Hvad skete der: Salesforce- og ServiceNow-eksponeringen

En nylig ugentlig sikkerhedsopsamling fra Help Net Security fremhævede en historie, der fortjener mere end en flygtig omtale: Salesforce- og ServiceNow-kundeportaler blev efterladt eksponeret i cirka 17 måneder, før problemet kom frem i lyset. Opsamlingen, som også dækkede en udnyttet Metabase zero-day-sårbarhed og en udvidelse af GitHub's Dependabot-malwareadvarsler, grupperede disse emner sammen af en grund. Hver enkelt illustrerer en anden variant af det samme underliggende problem: virksomhedssoftwareplatforme, uanset om det er selvhostede analyseværktøjer, koderepositorier eller cloud-CRM-systemer, er kun så sikre som de konfigurationer og leverandørpraksisser, der ligger bag dem.

Salesforce og ServiceNow er to af de mest udbredte platforme til at håndtere kunderelationer, supportbilletter og interne arbejdsgange på tværs af store organisationer. Når portaler bygget på disse platforme bliver eksponeret, er følgerne ikke begrænset til den virksomhed, der driver dem. Afhængigt af hvordan portalen var konfigureret, og hvilke data den gemte, kan eksponeringen nå kundenavne, kontaktoplysninger, supporthistorikker og andre registreringer, som enkeltpersoner aldrig direkte har overdraget til den virksomhed, der lækkede dem. Det er den centrale spænding i sager om virksomheders databrudseksponering: den person, hvis data er i fare, har ofte ingen direkte konto eller legitimationsoplysninger hos den involverede platform. De er eksponeret, blot fordi en virksomhed, de interagerede med, valgte den platform til at gemme oplysninger.

Hvorfor en 17-måneders opdagelsesforsinkelse betyder noget for forbrugernes privatliv

Det mest slående detalje i denne historie er ikke selve eksponeringen, men varigheden. 17 måneder er lang tid for en fejlkonfigureret eller sårbar portal til at være tilgængelig uden at blive opdaget. I løbet af den periode kunne enhver data i det eksponerede system være blevet set, skrabet eller kopieret af enhver, der fandt det, og der ville være ringe mulighed for den berørte organisation til at vide med sikkerhed, hvad der blev tilgået kontra hvad der blot var tilgængeligt.

Denne kløft mellem eksponering og opdagelse er et tilbagevendende tema i virksomheders sikkerhedssvigt, og det betyder utrolig meget for forbrugernes privatliv. Et databrud opdaget inden for dage kan indeholdes relativt hurtigt: legitimationsoplysninger nulstilles, adgang tilbagekaldes, berørte parter underrettes. Et databrud, der trækker ud i over et år, giver angribere, scrapere og opportunister et meget længere vindue, og det gør retsmedicinsk rekonstruktion langt sværere. Sikkerhedsteams kan ofte ikke med sikkerhed sige, hvor mange gange dataene blev tilgået eller af hvem, kun at døren stod åben i lang tid. For enhver, hvis oplysninger passerede gennem en af disse portaler, er den usikkerhed den reelle omkostning.

Tredjeparts- og forsyningskæderisiko dukker fortsat op i CRM-platforme

Dette er ikke et isoleret mønster. CRM- og supportplatformseksponeringer dukker fortsat op, netop fordi så mange organisationer ruter følsomme kundedata gennem den samme håndfuld tredjepartssystemer. Når noget går galt på det lag, rammer det sjældent kun én virksomhed; det breder sig udad til enhver virksomhed, der stolede på den samme platform, integration eller leverandørrelation.

Et tydeligt nyligt eksempel på denne dynamik er LastPass-forsyningskædebruddet via Klue, hvor angribere kompromitterede en tredjepartsleverandør og brugte stjålne OAuth-tokens til at nå ind i LastPass' eget Salesforce-miljø. Den hændelse og 17-måneders Salesforce/ServiceNow-eksponeringen peger begge på det samme strukturelle problem: virksomheds-CRM-platforme sidder i krydsfeltet mellem mange virksomheders dataflow, og et enkelt svagt led, uanset om det er en fejlkonfiguration, en upatch'et sårbarhed eller en kompromitteret leverandørintegration, kan eksponere oplysninger langt ud over den organisation, der ejer portalen.

Hvad dette betyder for dig

Hvis du nogensinde har indsendt en supportbillet, udfyldt en kontaktformular eller interageret med kundeservice hos en virksomhed, der bruger Salesforce, ServiceNow eller lignende platforme, lever nogle af dine oplysninger sandsynligvis i et system, du aldrig direkte har logget ind på. Det betyder, at du er afhængig af den pågældende virksomheds leverandørvalg og sikkerhedspraksisser, ikke kun dine egne vaner, for at holde dine data sikre.

En VPN vil ikke beskytte dig mod denne form for eksponering. VPN'er sikrer din egen forbindelse og browseraktivitet; de gør intet for at beskytte data, der ligger på en virksomheds backend-CRM-system. De realistiske forsvar her er anderledes: hold øje med brudmeddelelser fra virksomheder, du handler med, brug unikke adgangskoder til hver konto, så et læk ét sted ikke kan udnyttes andre steder, og aktiver multi-faktor-godkendelse, hvor det tilbydes. Disse vaner forhindrer ikke et brud på virksomhedssiden, men de begrænser skarpt, hvad en angriber kan gøre med eventuelle data, der bliver eksponeret.

Handlingsorienterede pointer

  • Behandl brudmeddelelser fra tjenesteudbydere alvorligt, selvom du ikke husker at have oprettet en direkte konto hos den berørte platform.
  • Brug en adgangskodeadministrator til at holde legitimationsoplysninger unikke på tværs af tjenester, hvilket reducerer sprængradius for ethvert enkelt virksomhedsdatabrudseksponering.
  • Aktiver multi-faktor-godkendelse på konti knyttet til virksomheder, der gemmer dine personlige eller finansielle data.
  • Gennemgå jævnligt, hvilke virksomheder og portaler du har delt oplysninger med, og overvej at anmode om datasletning, hvor det ikke længere er nødvendigt.

Historier som denne 17-måneders Salesforce- og ServiceNow-eksponering er en påmindelse om, at virksomheders databrudseksponering ofte er usynlig for de mennesker, den påvirker, indtil længe efter kendsgerningen. At holde sig informeret om, hvordan disse hændelser udfolder sig, og stramme din egen kontohygiejne som reaktion, er fortsat den mest praktiske måde at begrænse skaden på, når den næste dukker op.