การละเมิดข้อมูลของ Novo Nordisk: FulcrumSec ใช้ประโยชน์จากโทเค็น GitHub

เกิดอะไรขึ้น: FulcrumSec และการเปิดเผยโทเค็น GitHub

กลุ่มกรรโชกทรัพย์ทางไซเบอร์ที่เรียกตัวเองว่า FulcrumSec อยู่เบื้องหลังการละเมิดข้อมูลที่ Novo Nordisk บริษัทยาที่เป็นที่รู้จักจากการผลิตยารักษาโรคเบาหวานและยาลดน้ำหนักที่ใช้กันอย่างแพร่หลาย ตามรายงาน ผู้โจมตีไม่ได้เข้าถึงระบบผ่านช่องโหว่ zero day ที่ซับซ้อน แต่พบข้อมูลรับรองที่ฝังตายตัวซึ่งเชื่อมโยงกับโทเค็นการเข้าถึง GitHub ที่อยู่ในโครงสร้างพื้นฐานไอทีที่เปิดเผยต่อสาธารณะของ Novo Nordisk

นี่ไม่ใช่กลยุทธ์ครั้งเดียวของกลุ่มนี้ FulcrumSec มีรายงานว่าสร้างรูปแบบการสแกนที่เก็บโค้ดสาธารณะ สคริปต์ฝั่งไคลเอนต์ และโครงสร้างพื้นฐานที่เปิดเผยอื่น ๆ เพื่อค้นหาข้อมูลลับที่ตกค้าง เช่น API keys, session tokens และข้อมูลรับรองการเข้าถึงที่นักพัฒนาละเลยไว้โดยไม่ตั้งใจ เมื่อพบโทเค็นที่ยังใช้ได้ มันสามารถทำหน้าที่เหมือนกุญแจผี ให้ผู้โจมตีเข้าถึงระบบที่ никогдаไม่ควรเข้าถึงได้จากภายนอก

การละเมิดข้อมูลของ Novo Nordisk ที่เกี่ยวข้องกับโทเค็น GitHub สะท้อน themes ที่เกิดซ้ำในการบุกรุกองค์กรสมัยใหม่: ผู้โจมตีไม่จำเป็นต้องทะลุกำแพงไฟร์วอลล์เมื่อโค้ดที่ถูกลืมจะมอบกุญแจให้พวกเขาแทน

ทำไมข้อมูลรับรองที่ฝังตายตัวจึงยังคงก่อให้เกิดการละเมิดข้อมูลองค์กร

ข้อมูลรับรองที่ฝังตายตัว หมายถึงชื่อผู้ใช้ รหัสผ่าน API keys หรือโทเค็นที่เขียนลงในซอร์สโค้ดโดยตรงแทนที่จะเก็บในระบบจัดการข้อมูลลับที่ปลอดภัย ยังคงเป็นหนึ่งในสาเหตุที่คงทนและป้องกันได้มากที่สุดของการละเมิดข้อมูลองค์กร นักพัฒนามักฝังค่าเหล่านี้ระหว่างการทดสอบหรือวงจรการปรับใช้อย่างรวดเร็ว โดยตั้งใจจะลบออกในภายหลัง ในองค์กรวิศวกรรมขนาดใหญ่ที่เคลื่อนไหวเร็ว ขั้นตอนการล้างข้อมูลนั้นมักถูกข้ามหรือลืม

เมื่อโค้ดนั้นถูก push ไปยังที่เก็บสาธารณะหรือกึ่งสาธารณะ หรือถูกจัดส่งภายใน JavaScript ฝั่งไคลเอนต์ที่เบราว์เซอร์ของผู้เยี่ยมชมคนใดก็สามารถดาวน์โหลดได้ ข้อมูลรับรองนั้นก็ถูกเปิดเผยอย่างแท้จริงต่อใครก็ตามที่รู้ว่าจะดูที่ไหน กลุ่มอย่าง FulcrumSec ได้สร้างรูปแบบการดำเนินงานทั้งหมด вокругการค้นหาความประมาทเหล่านี้ในวงกว้าง โดยถือว่าการสแกนข้อมูลรับรองเป็นส่วนหนึ่งของกระบวนการลาดตระเวนที่ทำซ้ำได้และเกือบจะเป็นอัตโนมัติ

รูปแบบนี้ขยายไปไกลกว่ายา สถาบันการเงิน บริษัทเทคโนโลยี และผู้ผลิตต่างก็พบการบุกรุกที่ขับเคลื่อนด้วยข้อมูลรับรองในลักษณะเดียวกัน การรายงานเกี่ยวกับการอ้างการละเมิดข้อมูล Deutsche Bank ของกลุ่ม ransomware Unsafe และการโจมตี ransomware D1R ต่อ ARM ที่หลบเลี่ยงการยืนยันตัวตนสองขั้นตอน ต่างชี้ไปที่ปัญหาพื้นฐานเดียวกัน: ผู้โจมตีพบว่าการเดินผ่านประตูที่นักพัฒนาลืมล็อกนั้นง่ายกว่าการบังคับให้มันเปิด

สิ่งนี้หมายความต่อข้อมูลสุขภาพของผู้ป่วยและผู้บริโภค

สำหรับบริษัทอย่าง Novo Nordisk ความเสี่ยงจากการรั่วไหลของข้อมูลรับรองนั้นเกินกว่าความน่าอับอายขององค์กรทั่วไป บริษัทยาจัดการข้อมูล sensitive ที่เชื่อมโยงกับการวิจัยทางคลินิก การผลิต และในหลายกรณีข้อมูลที่เชื่อมโยงกับผู้ป่วยที่พึ่งพายาของพวกเขา เมื่อกลุ่มกรรโชกทรัพย์เข้าถึงภายในผ่านโทเค็นที่รั่วไหล การเปิดเผยนั้นสามารถแผ่ขยายออกไปยังพันธมิตร ผู้ให้บริการด้านสุขภาพ และท้ายที่สุดคือผู้ที่ข้อมูลสุขภาพของพวกเขาอยู่ในระบบเหล่านั้น

