Klue OAuth -tietomurto ruokkii Icarus Salesforce CRM -tietovarkautta
Vahvistettu OAuth-haavoittuvuuden aiheuttama yritystason tietomurto markkinatiedustelualusta Klue:ssa on antanut "Icarus"-nimiseksi tunnetulle uhkaryhmälle luvattoman pääsyn useiden organisaatioiden Salesforce CRM -tietoihin. Hyökkääjät käyvät nyt aktiivista kiristyskampanjaa uhriksi joutuneita yrityksiä vastaan, mikä tekee tästä yhdestä merkittävimmistä kolmannen osapuolen SaaS-tietomurroista lähiaikoina. Tapaus on selvä signaali siitä, että vähimmän vastuksen tie yritysten tietoihin kulkee yhä useammin luotettujen ohjelmistointegraatioiden kautta, ei suorien verkkohyökkäysten.
Kuinka Klue OAuth -tietomurto antoi Icarukselle pääsyn Salesforce CRM -tietoihin
OAuth on laajalti käytetty valtuutusstandardi, jonka avulla kolmannen osapuolen sovellukset voivat käyttää resursseja käyttäjän puolesta paljastamatta kirjautumistietoja suoraan. Tässä tapauksessa Klue, joka tarjoaa kilpailutiedustelutyökaluja, joita organisaatiot liittävät omiin järjestelmiinsä, kärsi OAuth-toteutukseensa kohdistuneen tietomurron. Tuo murto avasi oven, josta Icarus kulki läpi päästäkseen Salesforce CRM -ympäristöihin useissa yrityksissä.
Mekaniikalla on tässä merkitystä. Kun hyökkääjä saa haltuunsa OAuth-tokenin tai hyödyntää puutetta sen myöntämisessä tai vahvistamisessa, hän perii ne käyttöoikeudet, jotka tokeniin sisältyvät. Jos Klue oli saanut laajan pääsyn asiakkaan Salesforce-instanssiin – kuten markkinatiedustelutyökalut usein tarvitsevat hakeakseen myynti- ja myyntiputkitietoja – Icarus astui tehokkaasti samalle käyttöoikeustasolle laukaisematta niitä tyypillisiä kirjautumispohjaisia hälytyksiä, joihin tietoturvatiimit luottavat.
Tietovarkautta seurasi kiristys. Icarus näyttää toimivan selvällä pelikirjalla: arkaluontoiset CRM-tiedot kaivetaan esiin ja uhriorganisaatioita painostetaan maksamaan niiden julkaisun tai väärinkäytön estämiseksi.
Miksi kolmannen osapuolen SaaS-integraatiot ovat kasvava hyökkäyspinta
Klue-tietomurto sopii malliin, josta tietoturva-ammattilaiset ovat varoittaneet jo vuosien ajan. Yritykset kytkevät rutiininomaisesti kymmeniä SaaS-alustoja ydinliiketoimintajärjestelmiin, kuten Salesforceen, ja myöntävät usein näille alustoille laajat käyttöoikeudet käyttöönoton yhteydessä eivätkä koskaan tarkista niitä myöhemmin. Jokainen tällainen yhteys on mahdollinen silta arkaluontoisimpien tietojesi ja jonkun toisen tietoturvatason välillä.
Tätä kutsutaan joskus pilviohjelmistojen "toimitusketjuongelmaksi". Organisaatiosi puolustus voi olla vahva, mutta toimittaja, jolla on heikommat kontrollit ja laaja OAuth-valtuutus CRM:ääsi, on toiminnallisesti sivuovi. Hyökkääjät, kuten Icarus, ymmärtävät tämän ja etsivät sitä aktiivisesti.
On myös syytä huomata, että nämä tietomurrot alkavat harvoin puhtaasti teknisistä haavoittuvuuksista. Sosiaalinen manipulointi, mukaan lukien OAuth-tokenien varastamiseen tai työntekijöiden huijaamiseen valtuuttamaan haitallisia sovelluksia tähtäävät tietojenkalastelukampanjat, toimii usein inhimillisenä sisääntulokohtana ennen teknistä käsittelyä. Erityisesti OAuth-tietojenkalastelu on kehittynyt entistä hienostuneemmaksi, ja hyökkääjät luovat vakuuttavia suostumusruutuja, jotka jäljittelevät laillisia sovellusvaltuutusprosesseja.
Mitä tietoja altistui ja mitkä organisaatiot ovat vaarassa
Salesforce CRM -järjestelmät sisältävät kaikkein kaupallisesti arkaluontoisimpia tietoja, joita yritys hallinnoi: myyntiputkia, asiakasyhteystietoja, kauppa-arvoja, sisäisiä muistiinpanoja prospekteista ja strategisia asiakassuunnitelmia. Icarukselle tämä on juuri sellaista materiaalia, joka luo suurimman vipuvoiman kiristystilanteessa. Uhrit kohtaavat paitsi mainehaittoja myös kilpailullista vahinkoa, jos kauppasensitiivistä tietoa päätyy kilpailijoille tai julkaistaan julkisesti.
