Ne Oldu: Salesforce ve ServiceNow Maruziyeti

Help Net Security'den yakın tarihli bir haftalık güvenlik özeti, yalnızca kısaca değinilmeyi hak eden bir haberi öne çıkardı: Salesforce ve ServiceNow müşteri portalları, sorun gün ışığına çıkmadan önce yaklaşık 17 ay boyunca açıkta kaldı. Sömürülen bir Metabase sıfırıncı gün açığını ve GitHub'ın Dependabot kötü amaçlı yazılım uyarılarının genişlemesini de kapsayan özet, bu öğeleri bir nedenle gruplandırdı. Her biri aynı temel sorunun farklı bir yönünü gösteriyor: kurumsal yazılım platformları, ister kendi barındırdığınız analitik araçlar, ister kod depoları veya bulut CRM sistemleri olsun, yalnızca arkalarındaki yapılandırmalar ve satıcı uygulamaları kadar güvenlidir.

Salesforce ve ServiceNow, büyük kuruluşlarda müşteri ilişkilerini, destek biletlerini ve dahili iş akışlarını yönetmek için en yaygın kullanılan iki platformdur. Bu platformlar üzerine inşa edilen portallar açığa çıktığında, sonuçlar yalnızca onları çalıştıran şirketle sınırlı kalmaz. Portalın nasıl yapılandırıldığına ve hangi verileri sakladığına bağlı olarak, maruziyet müşteri adlarına, iletişim bilgilerine, destek geçmişlerine ve bireylerin sızdıran şirkete doğrudan asla teslim etmediği diğer kayıtlara ulaşabilir. Kurumsal veri ihlali maruziyeti vakalarındaki temel gerilim budur: verileri risk altında olan kişinin genellikle ilgili platformda doğrudan hesabı veya kimlik bilgileri yoktur. Yalnızca etkileşimde bulundukları bir işletmenin bilgileri saklamak için bu platformu seçmesi nedeniyle maruz kalırlar.

17 Aylık Keşif Gecikmesi Tüketici Gizliliği İçin Neden Önemli

Bu haberdeki en çarpıcı ayrıntı maruziyetin kendisi değil, süresidir. On yedi ay, yanlış yapılandırılmış veya savunmasız bir portalın tespit edilmeden erişilebilir durumda kalması için uzun bir süredir. Bu süre zarfında, açıkta kalan sistemdeki herhangi bir veri, onu bulan herkes tarafından görüntülenebilir, kazınabilir veya kopyalanabilirdi ve etkilenen kuruluşun neye erişildiğini ve neyin yalnızca erişilebilir olduğunu kesin olarak bilmesinin çok az yolu olurdu.

Maruziyet ile keşif arasındaki bu boşluk, kurumsal güvenlik başarısızlıklarında yinelenen bir temadır ve tüketici gizliliği için son derece önemlidir. Günler içinde keşfedilen bir ihlal nispeten hızlı bir şekilde kontrol altına alınabilir: kimlik bilgileri sıfırlanır, erişim iptal edilir, etkilenen taraflar bilgilendirilir. Bir yıldan fazla süren bir ihlal, saldırganlara, kazıyıcılara ve fırsatçılara çok daha uzun bir pencere verir ve adli yeniden yapılandırmayı çok daha zor hale getirir. Güvenlik ekipleri genellikle verilere kaç kez veya kim tarafından erişildiğini güvenle söyleyemez; yalnızca kapının uzun süre açık bırakıldığını söyleyebilir. Bilgileri bu portallardan birinden geçen herkes için bu belirsizlik gerçek maliyettir.

Üçüncü Taraf ve Tedarik Zinciri Riski CRM Platformlarında Sürekli Yüzeye Çıkıyor

Bu izole bir model değil. CRM ve destek platformu maruziyetleri, tam olarak birçok kuruluşun hassas müşteri verilerini aynı birkaç üçüncü taraf sistemi üzerinden yönlendirmesi nedeniyle sürekli gün yüzüne çıkıyor. Bu katmanda bir şeyler ters gittiğinde, nadiren yalnızca bir şirketi etkiler; aynı platforma, entegrasyona veya satıcı ilişkisine güvenen her işletmeye dalga dalga yayılır.

