Gamdom otrzymał żądanie 15 mln dolarów okupu za rzekomo skradzione dane graczy

Grupa przestępcza nazywająca się WhiteArmor żąda od kryptokasyna Gamdom 15 mln dolarów okupu w związku z rzekomo skradzioną bazą danych zawierającą 15,4 mln kont graczy.

Według doniesień grupa opublikowała dane dotyczące 100 kont jako rzekomy dowód. Ich autentyczność pozostaje niepotwierdzona, a Gamdom nie potwierdził ani nie zdementował publicznie domniemanej kradzieży bazy danych.

Serwisy monitorujące cyberzagrożenia odnotowały pojawienie się Gamdom na stronie wycieków WhiteArmor 26 października. Takie wpisy dokumentują twierdzenia grupy przestępczej, ale nie stanowią niezależnego potwierdzenia, że doszło do włamania ani że oferowane dane są autentyczne. 

Napastnicy twierdzą, że uzyskali dostęp przez konto administracyjne

Według relacji Dark Web Informer WhiteArmor twierdzi, że uzyskała dostęp do paneli zarządzania Gamdom i repozytoriów zawierających hasła oraz klucze za pośrednictwem wewnętrznego konta usługowego z uprawnieniami administratora.

Napastnicy utrzymują, że konto istniało od kilku lat, a jego dane logowania nie były zmieniane. Żadne niezależne dochodzenie techniczne nie potwierdziło tego wyjaśnienia.

WhiteArmor wysunęła również zarzuty dotyczące gier Gamdom o weryfikowalnej uczciwości, twierdząc, że nie działały zgodnie z zapowiedziami. Grupa nie przedstawiła dowodów na poparcie tego twierdzenia.

Odrębne włamanie do portfeli wcześniej w październiku

Żądanie okupu pojawiło się 13 dni po potwierdzonym ataku na infrastrukturę gorących portfeli Gamdom.

Gamdom zawiesił działalność 13 października po wykryciu nieautoryzowanego połączenia z serwerem automatyzacji. Założyciel Felix Römer oszacował później straty na nieco ponad 3 mln dolarów, natomiast badacz blockchain vxdb wskazał kwotę około 4,2 mln dolarów. Operator poinformował, że pozostałe aktywa z gorących portfeli przeniesiono do przechowywania offline, a środki klientów są bezpieczne. 

Serwis wznowił działalność 16 października. WhiteArmor nie powiązała wprost rzekomej kradzieży bazy danych z incydentem dotyczącym portfeli, dlatego sama zbieżność czasowa nie dowodzi udziału tego samego napastnika ani wykorzystania wspólnej drogi dostępu.

Grupa zaobserwowana niedawno

WhiteArmor zaczęła pojawiać się w publicznych rejestrach monitorowania cyberzagrożeń w październiku. WatchGuard klasyfikuje ją jako pośrednika w handlu danymi, natomiast inne serwisy monitorujące opisują jej działalność jako wymuszanie okupu poprzez kradzież danych. 

Podawana kwota żądania, deklarowana liczba kont i domniemana metoda dostępu pozostają niezweryfikowane. Potwierdzenie wcześniejszej kradzieży z portfeli nie uwiarygodnia nowych twierdzeń dotyczących bazy danych.