何が起きたか：SalesforceとServiceNowの露出問題

Help Net Securityによる最近の週間セキュリティダイジェストで、一つの記事が注目に値するものとして取り上げられました。SalesforceとServiceNowのカスタマーポータルが、問題が明るみに出るまで約17ヶ月間露出していたというものです。このダイジェストは、悪用されたMetabaseのゼロデイ脆弱性やGitHubのDependabotマルウェア通知の拡大も取り上げており、これらの項目がまとめられたのには理由があります。それぞれが同じ根本的な問題の異なる側面を示しています。つまり、セルフホスト型の分析ツール、コードリポジトリ、クラウドCRMシステムなど、エンタープライズソフトウェアプラットフォームは、その背後にある設定とベンダーのプラクティスと同じ程度にしか安全ではないということです。

SalesforceとServiceNowは、大規模組織が顧客関係、サポートチケット、社内ワークフローを管理するために最も広く使用されている2つのプラットフォームです。これらのプラットフォーム上に構築されたポータルが露出すると、その影響は運営している企業だけにとどまりません。ポータルの設定方法と保存されていたデータによっては、露出は顧客名、連絡先詳細、サポート履歴、および個人が漏えいした企業に直接提供していないその他の記録にまで及ぶ可能性があります。これがエンタープライズデータ漏えい露出ケースにおける核心的な緊張関係です。データが危険にさらされている人は、多くの場合、関与するプラットフォームに直接のアカウントや資格情報を持っていません。彼らが露出するのは、単に取引のある企業がそのプラットフォームを情報保存先として選んだからです。

17ヶ月の発見遅延が消費者プライバシーにとって重要な理由

この記事で最も印象的な詳細は、露出自体ではなく、その期間です。17ヶ月は、誤設定または脆弱なポータルが検出されずにアクセス可能な状態で放置されるには長い時間です。その間、露出したシステム内のデータは、発見した誰によっても閲覧、スクレイピング、コピーされた可能性があり、影響を受けた組織が実際にアクセスされたものと単にアクセス可能だったものとを確実に知る手段はほとんどありませんでした。

この露出と発見の間のギャップは、エンタープライズセキュリティ障害において繰り返し見られるテーマであり、消費者プライバシーにとって非常に重要です。数日以内に発見された侵害は比較的迅速に封じ込めることができます。資格情報のリセット、アクセスの取り消し、影響を受けた関係者への通知です。1年以上続く侵害は、攻撃者、スクレイパー、日和見主義者にはるかに長い機会を与え、フォレンジックな再構築をはるかに困難にします。セキュリティチームは、データが何回アクセスされたか、誰によってアクセスされたかを自信を持って言えないことが多く、ただドアが長い間開いていたということだけがわかります。これらのポータルのいずれかに情報が通った人にとって、その不確実性こそが本当のコストです。

サードパーティおよびサプライチェーンリスクがCRMプラットフォームで引き続き表面化

これは孤立したパターンではありません。CRMおよびサポートプラットフォームの露出が繰り返し表面化するのは、まさに多くの組織が機密の顧客データを同じ少数のサードパーティシステムにルーティングしているからです。その層で何かがうまくいかなくなると、影響は単一の企業だけにとどまらず、同じプラットフォーム、統合、またはベンダー関係に依存していたすべての企業に波及します。

このダイナミクスの明確な最近の例は、Klueを介したLastPassサプライチェーン侵害です。攻撃者がサードパーティベンダーを侵害し、盗んだOAuthトークンを使用してLastPass自身のSalesforce環境に到達しました。このインシデントと17ヶ月のSalesforce/ServiceNow露出はどちらも同じ構造的問題を指し示しています。エンタープライズCRMプラットフォームは多くの企業のデータフローの交差点に位置し、単一の弱点（誤設定、未パッチの脆弱性、侵害されたベンダー統合のいずれであっても）が、ポータルを所有する組織をはるかに超えて情報を露出させる可能性があります。

これがあなたにとって何を意味するか

Salesforce、ServiceNow、または類似のプラットフォームを使用する企業でサポートチケットを送信したこと、問い合わせフォームに記入したこと、またはカスタマーサービスとやり取りしたことがあるなら、あなたの情報の一部はおそらく直接ログインしたことのないシステムに存在しています。つまり、データを安全に保つために、あなた自身の習慣だけでなく、その企業のベンダー選択とセキュリティプラクティスに依存しているということです。

VPNはこの種の露出からあなたを保護しません。VPNはあなた自身の接続とブラウジング活動を保護しますが、企業のバックエンドCRMシステムにあるデータを保護するものではありません。ここでの現実的な防御策は異なります。取引のある企業からの侵害通知に注意を払うこと、すべてのアカウントに一意のパスワードを使用して、ある場所での漏えいが他の場所で利用されないようにすること、そして多要素認証が提供されている場所では有効にすることです。これらの習慣はエンタープライズ側の漏えいを防ぐものではありませんが、攻撃者が露出したデータでできることを大幅に制限します。

実行可能な takeaways

  • サービスプロバイダーからの侵害通知を真剣に受け止めましょう。影響を受けたプラットフォームに直接アカウントを作成したことを覚えていない場合でもです。
  • パスワードマネージャーを使用して、サービス間で資格情報を一意に保ち、単一のエンタープライズデータ漏えい露出の爆発半径を減らしましょう。
  • 個人情報または財務データを保存する企業に関連するアカウントで多要素認証を有効にしましょう。
  • 情報を共有した企業とポータルを定期的に見直し、不要になった場所ではデータ削除をリクエストすることを検討しましょう。

この17ヶ月のSalesforceとServiceNowの露出のような記事は、エンタープライズデータ漏えいの露出が、実際に影響を受ける人々にはずっと後の段階まで見えないことが多いということを思い出させてくれます。これらのインシデントがどのように展開するかについて情報を得続け、それに応じて自身のアカウント衛生を強化することが、次のインシデントが表面化したときに被害を制限する最も実用的な方法であり続けます。