Neznámý útočník celý rok procházel portály Salesforce a ServiceNow. Zneužíval hostující účty s širšími oprávněními, než bylo nutné, a pomocí vlastních nástrojů z nich získával dostupná data.
Hostující účet je určený návštěvníkům nebo externím uživatelům, kteří nemají běžný zaměstnanecký účet. V napadených prostředích mohl takový účet zobrazovat nebo stahovat obsah, k němuž neměl mít přístup. Útočník portály neprocházel jen ručně. Vytvořil si nástroje, které opakovaně sbíraly vše, co jim oprávnění účtů dovolila.
Z popisu nevyplývá, že by útočník prolomil samotné služby Salesforce nebo ServiceNow. Slabým místem byla oprávnění nastavená v konkrétních portálech. Aktualizace produktu proto nemusí problém vyřešit, pokud administrátor ponechá hostujícímu účtu přístup k interním záznamům, přílohám nebo vyhledávání.
Identita útočníka ani rozsah zasažených organizací nejsou ve zprávě uvedeny. Chybí také informace o tom, jaká data se podařilo získat a zda byla zveřejněna nebo použita k dalším útokům. Nejsou známé ani náklady, přesné časové období a podmínky, za kterých k přístupu docházelo.
Malé firmy kvůli zprávě nemusí měnit účet u Salesforce nebo ServiceNow. Měly by ale zkontrolovat hostující a anonymní přístupy, zejména u portálů napojených na zákaznická nebo servisní data. Potřeba okamžité změny konfigurace závisí na konkrétním nastavení. Zpráva neuvádí technické indikátory útoku ani postup, jak ověřit, zda se týkal určitého účtu.
Zašifrovaná data a výzva k platbě: první hodiny rozhodují o tom, jestli budete mimo provoz dva dny, nebo dva týdny. Konkrétní postup, co dělat, koho volat, proč hned neplatit a jak obnovit provoz ze záloh.
Útočníci málokdy potřebují neznámou díru, stačí jim, co firma zanedbá. K tomu se za poslední rok zpřísnila pravidla. Co konkrétně zavést, aby se přes vás nedostali a abyste byli v souladu.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
