Hva skjedde: FulcrumSec og eksponeringen av GitHub-tokens
En cyberutpressingsgruppe som kaller seg FulcrumSec, står bak et datainnbrudd hos Novo Nordisk, legemiddelselskapet kjent for å produsere mye brukte medisiner mot diabetes og fedme. Ifølge rapporter fikk angriperne fotfeste ikke gjennom en sofistikert zero day-sårbarhet, men ved å finne hardkodede legitimasjonsopplysninger knyttet til GitHub-tilgangstokener som lå i Novo Nordisks offentlig tilgjengelige IT-infrastruktur.
Dette er ikke en engangstaktikk for gruppen. FulcrumSec har angivelig gjort det til et mønster å skanne offentlige kodelagre, klientside-skript og annen eksponert infrastruktur for etterlatte hemmeligheter som API-nøkler, sesjonstokener og tilgangsopplysninger som utviklere ved et uhell har latt ligge. Når et gyldig token først er funnet, kan det fungere som en universalnøkkel og gi angripere en vei inn i systemer som aldri var ment å være tilgjengelige fra utsiden.
Datainnbruddet hos Novo Nordisk som involverer GitHub-tokens, illustrerer et tilbakevendende tema i moderne bedriftsinntrenginger: angripere trenger i økende grad ikke å bryte gjennom en brannmur når et stykke glemt kode i stedet gir dem nøklene.
Hvorfor hardkodet legitimasjon stadig forårsaker bedriftsinnbrudd
Hardkodet legitimasjon, det vil si brukernavn, passord, API-nøkler eller tokener skrevet direkte inn i kildekoden i stedet for lagret i en sikker hemmelighetshåndterer, er fortsatt en av de mest vedvarende og forebyggbare årsakene til bedriftsdatainnbrudd. Utviklere legger ofte inn disse verdiene under testing eller raske utrullingssykluser, med intensjon om å fjerne dem senere. I store, hurtigbevegelige ingeniørorganisasjoner blir det oppryddingssteget ofte hoppet over eller glemt.
Når den koden først er pushet til et offentlig eller halvoffentlig repositorium, eller sendt ut innebygd i klientside-JavaScript som enhver besøkendes nettleser kan laste ned, er legitimasjonen i praksis eksponert for alle som vet hvor de skal lete. Grupper som FulcrumSec har bygget hele sin driftsmodell rundt å finne nettopp denne typen forsømmelser i stor skala, og behandler skanning av legitimasjon som en repeterbar, nesten automatisert del av rekognoseringsprosessen.
Dette mønsteret strekker seg langt utover legemiddelbransjen. Finansinstitusjoner, teknologiselskaper og produsenter har alle sett lignende legitimasjonsdrevne kompromitteringer. Dekningen av løsepengegruppen Unsafes påståtte Deutsche Bank-brudd og D1R-løsepengeangrepet på ARM som omgikk tofaktorautentisering peker begge på det samme underliggende problemet: angripere opplever at det er enklere å gå gjennom en dør som er etterlatt ulåst av en utvikler, enn å tvinge en opp.
Hva dette betyr for pasienters og forbrukeres helsedata
For et selskap som Novo Nordisk strekker innsatsen ved en legitimasjonslekkasje seg utover vanlig bedriftsmessig pinlighet. Legemiddelselskaper håndterer sensitiv informasjon knyttet til klinisk forskning, produksjon og i mange tilfeller data knyttet til pasienter som er avhengige av medisinene deres. Når en utpressingsgruppe får intern tilgang gjennom et lekket token, kan eksponeringen forplante seg utover til partnere, helsepersonell og til slutt menneskene hvis helseopplysninger berører disse systemene.
Dette bruddet føyer seg inn i en voksende liste over hendelser som rammer helse- og legemiddelsektoren. Tidligere rapportering beskrev hvordan både Boston Scientific og McKesson bekreftet brudd som eksponerte pasientdata, og hvordan ShinyHunters-gruppen rammet Abbott og NAIC gjennom en Oracle-sårbarhet, noe som forstyrret kreftmedisinforskning i prosessen. Hver hendelse brukte et ulikt teknisk inngangspunkt, men utfallet er det samme: sensitive helserelaterte data ender opp i hendene på personer uten legitim rett til dem.
Forbrukere som tar medisiner produsert av store legemiddelselskaper, har generelt begrenset innsikt i, eller kontroll over, hvordan disse selskapene sikrer sine interne utviklingspipelines. Det gjør det rimelig å anta at enhver organisasjon som håndterer helsedata, bare er så sikker som sin svakeste utviklerhemmelighet, og å handle deretter når man varsles om et brudd.
Hvordan organisasjoner og enkeltpersoner kan redusere eksponering fra legitimasjonslekkasjer
For organisasjoner er løsningen ikke eksotisk. Sikkerhetsteam anbefaler rutinemessig å rotere legitimasjon etter en fast plan, skanne kodelagre og klientside-skript for eksponerte hemmeligheter før utrulling, og bevege seg bort fra hardkodede tokens til fordel for sentraliserte verktøy for hemmelighetshåndtering som utsteder kortlivede, tilbakekallbare legitimasjoner. Ingenting av dette er nye råd, men gjentakelsen av disse bruddene viser hvor vanskelig det fortsatt er å håndheve konsekvent på tvers av store ingeniørteam.
For enkeltpersoner er den praktiske responsen på nyheter som datainnbruddet hos Novo Nordisk som involverer GitHub-tokens, grei. Følg med på varslingsbrev om brudd fra ethvert legemiddelselskap, apotek eller helseplan du forholder deg til, og ta dem på alvor selv om varselet høres rutinemessig ut. Bruk unike passord for helseportaler og aktiver flerfaktorautentisering der det tilbys. Overvåk kontoer knyttet til resepter, forsikring og fakturering for uvanlig aktivitet, siden stjålne data fra disse hendelsene ofte dukker opp senere i phishing-kampanjer eller forsøk på identitetstyveri.
Viktige punkter
Bruddet hos Novo Nordisk er en påminnelse om at angripere ikke alltid trenger avanserte verktøy for å kompromittere et stort selskap; noen ganger er en enkelt glemt legitimasjon nok. Hvis du bruker produkter fra Novo Nordisk eller andre helse- og legemiddelselskaper, følg med på offisielle bruddvarsler, gjennomgå sikkerhetsinnstillingene på eventuelle relaterte kontoer, og behandle uventede e-poster som refererer til reseptene eller sykehistorien din med ekstra forsiktighet. Gitt mønsteret man har sett i andre helserelaterte brudd, er det verdt å jevnlig sjekke hvordan dine egne helserelaterte kontoer er sikret, i stedet for å vente på at et varslingsbrev skal utløse handling.
