Co się stało: FulcrumSec i ekspozycja tokenów GitHub

Za naruszeniem danych w Novo Nordisk, firmie farmaceutycznej znanej z produkcji powszechnie stosowanych leków na cukrzycę i odchudzanie, stoi grupa cyberprzestępcza zajmująca się wymuszaniem okupu, nazywająca się FulcrumSec. Według doniesień napastnicy zdobyli przyczółek nie poprzez wyrafinowane wykorzystanie luki zero day, lecz znajdując zaszyte na stałe poświadczenia powiązane z tokenami dostępu GitHub, umieszczone w publicznie dostępnej infrastrukturze IT Novo Nordisk.

Nie jest to jednorazowa taktyka tej grupy. FulcrumSec miał podobno wyrobić sobie schemat skanowania publicznych repozytoriów kodu, skryptów po stronie klienta oraz innej eksponowanej infrastruktury w poszukiwaniu pozostawionych sekretów, takich jak klucze API, tokeny sesji i poświadczenia dostępu, które programiści przypadkowo pozostawili na miejscu. Gdy zostanie znaleziony ważny token, może on działać jak klucz uniwersalny, dając napastnikom ścieżkę do systemów, które nigdy nie miały być dostępne z zewnątrz.

Naruszenie danych Novo Nordisk z udziałem tokenów GitHub ilustruje powracający motyw współczesnych włamań do firm: napastnicy coraz częściej nie muszą przebijać się przez zaporę sieciową, gdy zapomniany fragment kodu sam wręczy im klucze.

Dlaczego zaszyte na stałe poświadczenia wciąż powodują naruszenia w firmach

Zaszyte na stałe poświadczenia, czyli nazwy użytkowników, hasła, klucze API lub tokeny zapisane bezpośrednio w kodzie źródłowym zamiast przechowywane w bezpiecznym menedżerze sekretów, pozostają jedną z najbardziej uporczywych i możliwych do zapobieżenia przyczyn naruszeń danych w firmach. Programiści często osadzają te wartości podczas testowania lub szybkich cykli wdrażania, zamierzając usunąć je później. W dużych, szybko działających organizacjach inżynieryjnych ten etap porządkowania jest często pomijany lub zapominany.

Gdy taki kod trafi do publicznego lub półpublicznego repozytorium albo zostanie wysłany w JavaScripcie po stronie klienta, który może pobrać przeglądarka każdego odwiedzającego, poświadczenie jest skutecznie eksponowane dla każdego, kto wie, gdzie szukać. Grupy takie jak FulcrumSec zbudowały cały swój model działania wokół wyszukiwania właśnie tego rodzaju przeoczeń na dużą skalę, traktując skanowanie poświadczeń jako powtarzalną, niemal zautomatyzowaną część procesu rozpoznania.

Ten wzorzec wykracza daleko poza farmaceutykę. Instytucje finansowe, firmy technologiczne i producenci wszyscy doświadczyli podobnych przejęć systemów napędzanych poświadczeniami. Relacje o roszczeniu grupy ransomware Unsafe dotyczącym naruszenia Deutsche Bank oraz o ataku ransomware D1R na ARM, który ominął uwierzytelnianie dwuskładnikowe wskazują na ten sam podstawowy problem: napastnicy uznają, że łatwiej jest przejść przez drzwi pozostawione otwarte przez programistę, niż wyważyć je siłą.

Co to oznacza dla danych zdrowotnych pacjentów i konsumentów

Dla firmy takiej jak Novo Nordisk stawka związana z wyciekiem poświadczeń wykracza poza typowe korporacyjne zawstydzenie. Firmy farmaceutyczne przetwarzają wrażliwe informacje związane z badaniami klinicznymi, produkcją, a w wielu przypadkach dane dotyczące pacjentów, którzy polegają na ich lekach. Gdy grupa wymuszająca okup uzyskuje dostęp wewnętrzny przez wyciekły token, ekspozycja może rozprzestrzenić się na partnerów, świadczeniodawców opieki zdrowotnej, a ostatecznie na osoby, których informacje zdrowotne są związane z tymi systemami.

