Salesforce, ServiceNow-Portale: Eine 17-monatige Offenlegung von Datenlecks

Was geschah: Die Salesforce- und ServiceNow-Offenlegung

Eine aktuelle wöchentliche Sicherheitsübersicht von Help Net Security hob eine Geschichte hervor, die mehr als nur eine beiläufige Erwähnung verdient: Salesforce- und ServiceNow-Kundenportale waren etwa 17 Monate lang offengelegt, bevor das Problem ans Licht kam. Die Übersicht, die auch eine ausgenutzte Metabase-Zero-Day-Schwachstelle und eine Erweiterung der Dependabot-Malware-Warnungen von GitHub behandelte, bündelte diese Themen aus einem bestimmten Grund. Jedes davon veranschaulicht eine andere Facette desselben zugrunde liegenden Problems: Unternehmenssoftware-Plattformen – ob selbst gehostete Analysetools, Code-Repositories oder Cloud-CRM-Systeme – sind nur so sicher wie die Konfigurationen und Herstellerpraktiken, die dahinterstehen.

Salesforce und ServiceNow sind zwei der am weitesten verbreiteten Plattformen zur Verwaltung von Kundenbeziehungen, Support-Tickets und internen Arbeitsabläufen in großen Organisationen. Wenn auf diesen Plattformen aufgebaute Portale offengelegt werden, beschränken sich die Auswirkungen nicht auf das Unternehmen, das sie betreibt. Je nachdem, wie das Portal konfiguriert war und welche Daten es speicherte, kann die Offenlegung Kundennamen, Kontaktdaten, Supportverläufe und andere Datensätze erreichen, die Einzelpersonen nie direkt an das Unternehmen weitergegeben haben, das sie durchsickern ließ. Das ist die Kernspannung bei Fällen von Datenlecks in Unternehmen: Die Person, deren Daten gefährdet sind, hat oft kein direktes Konto oder keine Anmeldedaten bei der betroffenen Plattform. Sie sind offengelegt, nur weil ein Unternehmen, mit dem sie interagiert haben, diese Plattform zur Speicherung von Informationen gewählt hat.

Warum eine 17-monatige Verzögerung bei der Entdeckung für den Verbraucherdatenschutz wichtig ist

Das auffälligste Detail in dieser Geschichte ist nicht die Offenlegung selbst, sondern die Dauer. Siebzehn Monate sind eine lange Zeit, in der ein falsch konfiguriertes oder verwundbares Portal ohne Erkennung zugänglich bleiben konnte. In diesem Zeitraum hätten alle Daten in dem offengelegten System von jedem, der sie fand, eingesehen, ausgelesen oder kopiert werden können – und die betroffene Organisation hätte kaum eine Möglichkeit gehabt, sicher zu wissen, was tatsächlich abgerufen wurde im Vergleich zu dem, was nur zugänglich war.

Diese Lücke zwischen Offenlegung und Entdeckung ist ein wiederkehrendes Thema bei Sicherheitsfehlern in Unternehmen, und sie ist für den Verbraucherdatenschutz von enormer Bedeutung. Ein innerhalb von Tagen entdeckter Vorfall kann relativ schnell eingedämmt werden: Anmeldedaten zurücksetzen, Zugriff widerrufen, betroffene Parteien benachrichtigen. Ein Vorfall, der über ein Jahr andauert, gibt Angreifern, Scrapern und Gelegenheitsnutzern ein viel längeres Zeitfenster und macht die forensische Rekonstruktion weitaus schwieriger. Sicherheitsteams können oft nicht mit Sicherheit sagen, wie oft die Daten abgerufen wurden oder von wem – nur dass die Tür lange Zeit offen gelassen wurde. Für jeden, dessen Informationen durch eines dieser Portale gegangen sind, ist diese Unsicherheit der eigentliche Preis.

