus propios servidores centrales.

La respuesta de Coinone, contada en su propio aviso, fue cortar las direcciones IP y las rutas de acceso usadas en el ataque, reforzar la vigilancia en tiempo real sobre accesos y operaciones anómalas, y pasar el centro de ayuda a atención solo por correo electrónico. El caso quedó reportado ante la Agencia de Internet y Seguridad de Corea, la Comisión de Protección de Información Personal y el Servicio de Supervisión Financiera.

Un punto baja el riesgo inmediato, y la empresa lo explica en el aviso: todas sus cuentas exigen un segundo factor para entrar. La contraseña sola no abre la sesión; hace falta superar una contraseña de un solo uso (OTP) o la autenticación de KakaoTalk en el teléfono del titular, y los intentos de entrada desde aplicaciones no oficiales se bloquean de forma automática.

Con solo parte de los datos filtrados, un tercero no puede entrar en una cuenta ni retirar activos. Esa es la afirmación textual de la empresa, y encaja con el diseño de doble factor descrito en el aviso.

El peligro llega disfrazado de ayuda

El material robado tiene otro uso, más lento y más rentable. Un estafador que conoce tu nombre, tu teléfono, tu dirección de billetera y el motivo exacto de tu última consulta puede llamarte citando esa conversación real, y la llamada suena legítima porque lo es en los datos, aunque no en la voz.

En la filtración de Coinone, las contraseñas expuestas piden dos movimientos concretos a quien las compartió durante una consulta: cambiarla en la casa de cambio y cambiarla también en cualquier otro sitio donde la misma clave se repita.

La empresa recuerda además su regla de oro, válida para cualquier plataforma financiera: jamás pide contraseñas, números OTP ni códigos de autenticación por teléfono, mensaje de texto o correo, y jamás solicita retiros ni cambios de dirección de billetera por esos canales. Toda petición de ese tipo es fraude, venga con el logo que venga.

Los enlaces y archivos adjuntos de remitentes dudosos quedan en la misma lista de cuidados, junto a la orden de reportar al momento cualquier intento de entrada, orden o retiro que el titular no reconozca. El aviso abre una vía de contacto con su equipo de operaciones de servicio para casos de suplantación y para consultas sobre compensación.

El marco legal coreano añade presión sobre la empresa: si la filtración termina en daño y hubo intención o negligencia grave de la compañía, un tribunal puede fijar una indemnización de hasta cinco veces el daño probado, y existe una vía de compensación fija de hasta 3 millones de wones cuando el monto del daño resulta difícil de demostrar.

Coinone prepara un servicio de consulta individual para que cada cliente pueda revisar qué datos suyos, de la lista completa, quedaron expuestos en su caso concreto. Esa verificación personal, y la cifra total de afectados, son los dos datos que el aviso de este domingo todavía no trae.

Fuente: Coinone