4 Minuty
Google potvrdil to, čeho se odborníci na kybernetickou bezpečnost obávali: řetězcový útok, který začal přes aplikace Gainsight, vedl k rozsáhlé krádeži dat ze Salesforce a potenciálně zasáhl více než 200 globálních firem. Postupně přicházejí nové detaily o tom, jak útočníci postoupili z aplikace třetí strany do interních záznamů podniků a jaká technická slabina v dodavatelském řetězci integrací mohla umožnit exfiltraci dat.
Jak útok probíhal
Podle veřejných zpráv a oficiálních prohlášení dotčených poskytovatelů služeb začal průnik přes Gainsight — široce používaný nástroj pro řízení zákaznického úspěchu a integrace — který útočníkům umožnil získat přístup k datům uloženým v instancích Salesforce. Útočníci podle dostupných informací zneužili autentizační tokeny získané při dřívějších průnicích u zákazníků třetích stran. Tyto tokeny fungovaly jako klíče umožňující se vydávat za legitimní integrační body (integrations) a stahovat data z připojených organizací Salesforce bez nutnosti poznat interní přihlašovací údaje uživatelů.
Technické podrobnosti naznačují, že šlo o zneužití token-based authentication (OAuth tokeny, refresh tokeny nebo API klíče v rámci integračních služeb) a o opakované použití ukradených tokenů napříč různými SaaS systémy a konektory. Takový postup je příkladem rizika „supply-chain“ nebo „third-party“ útoku, kdy kompromitace jednoho dodavatele nebo jednoho integračního bodu může mít kaskádový efekt — útočník se přes jeden kompromitovaný token dostane do dalšího systému, najde další tokeny nebo privilegovaná připojení a postupně rozšiřuje dosah exfiltrace dat.
Média jako TechCrunch a další uvádějí, že za útokem stojí skupina, která si říká Scattered Lapsus$ Hunters a která zahrnuje členy z komunit jako ShinyHunters a dalších týmů. V rozhovorech pro média ShinyHunters uvedli, že využili přístupy získané při dřívějším kompromitování zákazníků Salesloft a ukradené tokeny z platformy Drift, aby se dostali přes Gainsight až do instancí Salesforce. Tyto tvrzení odpovídají scénáři nadřazeného řetězce přístupů, kde kompromitace menší služby poslouží jako výchozí bod k napadení většího podnikového systému.
Kdo je jmenován — a kdo to popírá
Skupina Scattered Lapsus$ Hunters jmenovala mezi oběťmi několik významných společností, včetně Atlassian, CrowdStrike, DocuSign a LinkedIn. Některé firmy okamžitě odmítly, že by z jejich systémů došlo k exfiltraci citlivých dat: CrowdStrike a DocuSign prohlásily, že nenašly důkazy o vytažení dat z jejich prostředí. CrowdStrike navíc uvedl, že propustil zaměstnance, o kterém se domnívá, že mohl spolupracovat s útočníky nebo jinak pomáhat při kompromitaci interních přístupů.
Další organizace, jako Verizon, Malwarebytes nebo Thomson Reuters, oznámily, že zjišťují nároky útočníků, avšak zatím neposkytly definitivní závěry. Tyto rozdílné reakce podtrhují nejistotu, která často následuje po rozsáhlých incidentů zasahujících dodavatelský řetězec, kdy veřejné obvinění může předběhnout důkladnou forenzní analýzu. Forenzní týmy typicky provádějí analýzu logů, kontrolu integrity tokenů, vyhodnocení IAM (identity and access management) a sledování provozu API, než mohou potvrdit, které datové toky byly skutečně zasaženy.
Gainsight nyní spolupracuje s incident response týmem Mandiant, aby dohledal kořenový příčina kompromitace a mapoval následnou exfiltraci dat. Salesforce jako preventivní opatření dočasně deaktivoval integrační tokeny spojené s Gainsight, zatímco probíhá šetření. Tato akce snižuje okamžité riziko dalších výtažků dat, avšak zároveň zdůrazňuje důležitost procesů pro rychlé odvolání přístupových práv a rotaci tokenů v případě incidentu.
Pro podniky tato událost představuje jasné varování: pravidelně auditovat připojení aplikací třetích stran, rotovat a rušit neaktivní či kompromitované tokeny, a monitorovat přístupy a chování API pro neobvyklé aktivity, jako jsou náhlé velké exporty nebo přístup mimo běžné časové a geografické vzory. Dále je doporučeno uplatnit zásady nejmenších privilegií (least privilege), segmentovat přístup k datům podle role a minimalizovat počet integračních služeb s širokými oprávněními. V případě kompromitace integrace může mít „blast radius“ (rozsah dopadu) daleko širší dosah než u samostatného vendoru — proto je často nutné, aby výsledky potvrdily nezávislé forenzní týmy na více frontách, než bude možné plně určit dopad.
Zdroj: smarti
Zanechte komentář