Drittanbieter- und Lieferkettenrisiko taucht weiterhin in CRM-Plattformen auf

Dies ist kein isoliertes Muster. Offenlegungen von CRM- und Support-Plattformen tauchen immer wieder auf, gerade weil so viele Organisationen sensible Kundendaten durch dieselbe Handvoll Drittanbietersysteme leiten. Wenn auf dieser Ebene etwas schiefgeht, betrifft es selten nur ein Unternehmen; es wirkt sich nach außen auf jedes Unternehmen aus, das sich auf dieselbe Plattform, Integration oder Anbieterbeziehung verlassen hat.

Ein klares aktuelles Beispiel für diese Dynamik ist der LastPass-Supply-Chain-Vorfall über Klue, bei dem Angreifer einen Drittanbieter kompromittierten und gestohlene OAuth-Tokens nutzten, um in LastPass' eigene Salesforce-Umgebung einzudringen. Dieser Vorfall und die 17-monatige Salesforce/ServiceNow-Offenlegung weisen beide auf dasselbe strukturelle Problem hin: Unternehmens-CRM-Plattformen stehen an der Schnittstelle der Datenflüsse vieler Unternehmen, und ein einziges schwaches Glied – sei es eine Fehlkonfiguration, eine ungepatchte Schwachstelle oder eine kompromittierte Anbieterintegration – kann Informationen weit über die Organisation hinaus offenlegen, die das Portal besitzt.

Was das für Sie bedeutet

Wenn Sie jemals ein Support-Ticket eingereicht, ein Kontaktformular ausgefüllt oder mit dem Kundenservice eines Unternehmens interagiert haben, das Salesforce, ServiceNow oder ähnliche Plattformen nutzt, leben einige Ihrer Informationen wahrscheinlich in einem System, bei dem Sie sich nie direkt angemeldet haben. Das bedeutet, dass Sie von den Anbieterentscheidungen und Sicherheitspraktiken dieses Unternehmens abhängig sind – nicht nur von Ihren eigenen Gewohnheiten –, um Ihre Daten zu schützen.

Ein VPN wird Sie nicht vor dieser Art von Offenlegung schützen. VPNs sichern Ihre eigene Verbindung und Ihr Surfverhalten; sie tun nichts, um Daten zu schützen, die im Backend-CRM-System eines Unternehmens liegen. Die realistischen Abwehrmaßnahmen sind hier andere: Achten Sie auf Benachrichtigungen über Datenlecks von Unternehmen, mit denen Sie Geschäfte machen, verwenden Sie für jedes Konto eindeutige Passwörter, damit ein Leck an einer Stelle nicht anderswo ausgenutzt werden kann, und aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird. Diese Gewohnheiten verhindern kein Leck auf Unternehmensseite, aber sie begrenzen stark, was ein Angreifer mit Daten tun kann, die tatsächlich offengelegt werden.

Umsetzbare Erkenntnisse

• Behandeln Sie Benachrichtigungen über Datenlecks von Dienstanbietern ernst, auch wenn Sie sich nicht erinnern, direkt ein Konto bei der betroffenen Plattform erstellt zu haben.
• Verwenden Sie einen Passwortmanager, um Anmeldedaten über Dienste hinweg eindeutig zu halten, und reduzieren Sie so den Schadensradius eines einzelnen Datenlecks in einem Unternehmen.
• Aktivieren Sie die Multi-Faktor-Authentifizierung für Konten, die mit Unternehmen verbunden sind, die Ihre persönlichen oder finanziellen Daten speichern.
• Überprüfen Sie regelmäßig, mit welchen Unternehmen und Portalen Sie Informationen geteilt haben, und erwägen Sie, die Löschung von Daten anzufordern, wo sie nicht mehr benötigt werden.

Geschichten wie diese 17-monatige Salesforce- und ServiceNow-Offenlegung sind eine Erinnerung daran, dass Datenlecks in Unternehmen für die Betroffenen oft lange Zeit unsichtbar bleiben, bis es zu spät ist. Informiert zu bleiben, wie sich solche Vorfälle entwickeln, und als Reaktion darauf die eigene Kontohygiene zu verschärfen, bleibt der praktischste Weg, den Schaden zu begrenzen, wenn der nächste Vorfall auftaucht.