Co się stało: Ekspozycja Salesforce i ServiceNow

Najnowsze tygodniowe zestawienie bezpieczeństwa od Help Net Security wskazało jedną historię, która zasługuje na więcej niż przelotną wzmiankę: portale klienckie Salesforce i ServiceNow były pozostawione otwarte przez około 17 miesięcy, zanim problem wyszedł na jaw. Zestawienie, które obejmowało również wykorzystaną lukę zero-day w Metabase i rozszerzenie alertów o złośliwym oprogramowaniu Dependabot w GitHub, pogrupowało te pozycje nie bez powodu. Każda z nich ilustruje inny aspekt tego samego podstawowego problemu: platformy oprogramowania dla przedsiębiorstw, czy to samodzielnie hostowane narzędzia analityczne, repozytoria kodu, czy chmurowe systemy CRM, są tak bezpieczne, jak konfiguracje i praktyki dostawców, które za nimi stoją.

Salesforce i ServiceNow to dwie z najczęściej używanych platform do zarządzania relacjami z klientami, zgłoszeniami wsparcia i wewnętrznymi przepływami pracy w dużych organizacjach. Gdy portale zbudowane na tych platformach są narażone na ekspozycję, skutki nie ograniczają się do firmy, która je prowadzi. W zależności od tego, jak portal był skonfigurowany i jakie dane przechowywał, ekspozycja może objąć imiona i nazwiska klientów, dane kontaktowe, historie wsparcia i inne rekordy, których osoby fizyczne nigdy bezpośrednio nie przekazały firmie, która je wyciekła. To jest główne napięcie w przypadkach ekspozycji danych w naruszeniach bezpieczeństwa przedsiębiorstw: osoba, której dane są zagrożone, często nie ma bezpośredniego konta ani danych logowania na danej platformie. Jest narażona tylko dlatego, że firma, z którą miała kontakt, wybrała tę platformę do przechowywania informacji.

Dlaczego 17-miesięczne opóźnienie w wykryciu ma znaczenie dla prywatności konsumentów

Najbardziej uderzającym szczegółem w tej historii nie jest sama ekspozycja, ale jej czas trwania. Siedemnaście miesięcy to długi czas, w którym źle skonfigurowany lub podatny na ataki portal mógł pozostać dostępny bez wykrycia. W tym okresie wszelkie dane znajdujące się w narażonym systemie mogły zostać wyświetlone, zeskrapowane lub skopiowane przez każdego, kto je znalazł, a dotknięta organizacja miała niewielkie możliwości, aby z całą pewnością stwierdzić, do czego uzyskano dostęp, a co było jedynie dostępne.

Ta luka między ekspozycją a wykryciem to powracający motyw w awariach bezpieczeństwa przedsiębiorstw i ma ogromne znaczenie dla prywatności konsumentów. Naruszenie wykryte w ciągu kilku dni może zostać stosunkowo szybko opanowane: zresetowane dane logowania, cofnięty dostęp, powiadomione dotknięte osoby. Naruszenie, które utrzymuje się ponad rok, daje atakującym, skraperom i oportunistom znacznie dłuższe okno czasowe i znacznie utrudnia rekonstrukcję kryminalistyczną. Zespoły ds. bezpieczeństwa często nie są w stanie z całą pewnością powiedzieć, ile razy dane zostały otwarte ani przez kogo — jedynie, że drzwi były otwarte przez długi czas. Dla każdego, czyje informacje przeszły przez któryś z tych portali, ta niepewność jest prawdziwym kosztem.

Ryzyko związane z osobami trzecimi i łańcuchem dostaw wciąż pojawia się na platformach CRM

To nie jest odosobniony wzorzec. Ekspozycje platform CRM i wsparcia wciąż wychodzą na jaw właśnie dlatego, że tak wiele organizacji kieruje wrażliwe dane klientów przez ten sam zestaw systemów osób trzecich. Gdy coś pójdzie nie tak na tym poziomie, rzadko dotyczy to tylko jednej firmy; rozprzestrzenia się na każdą firmę, która polegała na tej samej platformie, integracji lub relacji z dostawcą.

Wyraźnym niedawnym przykładem tej dynamiki jest naruszenie łańcucha dostaw LastPass przez Klue, gdzie atakujący skompromitowali dostawcę zewnętrznego i użyli skradzionych tokenów OAuth, aby dostać się do środowiska Salesforce samego LastPass. Ten incydent oraz 17-miesięczna ekspozycja Salesforce/ServiceNow wskazują na ten sam problem strukturalny: korporacyjne platformy CRM znajdują się na przecięciu przepływów danych wielu firm, a pojedyncze słabe ogniwo — czy to błędna konfiguracja, niezałatana luka, czy skompromitowana integracja dostawcy — może ujawnić informacje daleko poza organizacją, która jest właścicielem portalu.

Co to oznacza dla Ciebie

Jeśli kiedykolwiek przesłałeś zgłoszenie wsparcia, wypełniłeś formularz kontaktowy lub skontaktowałeś się z obsługą klienta w firmie używającej Salesforce, ServiceNow lub podobnych platform, część Twoich informacji prawdopodobnie znajduje się w systemie, do którego nigdy bezpośrednio się nie logowałeś. Oznacza to, że jesteś zależny od wyborów dostawców i praktyk bezpieczeństwa tej firmy, a nie tylko od własnych nawyków, jeśli chodzi o ochronę Twoich danych.

VPN nie ochroni Cię przed tego rodzaju ekspozycją. VPN-y zabezpieczają Twoje własne połączenie i aktywność przeglądania; nie robią nic, aby chronić dane znajdujące się w backendowym systemie CRM firmy. Realistyczne środki obrony są tutaj inne: zwracaj uwagę na powiadomienia o naruszeniach od firm, z którymi prowadzisz interesy, używaj unikalnych haseł do każdego konta, aby wyciek w jednym miejscu nie mógł zostać wykorzystany gdzie indziej, oraz włączaj uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane. Te nawyki nie zapobiegną wyciekowi po stronie przedsiębiorstwa, ale znacznie ograniczają to, co atakujący może zrobić z danymi, które zostaną ujawnione.

Praktyczne wskazówki

  • Traktuj powiadomienia o naruszeniach od dostawców usług poważnie, nawet jeśli nie pamiętasz, abyś bezpośrednio zakładał konto na dotkniętej platformie.
  • Korzystaj z menedżera haseł, aby utrzymywać unikalne dane logowania w różnych usługach, zmniejszając promień rażenia pojedynczej ekspozycji danych w naruszeniu bezpieczeństwa przedsiębiorstwa.
  • Włącz uwierzytelnianie wieloskładnikowe na kontach powiązanych z firmami, które przechowują Twoje dane osobowe lub finansowe.
  • Okresowo przeglądaj, z którymi firmami i portalami udostępniłeś informacje, i rozważ złożenie wniosku o usunięcie danych tam, gdzie nie są już potrzebne.

Historie takie jak ta 17-miesięczna ekspozycja Salesforce i ServiceNow są przypomnieniem, że ekspozycja danych w naruszeniach bezpieczeństwa przedsiębiorstw jest często niewidoczna dla osób, których dotyczy, aż do długiego czasu po fakcie. Bycie na bieżąco z tym, jak rozwijają się takie incydenty, i zaostrzenie własnej higieny kont w odpowiedzi, pozostaje najbardziej praktycznym sposobem na ograniczenie szkód, gdy pojawi się następny.