Vad hände: FulcrumSec och exponeringen av GitHub-token

En cyberutpressningsgrupp som kallar sig FulcrumSec ligger bakom en dataöverträdelse hos Novo Nordisk, läkemedelsföretaget känt för att producera allmänt använda diabetes- och viktminskningsmediciner. Enligt rapportering fick angriparna sitt fotfäste inte genom en sofistikerad zero day-exploit, utan genom att hitta hårdkodade autentiseringsuppgifter kopplade till GitHub-åtkomsttoken som låg i Novo Nordisks offentligt exponerade IT-infrastruktur.

Detta är ingen engångstaktik för gruppen. FulcrumSec har enligt uppgifter gjort ett mönster av att skanna offentliga kodförråd, klientsidesskript och annan exponerad infrastruktur efter kvarlämnade hemligheter som API-nycklar, sessionstoken och åtkomstuppgifter som utvecklare av misstag lämnat kvar. När en giltig token hittas kan den fungera som en dyrk, vilket ger angriparna en väg in i system som aldrig var avsedda att nås utifrån.

Dataöverträdelsen hos Novo Nordisk som involverar GitHub-token illustrerar ett återkommande tema i moderna företagsintrång: angripare behöver alltmer inte bryta sig igenom en brandvägg när en bortglömd kodbit istället räcker dem nycklarna.

Varför hårdkodade autentiseringsuppgifter fortsätter orsaka företagsintrång

Hårdkodade autentiseringsuppgifter, det vill säga användarnamn, lösenord, API-nycklar eller token som skrivs direkt in i källkoden istället för att lagras i en säker hemlighetshanterare, förblir en av de mest ihållande och förebyggbara orsakerna till företagsdataöverträdelser. Utvecklare bäddar ofta in dessa värden under testning eller snabba distributionscykler, med avsikt att ta bort dem senare. I stora, snabbrörliga teknikorganisationer hoppas det städuppdraget ofta över eller glöms bort.

När den koden väl har pushats till ett offentligt eller halvoffentligt förråd, eller skeppats inuti klientsidig JavaScript som varje besökares webbläsare kan ladda ner, är autentiseringsuppgiften i praktiken exponerad för alla som vet var de ska leta. Grupper som FulcrumSec har byggt hela sin affärsmodell kring att hitta just den här typen av förbiseenden i stor skala, och behandlar skanning av autentiseringsuppgifter som en repeterbar, nästan automatiserad del av sin spaningsprocess.

Detta mönster sträcker sig långt bortom läkemedelsbranschen. Finansinstitut, teknikföretag och tillverkare har alla sett liknande autentiseringsdrivna intrång. Rapporteringen om lösgruppen Unsafes påstådda intrång hos Deutsche Bank och D1R-lösattacken mot ARM som kringgick tvåfaktorsautentisering pekar båda på samma underliggande problem: angripare upplever det som enklare att gå genom en dörr som lämnats olåst av en utvecklare än att tvinga upp en.

Vad detta innebär för patienters och konsumenters hälsodata

För ett företag som Novo Nordisk går insatserna vid en autentiseringsläcka bortom typisk företagsförlägenhet. Läkemedelsföretag hanterar känslig information kopplad till klinisk forskning, tillverkning och i många fall data kopplad till patienter som är beroende av deras mediciner. När en utpressningsgrupp får intern åtkomst via en läckt token kan exponeringen fortplanta sig utåt till partners, vårdgivare och i slutändan till de personer vars hälsoinformation berör dessa system.

Denna överträdelse läggs till en växande lista av incidenter som drabbar hälso- och läkemedelssektorn. Tidigare rapportering beskrev hur Boston Scientific och McKesson båda bekräftade intrång som exponerade patientdata, och hur ShinyHunters-gruppen drabbade Abbott och NAIC genom en Oracle-sårbarhet, vilket störde cancerläkemedelsforskning i processen. Varje incident använde en annan teknisk ingångspunkt, men resultatet är detsamma: känslig hälsonära data hamnar i händerna på personer utan legitim rätt till den.

Konsumenter som tar mediciner producerade av stora läkemedelsföretag har i allmänhet begränsad insyn i, eller kontroll över, hur dessa företag säkrar sina interna utvecklingspipelines. Det gör det rimligt att anta att varje organisation som hanterar hälsodata endast är så säker som sin svagaste utvecklarhemlighet, och att agera därefter när man underrättas om ett intrång.

Hur organisationer och individer kan minska exponering från autentiseringsläckor

För organisationer är lösningen inte exotisk. Säkerhetsteam rekommenderar rutinmässigt att rotera autentiseringsuppgifter enligt ett regelbundet schema, skanna kodförråd och klientsidesskript efter exponerade hemligheter före driftsättning, och att övergå från hårdkodade token till centraliserade verktyg för hemlighetshantering som utfärdar kortlivade, återkalleliga autentiseringsuppgifter. Inget av detta är ny rådgivning, men återkomsten av dessa intrång visar hur svårt det fortfarande är att upprätthålla konsekvent across stora utvecklingsteam.

För individer är det praktiska svaret på nyheter som dataöverträdelsen hos Novo Nordisk som involverar GitHub-token enkelt. Håll utkik efter underrättelser om intrång från alla läkemedelsföretag, apotek eller hälsoplaner du interagerar med, och ta dem på allvar även om meddelandet låter rutinmässigt. Använd unika lösenord för hälso-portaler och aktivera multifaktorautentisering där det erbjuds. Övervaka konton kopplade till recept, försäkringar och fakturering för ovanlig aktivitet, eftersom stulen data från dessa incidenter ofta dyker upp senare i nätfiskekampanjer eller identitetsstöldförsök.

Viktiga slutsatser

Intrånget hos Novo Nordisk är en påminnelse om att angripare inte alltid behöver avancerade verktyg för att kompromettera ett stort företag; ibland räcker en enda bortglömd autentiseringsuppgift. Om du använder produkter från Novo Nordisk eller andra hälso- och läkemedelsföretag, håll ett öga på officiella intrångsmeddelanden, granska säkerhetsinställningarna för alla relaterade konton och behandla oväntade e-postmeddelanden som refererar till dina recept eller medicinska historia med extra försiktighet. Med tanke på mönstret som setts across andra hälsonära intrång är det värt att regelbundet kontrollera hur dina egna hälsorelaterade konton är säkrade, istället för att vänta på att ett underrättelsebrev ska föranleda åtgärd.