การละเมิดนี้เพิ่มเข้าไปในรายการเหตุการณ์ที่เพิ่มขึ้นซึ่งส่งผลกระทบต่อภาคสุขภาพและยา การรายงานก่อนหน้านี้ให้รายละเอียดว่าBoston Scientific และ McKesson ต่างยืนยันการละเมิดที่เปิดเผยข้อมูลผู้ป่วย และกลุ่ม ShinyHunters โจมตี Abbott และ NAIC ผ่านช่องโหว่ Oracle ซึ่งรบกวนการวิจัยยารักษามะเร็งในกระบวนการ แต่ละเหตุการณ์ใช้จุดเข้าทางเทคนิคที่แตกต่างกัน แต่ผลลัพธ์เหมือนกัน: ข้อมูลสุขภาพที่ sensitive ตกไปอยู่ในมือของคนที่ไม่สิทธิ์โดยชอบธรรม

ผู้บริโภคที่ใช้ยาที่ผลิตโดยบริษัทยาขนาดใหญ่มักมี visibility หรือการควบคุมที่จำกัดต่อวิธีที่บริษัทเหล่านั้นรักษาความปลอดภัยของ pipeline การพัฒนาภายใน สิ่งนี้ทำให้สมเหตุสมผลที่จะสันนิษฐานว่าองค์กรใดก็ตามที่จัดการข้อมูลสุขภาพจะปลอดภัยเท่ากับข้อมูลลับของนักพัฒนาที่อ่อนแอที่สุด และดำเนินการตามนั้นเมื่อได้รับแจ้งการละเมิด

องค์กรและบุคคลสามารถลดการเปิดเผยจากการรั่วไหลของข้อมูลรับรองได้อย่างไร

สำหรับองค์กร การแก้ไขไม่ใช่เรื่องแปลกใหม่ ทีมรักษาความปลอดภัยแนะนำเป็นประจำให้หมุนเวียนข้อมูลรับรองตามกำหนดเวลาสม่ำเสมอ สแกนที่เก็บโค้ดและสคริปต์ฝั่งไคลเอนต์เพื่อหาข้อมูลลับที่เปิดเผยก่อนการปรับใช้ และเปลี่ยนจากโทเค็นที่ฝังตายตัวไปใช้เครื่องมือจัดการข้อมูลลับแบบรวมศูนย์ที่ออกข้อมูลรับรองอายุสั้นและเพิกถอนได้ ไม่มีคำแนะนำใดใหม่ แต่การเกิดซ้ำของการละเมิดเหล่านี้แสดงให้เห็นว่าการบังคับใช้อย่างสม่ำเสมอในทีมวิศวกรรมขนาดใหญ่ยังคงยากลำบากเพียงใด

สำหรับบุคคล การตอบสนองในทางปฏิบัติต่อข่าวอย่างการละเมิดข้อมูล Novo Nordisk ที่เกี่ยวข้องกับโทเค็น GitHub นั้นตรงไปตรงมา จับตาดูจดหมายแจ้งการละเมิดจากบริษัทยา ร้านขายยา หรือแผนสุขภาพใดก็ตามที่คุณเกี่ยวข้อง และให้ความสำคัญกับมันแม้ว่าจดหมายจะดูเป็นเรื่องปกติ ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับพอร์ทัลสุขภาพและเปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ เฝ้าระวังบัญชีที่เชื่อมโยงกับใบสั่งยา ประกัน และการเรียกเก็บเงินสำหรับกิจกรรมที่ผิดปกติ เนื่องจากข้อมูลที่ถูกขโมยจากเหตุการณ์เหล่านี้มักปรากฏในภายหลังในแคมเปญ phishing หรือความพยายามขโมยตัวตน

ประเด็นสำคัญ

การละเมิดของ Novo Nordisk เป็นเครื่องเตือนใจว่าผู้โจมตีไม่จำเป็นต้องมีเครื่องมือขั้นสูงเพื่อบุกรุกบริษัทขนาดใหญ่เสมอไป บางครั้งข้อมูลรับรองที่ถูกลืมเพียงรายการเดียวก็เพียงพอ หากคุณใช้ผลิตภัณฑ์จาก Novo Nordisk หรือบริษัทด้านสุขภาพและยาอื่น ๆ คอยติดตามการแจ้งเตือนการละเมิดอย่างเป็นทางการ ตรวจสอบการตั้งค่าความปลอดภัยของบัญชีที่เกี่ยวข้อง และปฏิบัติต่ออีเมลที่ไม่คาดคิดซึ่งอ้างถึงใบสั่งยาหรือประวัติทางการแพทย์ของคุณด้วยความระมัดระวังเป็นพิเศษ เนื่องจากรูปแบบที่เห็นในการละเมิดอื่น ๆ ที่เกี่ยวข้องกับสุขภาพ จึงควรตรวจสอบเป็นระยะว่าบัญชีที่เกี่ยวข้องกับสุขภาพของคุณได้รับการรักษาความปลอดภัยอย่างไร แทนที่จะรอให้จดหมายแจ้งเตือนกระตุ้นให้ดำเนินการ