Bu dinamiğin yakın tarihli net bir örneği, saldırganların üçüncü taraf bir satıcıyı ele geçirdiği ve çalınan OAuth belirteçlerini kullanarak LastPass'in kendi Salesforce ortamına eriştiği Klue aracılığıyla LastPass tedarik zinciri ihlali olayıdır. Bu olay ve 17 aylık Salesforce/ServiceNow maruziyeti aynı yapısal soruna işaret ediyor: kurumsal CRM platformları birçok şirketin veri akışının kesişim noktasında yer alır ve ister yanlış yapılandırma, ister yamalanmamış bir güvenlik açığı veya ele geçirilmiş bir satıcı entegrasyonu olsun, tek bir zayıf halka, portalın sahibi olan kuruluşun çok ötesindeki bilgileri açığa çıkarabilir.

Bu Sizin İçin Ne Anlama Geliyor

Salesforce, ServiceNow veya benzeri platformları kullanan bir şirkette hiç destek bileti gönderdiyseniz, iletişim formu doldurduysanız veya müşteri hizmetleriyle etkileşimde bulunduysanız, bilgilerinizin bir kısmı muhtemelen doğrudan hiç giriş yapmadığınız bir sistemde duruyordur. Bu, verilerinizi güvende tutmak için yalnızca kendi alışkanlıklarınıza değil, o şirketin satıcı seçimlerine ve güvenlik uygulamalarına bağımlı olduğunuz anlamına gelir.

Bir VPN sizi bu tür bir maruziyetten korumaz. VPN'ler kendi bağlantınızı ve tarama etkinliğinizi güvence altına alır; bir şirketin arka uç CRM sisteminde duran verileri korumak için hiçbir şey yapmazlar. Buradaki gerçekçi savunmalar farklıdır: iş yaptığınız şirketlerden gelen ihlal bildirimlerine dikkat edin, bir yerdeki sızıntının başka bir yerde kullanılamaması için her hesap için benzersiz parolalar kullanın ve sunulduğu her yerde çok faktörlü kimlik doğrulamayı etkinleştirin. Bu alışkanlıklar kurumsal taraftaki bir sızıntıyı önlemez, ancak bir saldırganın açığa çıkan herhangi bir veriyle yapabileceklerini keskin bir şekilde sınırlar.

Uygulanabilir Çıkarımlar

  • Hizmet sağlayıcılardan gelen ihlal bildirimlerini, etkilenen platformda doğrudan bir hesap oluşturduğunuzu hatırlamasanız bile ciddiye alın.
  • Hizmetler arasında kimlik bilgilerini benzersiz tutmak için bir parola yöneticisi kullanın; bu, herhangi bir kurumsal veri ihlali maruziyetinin patlama yarıçapını azaltır.
  • Kişisel veya finansal verilerinizi saklayan şirketlere bağlı hesaplarda çok faktörlü kimlik doğrulamayı etkinleştirin.
  • Bilgilerinizi paylaştığınız şirketleri ve portalları periyodik olarak gözden geçirin ve artık gerekli olmayan yerlerde veri silme talebinde bulunmayı düşünün.

Bu 17 aylık Salesforce ve ServiceNow maruziyeti gibi hikayeler, kurumsal veri ihlali maruziyetinin, etkilenen kişiler için genellikle çok sonrasına kadar görünmez olduğunu hatırlatıyor. Bu olayların nasıl geliştiği hakkında bilgi sahibi olmak ve yanıt olarak kendi hesap hijyeninizi sıkılaştırmak, bir sonraki ortaya çıktığında hasarı sınırlamanın en pratik yolu olmaya devam ediyor.