To naruszenie powiększa rosnącą listę incydentów dotykających sektor opieki zdrowotnej i farmaceutycznego. Wcześniejsze doniesienia szczegółowo opisywały, jak Boston Scientific i McKesson potwierdziły naruszenia, które ujawniły dane pacjentów, oraz jak grupa ShinyHunters uderzyła w Abbott i NAIC poprzez lukę w Oracle, zakłócając przy tym badania nad lekami przeciwnowotworowymi. Każdy incydent wykorzystywał inny techniczny punkt wejścia, ale wynik jest taki sam: wrażliwe dane związane ze zdrowiem trafiają w ręce osób, które nie mają do nich żadnego uzasadnionego prawa.

Konsumenci przyjmujący leki produkowane przez duże firmy farmaceutyczne mają zazwyczaj ograniczony wgląd w to, jak te firmy zabezpieczają swoje wewnętrzne pipeline'y deweloperskie, oraz ograniczoną nad nimi kontrolę. To sprawia, że rozsądne jest założenie, iż każda organizacja przetwarzająca dane zdrowotne jest tak bezpieczna, jak jej najsłabszy sekret deweloperski, oraz działanie odpowiednio po otrzymaniu powiadomienia o naruszeniu.

Jak organizacje i osoby prywatne mogą ograniczyć ekspozycję wynikającą z wycieków poświadczeń

Dla organizacji rozwiązanie nie jest egzotyczne. Zespoły bezpieczeństwa rutynowo zalecają rotację poświadczeń według regularnego harmonogramu, skanowanie repozytoriów kodu i skryptów po stronie klienta w poszukiwaniu eksponowanych sekretów przed wdrożeniem oraz odejście od zaszytych na stałe tokenów na rzecz scentralizowanych narzędzi do zarządzania sekretami, które wydają krótkotrwałe, odwoływalne poświadczenia. Żadna z tych rad nie jest nowa, ale nawracanie tych naruszeń pokazuje, jak trudne pozostaje ich konsekwentne egzekwowanie w dużych zespołach inżynieryjnych.

Dla osób prywatnych praktyczna reakcja na wieści takie jak naruszenie danych Novo Nordisk z udziałem tokenów GitHub jest prosta. Uważaj na listy z powiadomieniami o naruszeniu od każdej firmy farmaceutycznej, apteki lub planu zdrowotnego, z którymi masz do czynienia, i traktuj je poważnie, nawet jeśli powiadomienie brzmi rutynowo. Używaj unikalnych haseł do portali zdrowotnych i włączaj uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane. Monitoruj konta powiązane z receptami, ubezpieczeniem i rozliczeniami pod kątem nietypowej aktywności, ponieważ skradzione dane z takich incydentów często pojawiają się później w kampaniach phishingowych lub próbach kradzieży tożsamości.

Najważniejsze wnioski

Naruszenie Novo Nordisk przypomina, że napastnicy nie zawsze potrzebują zaawansowanych narzędzi, aby przejąć dużą firmę; czasami wystarczy jedno zapomniane poświadczenie. Jeśli używasz produktów Novo Nordisk lub innych firm z sektora opieki zdrowotnej i farmaceutycznego, uważnie śledź oficjalne powiadomienia o naruszeniach, przejrzyj ustawienia bezpieczeństwa wszelkich powiązanych kont i podchodź ze szczególną ostrożnością do nieoczekiwanych e-maili odnoszących się do twoich recept lub historii medycznej. Biorąc pod uwagę wzorzec widoczny w innych naruszeniach związanych z opieką zdrowotną, warto okresowo sprawdzać, jak zabezpieczone są twoje własne konta związane ze zdrowiem, zamiast czekać na list z powiadomieniem, który skłoni cię do działania.