Mandiant teigia, kad įsilaužėliai pavogė „didelę duomenų dalį“ iš „Snowflake“ klientų
Saugumo tyrinėtojai teigia manantys, kad finansiškai motyvuoti kibernetiniai nusikaltėliai pavogė „didelį duomenų kiekį“ iš šimtų klientų, talpinančių savo didžiulius duomenų bankus debesų saugyklos milžine „Snowflake“.
Reagavimo į incidentus įmonė „Mandiant“, bendradarbiaujanti su „Snowflake“, siekdama ištirti pastarojo meto duomenų vagysčių mastą, pirmadienį savo tinklaraščio įraše nurodė, kad dvi įmonės pranešė apie 165 klientams, kad jų duomenys galėjo būti pavogti.
Tai pirmas kartas, kai buvo atskleistas paveiktų „Snowflake“ klientų skaičius nuo tada, kai balandžio mėnesį prasidėjo įsilaužimai į paskyrą. „Snowflake“ iki šiol mažai kalbėjo apie išpuolius, tik kad nukentėjo „ribotas skaičius“ jos klientų. Debesų duomenų milžinė turi daugiau nei 9 800 verslo klientų, tokių kaip sveikatos priežiūros organizacijos, mažmeninės prekybos gigantai ir kai kurios didžiausios pasaulyje technologijų įmonės, kurios naudoja „Snowflake“ duomenų analizei.
Iki šiol tik „Ticketmaster“ ir „LendingTree“ patvirtino duomenų vagystes, kai jų pavogti duomenys buvo talpinami „Snowflake“. Keletas kitų „Snowflake“ klientų teigia, kad šiuo metu tiria galimas duomenų vagystes iš „Snowflake“ aplinkos.
Mandiant teigė, kad grėsmės kampanija „vyksta“, o tai rodo, kad „Snowflake“ verslo klientų, pranešančių apie duomenų vagystes, skaičius gali didėti.
Savo tinklaraščio įraše „Mandiant“ paskyros įsilaužimą priskyrė UNC5537 – dar neklasifikuotai kibernetinių nusikaltėlių gaujai, kurią, pasak saugos įmonės, motyvuoja užsidirbti pinigų. Gauja, į kurią, anot Mandiant, priklauso nariai Šiaurės Amerikoje ir bent vienas narys Turkijoje, bando priversti savo aukas susimokėti, kad susigrąžintų savo failus arba neleistų viešai skelbti savo klientų duomenų.
Mandiant patvirtino, kad atakos, kurios remiasi „pavogtų kredencialų naudojimu norint pasiekti kliento Snowflake egzempliorių ir galiausiai išfiltruoti vertingus duomenis“, prasidėjo mažiausiai balandžio 14 d., kai jos tyrėjai pirmą kartą nustatė netinkamos prieigos prie neįvardyto Snowflake kliento aplinkos įrodymų. . „Mandiant“ pranešė, kad „Snowflake“ į savo klientų paskyros įsilaužimus pranešė gegužės 22 d.
Apsaugos įmonė teigė, kad dauguma pavogtų kredencialų, kuriuos naudojo UNC5537, „buvo prieinami dėl istorinių informacijos vagysčių užkrėtimo“, o kai kurie datuojami net 2020 m. „Mandiant“ išvados patvirtina, kad „Snowflake“ atskleidė ribotą informaciją, kurioje teigiama, kad nebuvo tiesioginio „Snowflake“ sistemų pažeidimo. tačiau apkaltino savo klientų paskyras, kad jos nenaudoja kelių veiksnių autentifikavimo (MFA).
Praėjusią savaitę „TechCrunch“ internete aptiko šimtus „Snowflake“ klientų kredencialų, pavogtų kenkėjiškų programų, kurios užkrėtė darbuotojų, turinčių prieigą prie darbdavio „Snowflake“ aplinkos, kompiuterius. Internete pasiekiamų kredencialų, susietų su „Snowflake“ aplinkomis, skaičius rodo, kad klientams, kurie dar nepakeitė slaptažodžių arba neįjungė MFA, kyla pavojus.
„Mandiant“ teigė, kad taip pat matė „šimtus klientų Snowflake kredencialų, kurie buvo atskleisti per informacijos vagystes“.
Savo ruožtu „Snowflake“ nereikalauja, kad jos klientai naudotų saugos funkciją pagal numatytuosius nustatymus arba priverstų ją naudoti. Trumpame penktadienio atnaujinime „Snowflake“ teigė, kad „kuria planą“, kaip užtikrinti, kad MFA būtų naudojama savo klientų sąskaitose, tačiau dar nepateikė termino.
„Snowflake“ atstovė spaudai Danica Stanczak atsisakė pasakyti, kodėl bendrovė nenustatė klientų slaptažodžių iš naujo arba neįgyvendino MFA. Snaigė ne iš karto pakomentavo Mandiant tinklaraščio įrašą pirmadienį.
Ar žinote daugiau apie „Snowflake“ paskyros įsibrovimus? Susisiekti. Norėdami susisiekti su šiuo reporteriu, susisiekite su Signal ir WhatsApp telefonu +1 646-755-8849 arba el. paštu. Taip pat galite siųsti failus ir dokumentus naudodami „SecureDrop“.
