Vad hände: Salesforce- och ServiceNow-exponeringen

En färsk säkerhetssammanfattning från Help Net Security lyfte fram en berättelse som förtjänar mer än ett flyktigt omnämnande: Salesforce- och ServiceNow-kundportaler lämnades exponerade i ungefär 17 månader innan problemet uppdagades. Sammanfattningen, som även täckte en utnyttjad Metabase zero-day-sårbarhet och en utökning av GitHub:s Dependabot-malware-varningar, grupperade dessa punkter av en anledning. Var och en illustrerar en olika variant av samma underliggande problem: företagsprogramvaruplattformar, vare sig de är självhostade analysverktyg, kodförråd eller molnbaserade CRM-system, är bara lika säkra som konfigurationerna och leverantörspraxis bakom dem.

Salesforce och ServiceNow är två av de mest använda plattformarna för att hantera kundrelationer, supportärenden och interna arbetsflöden i stora organisationer. När portaler byggda på dessa plattformar exponeras är följderna inte begränsade till företaget som driver dem. Beroende på hur portalen var konfigurerad och vilken data den lagrade kan exponeringen nå kundnamn, kontaktuppgifter, supporthistorik och andra poster som individer aldrig direkt överlämnade till företaget som läckte dem. Detta är den centrala spänningen i fall med exponerad företagsdata: personen vars data är i riskzonen har ofta inget direkt konto eller några inloggningsuppgifter hos den aktuella plattformen. De exponeras helt enkelt för att ett företag de interagerat med valde den plattformen för att lagra information.

Varför en 17-månaders upptäcktsfördröjning spelar roll för konsumenternas integritet

Den mest slående detaljen i denna berättelse är inte exponeringen i sig, utan varaktigheten. Sjutton månader är lång tid för en felkonfigurerad eller sårbar portal att ligga tillgänglig utan upptäckt. Under den perioden kunde all data i det exponerade systemet ha visats, skrapats eller kopierats av vem som helst som hittade den, och det skulle finnas liten möjlighet för den drabbade organisationen att med säkerhet veta vad som nåddes jämfört med vad som bara var tillgängligt.

Detta gap mellan exponering och upptäckt är ett återkommande tema i företagsrelaterade säkerhetsmisslyckanden, och det spelar enormt stor roll för konsumenternas integritet. En intrångsupptäckt inom dagar kan begränsas relativt snabbt: inloggningsuppgifter återställs, åtkomst återkallas, berörda parter underrättas. Ett intrång som dröjer kvar i över ett år ger angripare, skrapare och opportunister ett mycket längre fönster, och det gör rättsmedicinsk rekonstruktion mycket svårare. Säkerhetsteam kan ofta inte med säkerhet säga hur många gånger datan nåddes eller av vem, bara att dörren lämnades öppen under lång tid. För alla vars information passerade genom en av dessa portaler är den osäkerheten den verkliga kostnaden.

Tredjeparts- och leverantörskedjerisk fortsätter att dyka upp i CRM-plattformar

Detta är inget isolerat mönster. Exponeringar i CRM- och supportplattformar fortsätter att dyka upp just för att så många organisationer dirigerar känslig kunddata genom samma handfull tredjepartssystem. När något går fel på den nivån drabbar det sällan bara ett företag; det sprider sig utåt till alla företag som förlitade sig på samma plattform, integration eller leverantörsrelation.

Ett tydligt färskt exempel på denna dynamik är LastPass leverantörskedjeintrång via Klue, där angripare komprometterade en tredjepartsleverantör och använde stulna OAuth-token för att nå in i LastPass egen Salesforce-miljö. Den incidenten och den 17-månaders Salesforce/ServiceNow-exponeringen pekar båda på samma strukturella problem: företags-CRM-plattformar sitter i skärningspunkten för många företags dataflöden, och en enda svag länk, vare sig det är en felkonfiguration, en ouppdaterad sårbarhet eller en komprometterad leverantörsintegration, kan exponera information långt bortom organisationen som äger portalen.

Vad detta betyder för dig

Om du någonsin har skickat in ett supportärende, fyllt i ett kontaktformulär eller interagerat med kundtjänst på ett företag som använder Salesforce, ServiceNow eller liknande plattformar, lever sannolikt en del av din information i ett system som du aldrig direkt loggat in i. Det innebär att du är beroende av det företagets leverantörsval och säkerhetspraxis, inte bara dina egna vanor, för att hålla din data säker.

En VPN skyddar dig inte från denna typ av exponering. VPN:er säkrar din egen anslutning och surfaktivitet; de gör ingenting för att skydda data som ligger i ett företags CRM-system på backend. De realistiska försvaren här är annorlunda: håll utkik efter intrångsmeddelanden från företag du gör affärer med, använd unika lösenord för varje konto så att ett läckage på ett ställe inte kan utnyttjas någon annanstans, och aktivera flerfaktorsautentisering där det erbjuds. Dessa vanor förhindrar inte ett företagssidigt läckage, men de begränsar kraftigt vad en angripare kan göra med eventuell data som faktiskt exponeras.

Konkreta åtgärder

  • Behandla intrångsmeddelanden från tjänsteleverantörer på allvar, även om du inte minns att du direkt skapat ett konto hos den drabbade plattformen.
  • Använd en lösenordshanterare för att hålla inloggningsuppgifter unika mellan tjänster, vilket minskar sprängradien för varje enskild exponering av företagsdata.
  • Aktivera flerfaktorsautentisering på konton kopplade till företag som lagrar dina person- eller ekonomiska uppgifter.
  • Granska regelbundet vilka företag och portaler du har delat information med, och överväg att begära radering av data där den inte längre behövs.

Berättelser som denna 17-månaders Salesforce- och ServiceNow-exponering påminner oss om att exponering av företagsdata ofta är osynlig för de drabbade långt efter att den inträffat. Att hålla sig informerad om hur dessa incidenter utvecklas, och att skärpa din egen konto- och lösenordshygien som svar, förblir det mest praktiska sättet att begränsa skadan när nästa intrång dyker upp.