Lỗ hổng OAuth của Klue tiếp tay cho vụ đánh cắp dữ liệu Salesforce CRM của nhóm Icarus
Một vụ tấn công khai thác lỗ hổng OAuth đã được xác nhận tại nền tảng thông tin thị trường Klue, cho phép nhóm tin tặc có tên "Icarus" truy cập trái phép vào dữ liệu Salesforce CRM của nhiều tổ chức. Hiện những kẻ tấn công đang tiến hành một chiến dịch tống tiền chủ động nhắm vào các doanh nghiệp bị ảnh hưởng, khiến đây trở thành một trong những sự cố xâm phạm SaaS bên thứ ba nghiêm trọng nhất thời gian gần đây. Vụ việc là tín hiệu rõ ràng cho thấy con đường ít trở ngại nhất để xâm nhập dữ liệu doanh nghiệp ngày càng thông qua các tích hợp phần mềm đáng tin cậy, thay vì tấn công trực tiếp vào mạng.
Cách lỗ hổng OAuth của Klue trao cho Icarus quyền truy cập dữ liệu Salesforce CRM
OAuth là một tiêu chuẩn ủy quyền được áp dụng rộng rãi, cho phép các ứng dụng bên thứ ba truy cập tài nguyên thay mặt người dùng mà không để lộ trực tiếp thông tin đăng nhập. Trong trường hợp này, Klue, đơn vị cung cấp công cụ thông tin cạnh tranh mà các tổ chức kết nối với hệ thống nội bộ của họ, đã gặp sự cố xâm phạm trong quá trình triển khai OAuth. Sự cố đó đã mở ra cánh cửa để Icarus bước qua và tiến vào môi trường Salesforce CRM của nhiều doanh nghiệp.
Cơ chế ở đây rất quan trọng. Một khi kẻ tấn công làm tổn hại token OAuth hoặc khai thác lỗ hổng trong cách token được cấp phát hay xác thực, chúng sẽ thừa hưởng các quyền mà token đó mang theo. Nếu Klue được cấp quyền truy cập rộng rãi vào phiên bản Salesforce của khách hàng – điều mà các công cụ thông tin thị trường thường yêu cầu để lấy dữ liệu bán hàng và đường ống – thì Icarus gần như có được cùng mức truy cập đó mà không kích hoạt các cảnh báo đăng nhập thông thường mà đội ngũ an ninh vẫn dựa vào.
Hành vi tống tiền diễn ra sau khi đánh cắp dữ liệu. Icarus dường như đang vận hành theo một kịch bản rõ ràng: trích xuất dữ liệu CRM nhạy cảm và sau đó gây áp lực buộc các tổ chức nạn nhân phải trả tiền để ngăn chặn việc phát tán hoặc lạm dụng.
Vì sao tích hợp SaaS bên thứ ba là bề mặt tấn công ngày càng mở rộng
Vụ xâm phạm Klue khớp với một mô hình mà các chuyên gia an ninh đã cảnh báo nhiều năm qua. Các doanh nghiệp thường xuyên kết nối hàng chục nền tảng SaaS với các hệ thống kinh doanh cốt lõi như Salesforce, thường cấp cho những nền tảng đó các quyền rộng rãi trong quá trình triển khai và không bao giờ xem xét lại các quyền đó sau khi hoàn tất. Mỗi kết nối như vậy đều là cây cầu tiềm ẩn giữa dữ liệu nhạy cảm nhất của bạn và tình trạng an ninh của một bên khác.
Điều này đôi khi được gọi là bài toán "chuỗi cung ứng" đối với phần mềm đám mây. Hệ thống phòng thủ của tổ chức bạn có thể vững chắc, nhưng một nhà cung cấp với biện pháp kiểm soát yếu hơn và một quyền truy cập OAuth rộng rãi vào CRM của bạn chính là một lối vào phụ. Những kẻ tấn công như Icarus hiểu rõ điều này và chủ động săn lùng nó.
Cũng cần lưu ý rằng những vụ xâm phạm này hiếm khi bắt đầu bằng các khai thác thuần túy kỹ thuật. Các chiến thuật social engineering, bao gồm các chiến dịch lừa đảo nhằm đánh cắp token OAuth hoặc lừa nhân viên cấp quyền cho các ứng dụng độc hại, thường đóng vai trò là điểm khởi đầu yếu tố con người trước khi bất kỳ thao tác kỹ thuật nào diễn ra. Lừa đảo OAuth riêng lẻ đã trở nên tinh vi hơn, khi kẻ tấn công tạo ra các màn hình đồng ý giả mạo bắt chước quy trình ủy quyền ứng dụng hợp pháp.
