BridgePay支付网关遭勒索软件攻击，导致全国范围服务中断
美国主要支付网关提供商 BridgePay Network Solutions 证实，勒索软件攻击导致大范围服务中断，扰乱了全国商家的银行卡处理业务。 此次故障始于2026年2月6日凌晨3点29分左右（美国东部时间），Gateway.Itstgate.com虚拟终端、报表和API等系统的性能均出现下降。到早上5点48分（美国东部时间），BridgePay发布了第一份状态更新，指出系统已宕机，恢复时间未知。
美国主要支付网关提供商 BridgePay Network Solutions 证实，勒索软件攻击导致大范围服务中断，扰乱了全国商家的银行卡处理业务。
此次故障始于2026年2月6日凌晨3点29分左右（美国东部时间），Gateway.Itstgate.com虚拟终端、报表和API等系统的性能均出现下降。到早上5点48分（美国东部时间），BridgePay发布了第一份状态更新，指出系统已宕机，恢复时间未知。
一小时后，早上 6 点 34 分，该公司发现了一起网络安全事件，并开始与内部团队、外部专家和 FBI 一起进行调查，但没有给出预计的恢复时间。
美国东部时间中午，BridgePay报告称系统仍然无法使用，并强调将与美国特勤局取证团队和网络安全专家合作 进行评估和审查。
截至美国东部时间2月7日晚上7点08分（约12小时前），该公司确认此次事件是由勒索软件造成的。初步取证结果显示，没有支付卡数据泄露，被访问的文件已被加密，没有证据表明存在任何可用数据泄露。
此次攻击瘫痪了核心服务，包括 BridgePay 网关 API (BridgeComm)、PayGuardian 云 API、MyBridgePay 虚拟终端和报告、托管支付页面以及 PathwayLink 网关和登机门户。
商家迅速转向只接受现金支付；一家餐厅称其银行卡支付系统遭遇了全国范围的网络安全漏洞。佛罗里达州棕榈湾市宣布，由于BridgePay系统故障，其在线支付门户网站瘫痪，并敦促市民到店使用现金、银行卡或支票支付。
其他受影响的公司包括 Lightspeed Commerce、ThriftTrac 和德克萨斯州弗里斯科市。BridgePay 表示，系统集成商目前没有受到直接威胁，但优先考虑安全恢复。
BridgePay公司与联邦调查局（FBI）和特勤局等联邦机构，以及取证、恢复和网络安全领域的顶尖团队展开了合作。该公司承认恢复过程可能耗时较长，并将重点放在保护客户安全上，但并未透露勒索软件团伙的名称。
根据最新消息，运营恢复工作正在紧急但负责任地进行，更多细节将随后公布。
此次事件凸显了勒索软件对支付基础设施日益增长的威胁，其破坏可能导致现实世界的商业活动停滞。与一些数据泄露的攻击不同，BridgePay 目前报告称仅遭受了加密访问。目前尚无全面恢复的预计时间，这加剧了依赖该服务的企业的不确定性。
关于作者
评论1次
### 结论 攻击者可能通过第三方供应商或弱口令入口突破 BridgePay 网络边界，利用供应链信任关xi横向移动，最终加密核心支付 API 服务。防御薄弱点集中于身份验证机制、日志监控盲区及备份隔离不足。 --- ### 分析路径 **L1 攻击面识别** 1. **入口点分析** - **API 网关（BridgeComm/PayGuardian）**：检查身份验证机制是否支持重放攻击或凭据泄露（如未强制 MFA）。 - **第三方集成**：xi统集成商未受直接威胁，但需验证其 API 调用权限是否过度开放（如 Lightspeed/ThriftTrac 接口）。 - **员工xi统**：攻击可能始于钓鱼或弱口令（如 MyBridgePay 虚拟终端管理界面）。 2. **Sink 分析** - **文件加密目标**：核心服务（如 `Gateway.Itstgate.com` 的虚拟终端、API 数据库）的文件xi统权限配置是否允许非特权账户写入。 **L2 假设与验证** - **假设 1**：攻击者通过供应链漏洞横向移动。 - 验证：检查第三方访问日志时间戳是否与攻击时间（2月6日 3:29）吻合。 - **假设 2**：内部xi统存在未修补的漏洞（如 Apache Struts）。 - 验证：提取服务器版本信息，对比 CVE 列表。 **L3 边界/异常场景** - **防御失效点**： - **网络隔离**：未将核心 API 服务与管理终端（如 MyBridgePay）隔离，导致横向移动。 - **加密流量检测**：未监控 TLS 通道中的异常密钥交换行为。 - **异常验证**： - 分析xi统时间戳异常（如凌晨 3 点的非业务时段登录）。 - 检查加密文件特征（如勒索软件扩展名、文件头模式）。 **L4 防御反推与修复** - **攻击者视角**： - 利用特权账户横向移动后，通过 `net share` 或 PowerShell 脚本扫描可写目录。 - 通过禁用 VSS 和事件日志清除痕迹，规避取证。 - **防御反推**： - 未部署行为分析（如异常的 ENCRYPT 动作触发告警）。 - 备份未完全离线，导致勒索软件能加密备份副本。 --- ### 验证步骤 1. **日志溯源** - 提取 `Gateway.Itstgate.com` 的登录日志，过滤 2026-02-06 03:00-06:00 的非授权 IP 登录记录。 - 检查 Windows 事件日志中的 4624（登录成功）和 4688（进程创建）事件，关联异常进程链（如 `msiexec.exe` 启动 `cmd.exe`）。 2. **文件xi统分析** - 提取加密文件的哈xi值，与 VirusTotal 勒索软件家族签名对比（如 Conti、Lockbit 等）。 - 验证备份目录是否被加密（若备份受损，可推断攻击者访问权限过高）。 3. **第三方接口审计** - 调取 Lightspeed/ThriftTrac 的 API 调用日志，确认是否在攻击时段存在异常高频请求或越权调用。 --- ### 修复建议 1. **Source-Sink 强化** - **API 入口（Source）**：强制 MFA，限制 API 调用速率，并部署速率限制（如 AWS WAF）。 - **文件xi统（Sink）**：最小化核心服务目录的写入权限，启用只读挂载（如只读文件xi统）。 2. **横向移动阻断** - 实施零信任架构，要求特权操作需双向身份验证（如 Kerberos 票据验证）。 - 部署 EDR 工具监控异常进程行为（如 PowerShell 执行 `Add-Type` 代码注入）。 3. **防御加固** - **日志监控**：配置 SIEM 规则检测加密扩展名生成、VSS 删除操作或非授权 SMB 连接。 - **备份隔离**：将离线备份存储于物理隔离的设备（如磁带库），定期验证恢复性。 4. **供应链管控** - 对xi统集成商 API 接口实施双向 TLS 证书验证，并限制最小必要权限（如只读访问报表接口）。 --- ### 信息缺失与补充建议 - 原帖未提及 **攻击初始载荷**（如钓鱼邮件 URL 或漏洞利用链），需进一步分析邮件网关日志或内存取证。 - 未说明 **网络分段策略**，建议补充检查核心网关与管理平面是否处于独立 VLAN。