Beacon CRM, asiakkuudenhallinta-alusta, jota käyttävät yhdistyneen kuningaskunnan hyväntekeväisyysjärjestöt ja voittoa tavoittelemattomat organisaatiot, on vahvistanut tietomurron sen jälkeen, kun uhkaaja sai pääsyn sen Amazon Web Services (AWS) -ympäristöön käyttämällä vaarantunutta käyttöavainta. Elokuun 12. päivänä julkaistussa päivityksessä yritys kertoi, että hyökkääjä todennäköisesti latasi täydellisen kopion sen asiakastietokannasta – tilanne, joka korostaa, miten yksittäinen vuotanut tunniste voi kaskadoida laajaksi tietojen altistumistapahtumaksi.
Vaikka Beacon ei ole julkaissut täydellistä julkista erittelyä kaikista tiedonkentistä, useat tietoturvajulkaisut, jotka ovat käsitelleet tapausta, ovat raportoineet, että vaarantunut tietokanta liittyy suureen määrään yhdistyneen kuningaskunnan hyväntekeväisyysjärjestöjä ja voittoa tavoittelemattomia organisaatioita, jotka luottavat Beaconin alustaan toimintojensa ja tukijasuhteidensa hallinnassa. Useat raportit ovat arvioineet vaarantuneiden organisaatioiden määrän noin 1 000–1 500 välille, vaikka tarkkaa lukua ei ole itsenäisesti vahvistettu Beaconin omissa julkisissa lausunnoissa kirjoitushetkellä. Beaconin asiakaskuntaan liittyvien organisaatioiden ja yksityishenkilöiden tulisi seurata suoraa virallista ilmoitusta yritykseltä sen sijaan, että luottaisivat pelkästään toissijaisiin arvioihin.
Miten Yksi AWS-avain Johti Laajaan Tietojen Altistumiseen
Toistaiseksi tunnistettu perussyy on vaarantunut AWS-käyttöavain. Tapausta koskevien raporttien mukaan avain on saattanut altistua julkisesti saatavilla olevissa JavaScript-rakennusartefakteissa, mikä tarkoittaa, että se oli mahdollisesti upotettu etupään koodiin, joka oli vahingossa julkaistu tai jätetty saatavilla verkkoon. Jos tämä osoittautuu todeksi, se edustaisi melko yleistä mutta estettävissä olevaa virhettä: kehittäjät joskus kovakoodaavat tai paketoivat tunnisteet asiakaspuolen sovelluskoodiin rakennusprosessin aikana, ja jos kyseinen koodi altistuu, myös avain altistuu.
Kun hyökkääjä hallitsee kelvollista AWS-käyttöavainta, jolla on riittävät käyttöoikeudet, hän voi mahdollisesti olla vuorovaikutuksessa laajan valikoiman pilviresursseja kanssa, mukaan lukien tietokannat, tallennussäiliöt ja varmistusjärjestelmät, usein laukaisematta sellaisia hälytyksiä, joita perinteinen verkkotunkeutuminen aiheuttaisi. Tämä on osa syytä siihen, miksi pilvitunnisteiden vuodot ovat nousseet yhdeksi merkittävimmistä tietoturvatapahtumien luokista viime vuosina. Beaconin tapaus jakaa yhteisen säikeen muiden vaarantuneisiin käyttötunnisteisiin liittyvien tietomurtojen kanssa, kuten Baker Distributing Company -tapahtuman, jossa hyökkääjät käyttivät samankaltaisesti pääsyä yrityksen järjestelmiin saadakseen suuria määriä tietueita. Molemmissa tapauksissa taustalla oleva opetus on sama: toimittajan pilvi-infrastruktuurin tietoturva ja tunnisteiden käsittelykäytännöt määräävät suoraan sen, kuinka turvassa tietosi ovat, riippumatta siitä, kuinka hyvin toimittajan etupään tuote on suunniteltu.