Dữ liệu nào đã bị lộ và những tổ chức nào đang gặp rủi ro
Hệ thống Salesforce CRM lưu giữ một số dữ liệu nhạy cảm nhất về mặt thương mại mà một doanh nghiệp quản lý: đường ống bán hàng, hồ sơ liên hệ khách hàng, giá trị thương vụ, ghi chú nội bộ về khách hàng tiềm năng và các kế hoạch tài khoản chiến lược. Đối với Icarus, đó chính xác là loại tư liệu tạo ra đòn bẩy tối đa trong kịch bản tống tiền. Nạn nhân không chỉ đối mặt với rủi ro về danh tiếng mà còn bị tổn hại cạnh tranh nếu thông tin nhạy cảm về thương vụ đến tay đối thủ hoặc bị công khai.
Vụ xâm phạm ảnh hưởng đến nhiều tổ chức đã kết nối Klue với môi trường Salesforce của họ, dù phạm vi đầy đủ các nạn nhân chưa được xác nhận công khai. Bất kỳ công ty nào đã sử dụng nền tảng thông tin thị trường của Klue và cấp cho nó quyền truy cập tích hợp vào phiên bản Salesforce của mình nên tự coi là có khả năng bị ảnh hưởng cho đến khi có thể xác nhận điều ngược lại thông qua điều tra an ninh của chính mình.
Các tổ chức trong những lĩnh vực mà thông tin cạnh tranh là chức năng cốt lõi, bao gồm công nghệ, dịch vụ tài chính và phần mềm doanh nghiệp, thường là những đối tượng sử dụng nhiều nền tảng như Klue và nên ưu tiên rà soát.
Phòng thủ theo lớp: Zero-Trust, VPN và củng cố kết nối OAuth
Sự cố Klue và Icarus củng cố lý do vì sao phương pháp bảo mật nhiều lớp không phải là tùy chọn đối với các doanh nghiệp xử lý dữ liệu CRM và khách hàng nhạy cảm. Một số biện pháp kiểm soát đặc biệt liên quan ở đây.
Thứ nhất, vấn đề vệ sinh cấp quyền OAuth cần được chú ý ngay lập tức. Các tổ chức nên rà soát mọi ứng dụng bên thứ ba đang giữ kết nối OAuth đang hoạt động tới các hệ thống cốt lõi như Salesforce. Thu hồi những quyền không còn cần thiết và áp dụng nguyên tắc đặc quyền tối thiểu cho những quyền còn lại. Các quyền được giới hạn, thu hẹp phạm vi sẽ giảm bán kính ảnh hưởng nếu bất kỳ nhà cung cấp kết nối nào bị xâm phạm.
Thứ hai, các mô hình truy cập zero-trust giả định rằng không có kết nối nào, dù nội bộ hay bên ngoài, tự động đáng tin cậy. Áp dụng xác minh liên tục cho các kết nối API và tích hợp SaaS, thay vì coi các token OAuth đã được ủy quyền là an toàn mặc định, có thể giúp phát hiện hành vi bất thường ngay cả khi thông tin xác thực có vẻ hợp pháp.
Thứ ba, các đường hầm mạng mã hóa bổ sung một lớp bảo vệ cho dữ liệu đang truyền giữa các hệ thống tích hợp. Các giao thức như SSTP, định tuyến lưu lượng qua mã hóa SSL/TLS, là một ví dụ về cách các tổ chức có thể củng cố lớp mạng giữa các nền tảng kết nối, giảm nguy cơ bị chặn bắt ngay cả khi thông tin xác thực cấp ứng dụng bị liên lụy.
Cuối cùng, việc giám sát các mẫu truy cập dữ liệu bất thường trong chính Salesforce, bao gồm xuất hàng loạt, các lệnh gọi API ngoài dự kiến, hoặc truy cập từ những ứng dụng khách OAuth lạ, có thể cung cấp cảnh báo sớm về một vụ xâm phạm đang diễn ra.
Điều này có ý nghĩa gì với bạn
Nếu tổ chức của bạn sử dụng các tích hợp SaaS bên thứ ba kết nối với Salesforce hoặc bất kỳ nền tảng CRM nào khác, vụ xâm phạm này là một lời nhắc hành động trực tiếp. Chiến dịch của Icarus cho thấy những kẻ tấn công không chờ bạn mắc sai lầm rõ ràng. Chúng đang khai thác các mối quan hệ tin cậy giữa những nhà cung cấp phần mềm mà bạn sử dụng hàng ngày.
Hãy bắt đầu bằng việc lấy danh sách đầy đủ các ứng dụng OAuth được phép truy cập vào môi trường Salesforce của bạn. Xem xét từng ứng dụng về tính cần thiết, phạm vi quyền, và tình trạng an ninh của nhà cung cấp đứng sau nó. Sau đó thiết lập một quy trình định kỳ để thực hiện việc rà soát này, chứ không chỉ là một cuộc kiểm tra một lần.
Hiểu cách các cuộc tấn công như thế này bắt đầu cũng quan trọng không kém. Vì social engineering thường đi trước các khai thác kỹ thuật, việc đào tạo nhân viên nhận diện lừa đảo OAuth và các yêu cầu ủy quyền đáng ngờ là một bước thiết thực, có tác động cao mà không đòi hỏi ngân sách lớn. Phòng thủ nhiều lớp chỉ hiệu quả khi lớp con người được bao gồm.