Tietomurto koskettaa useita organisaatioita, jotka olivat yhdistäneet Kluen Salesforce-ympäristöihinsä, joskin uhrien koko laajuutta ei ole julkisesti vahvistettu. Kaikkien yritysten, jotka käyttivät Kluen markkinatiedustelualustaa ja myönsivät sille integraatioon tarvittavan pääsyn Salesforce-instanssiinsa, tulisi pitää itseään mahdollisesti vaikutuksen alaisena, kunnes ne voivat varmistaa asian oman tietoturvatutkimuksensa kautta.
Toimialat, joilla kilpailutiedustelu on ydintoiminto – kuten teknologia, rahoituspalvelut ja yritysohjelmistot – ovat yleensä Kluen kaltaisten alustojen suurkäyttäjiä ja niiden tulisi priorisoida tarkastelunsa.
Kerrokselliset puolustukset: Zero Trust, VPN:t ja OAuth-yhteyksien koventaminen
Klue- ja Icarus-tapaus vahvistaa, miksi kerroksellinen tietoturva ei ole valinnainen yrityksille, jotka käsittelevät arkaluontoisia CRM- ja asiakastietoja. Useat kontrollit ovat tässä erityisen olennaisia.
Ensinnäkin OAuth-valtuutusten siisteyteen on kiinnitettävä välitöntä huomiota. Organisaatioiden tulisi auditoida jokainen kolmannen osapuolen sovellus, jolla on aktiivinen OAuth-yhteys ydinjärjestelmiin, kuten Salesforceen. Peruuta valtuuksia, joita ei enää tarvita, ja sovella vähimmän oikeuden periaatetta niihin, jotka jäävät. Rajatut, suppeat käyttöoikeudet pienentävät vahinkosädettä, jos jokin kytketty toimittaja vaarantuu.
Toiseksi Zero Trust -käyttömallit olettavat, ettei mikään yhteys, sisäinen tai ulkoinen, ole automaattisesti luotettava. Jatkuvan varmennuksen soveltaminen API-yhteyksiin ja SaaS-integraatioihin sen sijaan, että valtuutettuja OAuth-tokeneita kohdeltaisiin luontaisesti turvallisina, voi auttaa havaitsemaan poikkeavaa käyttäytymistä, vaikka valtuustiedot vaikuttaisivatkin legitiimeiltä.
Kolmanneksi salatut verkkotunnelit tuovat lisäkerroksen suojaa integroitujen järjestelmien välillä liikkuvalle tiedolle. Protokollat, kuten SSTP, joka reitittää liikenteen SSL/TLS-salauksen läpi, ovat yksi esimerkki siitä, miten organisaatiot voivat koventaa verkkokerrosta kytkettyjen alustojen välillä ja pienentää sieppauksen riskiä silloinkin, kun sovellustason valtuustiedot ovat mukana.
Lopuksi, poikkeuksellisten tiedonkäyttömallien valvonta Salesforcessa itsessään – mukaan lukien massaviennit, odottamattomat API-kutsut tai pääsy vieraista OAuth-asiakkaista – voi antaa varhaisen varoituksen jo käynnissä olevasta tietomurrosta.
Mitä tämä tarkoittaa sinulle
Jos organisaatiosi käyttää kolmannen osapuolen SaaS-integraatioita, jotka on liitetty Salesforceen tai mihin tahansa muuhun CRM-alustaan, tämä tietomurto on suora kehotus toimia. Icaruksen kampanja havainnollistaa, etteivät hyökkääjät odota sinun tekevän ilmeistä virhettä. He käyttävät hyväksi niitä luottamussuhteita, joita päivittäin käyttämiisi ohjelmistotoimittajiin kohdistuu.
Aloita hakemalla täydellinen lista OAuth-sovelluksista, joilla on pääsy Salesforce-ympäristöösi. Tarkista jokainen tarpeellisuuden, käyttöoikeuksien laajuuden ja taustalla olevan toimittajan tietoturvatason osalta. Tämän jälkeen perusta toistuva prosessi tätä tarkastelua varten, ei vain kertaluontoista auditointia.
Yhtä tärkeää on ymmärtää, miten tällaiset hyökkäykset alkavat. Koska sosiaalinen manipulointi edeltää niin usein teknisiä hyökkäyksiä, henkilöstön kouluttaminen tunnistamaan OAuth-tietojenkalastelu ja epäilyttävät valtuutuspyynnöt on käytännöllinen, vaikuttava askel, joka ei vaadi merkittävää budjettia. Kerrokselliset puolustukset toimivat vain, kun inhimillinen kerros on otettu mukaan.