Miksi Tämä Merkitsee Enemmän Kuin Yhtä CRM-toimittajaa
Hyväntekeväisyysjärjestöt ja voittoa tavoittelemattomat organisaatiot käsittelevät usein arkaluonteisia tietoja lahjoittajista, edunsaajista ja henkilökunnasta, mutta ne toimivat tyypillisesti pienemmillä IT-budjeteilla ja tietoturvatiimeillä kuin kaupalliset yritykset. Tämä tekee kolmannen osapuolen ohjelmistotoimittajista, kuten CRM-tarjoajista, erityisen tärkeän lenkin tietoturvaketjussa. Kun organisaatio ulkoistaa tietojenhallinnan SaaS-alustalle, se ulkoistaa myös merkittävän osan tietoturvavastuustaan kyseisen toimittajan suunnittelukäytännöille, mukaan lukien sen, miten käyttöavaimia säilytetään, kierrätetään ja valvotaan.
Tämä tapaus muistuttaa, että jopa luotettu, tarkoituksenmukainen yritysohjelmisto voi muodostua yhdeksi vikapisteeksi. Hyväntekeväisyysjärjestön omat järjestelmät saattavat olla hyvin konfiguroituja, mutta jos sen käyttämä CRM-toimittaja käsittelee pilvitunnistetta väärin, asiakas- ja edunsaajatiedot voivat silti päätyä vääriin käsiin. Tästä syystä tietoturvatietoiset organisaatiot kysyvät yhä useammin toimittajilta suoria kysymyksiä tunnisteiden hallinnasta, salauskäytännöistä ja tietoturvaloukkausten käsittelysitoumuksista ennen sopimuksen allekirjoittamista, eivät vain murron jälkeen.
Mitä Tämä Tarkoittaa Sinulle
Jos organisaatiosi käyttää Beacon CRM:ää tai jos olet sellaisen hyväntekeväisyysjärjestön tukija, lahjoittaja tai edunsaaja, joka käyttää sitä, on muutamia käytännön asioita, jotka kannattaa tehdä nyt. Ensinnäkin seuraa suoraa tietomurtoilmoitusta joko Beaconilta tai siltä hyväntekeväisyysjärjestöltä, johon olet yhteydessä; oikeat ilmoitukset selittävät, mitä tietoja tapaus koski ja mitä toimia sinun tulee mahdollisesti tehdä. Toiseksi suhtaudu varoen kaikkiin pyytämättömiin sähköposteihin tai puheluihin, jotka viittaavat tähän tietomurtoon, koska hyökkääjät käyttävät joskus julkisia murtouutisia hyväkseen kalastelukampanjoiden toteuttamiseksi henkilöille, jotka olettavat olevansa vaarantuneita.
Kannattaa myös tarkistaa luotettavan murtotarkistuspalvelun kautta, esiintyykö sähköpostiosoitteesi tunnetuissa tietomurtotietokannoissa, ja vaihtaa salasanat kaikille tileille, jotka käyttävät samoja tunnistetietoja kuin vaarantunut organisaatio. Jos hallinnoit IT- tai toimittajasuhteita voittoa tavoittelemattomalle organisaatiolle, tämä on hyvä hetki kysyä CRM- tai SaaS-toimittajiltasi suoraan, miten ne säilyttävät ja kierrättävät pilvikäyttöavaimia, ovatko tunnisteet koskaan upotettuina asiakaspuolen koodiin ja millainen niiden tietoturvaloukkausten käsittelyaikataulu on.
Keskeiset Opetukset
Beacon CRM:n tietomurto on edelleen kehittymässä, eikä yritys ole kirjoitushetkellä lopullisesti vahvistanut vaarantuneiden organisaatioiden ja tietotyyppien täyttä laajuutta. Siitä huolimatta tapaus tarjoaa konkreettisia opetuksia riippumatta lopullisista luvuista. Pilvitunnisteiden hygienia, mukaan lukien säännöllinen avainten kierrätys, tiukka käyttöoikeuksien rajaaminen ja huolellinen auditointi siitä, mitä rakennusartefakteissa julkaistaan, ei ole marginaalinen tekninen huolenaihe; se on ensisijainen puolustus juuri tämäntyyppistä laajaa tietojen altistumista vastaan. Jos sinulla tai organisaatiollasi on yhteys Beacon CRM:ään, seuraa virallisia tiedotuksia tarkasti, varmista kaikki tietomurtoilmoitukset luotettavien kanavien kautta ja käytä tätä kehotuksena tarkastella jokaisen SaaS-toimittajan tietoturvakäytäntöjä, joka käsittelee arkaluonteisia tietojasi.
