Niebezpiecznik

Santander i Ticketmaster (LiveNation) to firmy, które zostały zhackowane i wykradziono im dane kilkudziesięciu milionów (!) klientów lub pracowników. Wyciekły informacje o rachunkach, numery kart płatniczych i oczywiście dane osobowe. Włamywacze, kryjący się pod nazwą ShinyHunters (UNC5537), twierdzą, że zhackowali pracownika firmy Snowflake i dzięki temu byli w stanie wygenerować tokeny, które pozwoliły im ominąć uwierzytelnienie przez Oktę i dały im dostęp do baz klientów chmury Snowflake, w tym Santandera i Ticketmastera (ale ofiar jest więcej). Snowflake zaprzecza, wskazuje że atakujący użyli haseł wykradzionych klientom bezpośrednio i podaje IoC, po których klienci mogą sprawdzić, czy byli celem ataków tej grupy.

Zacznijmy od Ticketmastera

Ticketmaster to znana amerykańska firma zajmująca się sprzedażą biletów na różne wydarzenia. Zdarzyło nam się już o niej pisać w kontekście wycieku danych kartowych, który miał miejsce w 2018 r. W sprawie ataku spółka nie wydała żadnego oświadczenia, poza formularzem 8-K złożonym przez spółkę-matkę, Live Nation Inc. do Amerykańskiej Komisji Papierów Wartościowych i Giełd (SEC). Na tym formularzu zgłasza się zdarzenia, które mogą mieć wpływ na działalność podmiotu, a zatem inwestorzy powinni być ich świadomi. Oto co w nim możemy przeczytać:

20 maja zidentyfikowano nieautoryzowaną aktywność  w środowisku chmurowej bazy danych podmiotu trzeciego, które zawierało dane firmy (głównie Ticketmastera (…)) i uruchomiono śledztwo wspólnie z zewnętrznymi analitykami, aby zrozumieć co się stało. 27 maja atakujący zaoferował na sprzedaż w dark webie coś, co jego zdaniem stanowiło dane użytkowników. Na dzień złożenia tego wniosku, zdarzenie to nie miało, i nie uważamy, aby miało prawdopodobnie, istotnego wpływu na nasze ogólne operacje biznesowe ani na naszą kondycję finansową lub wyniki operacyjne. Kontynuujemy ocenę ryzyk, a nasze działania naprawcze są w toku.

Z analizy dumpu udostępnionego przez włamywacza wynika, że pozyskano 1,3 TB danych z informacjami na temat 560 milionów klientów. Oto rodzaje pozyskanych danych:

– Imię i nazwisko
– Adres E-mail
– Adres zamieszkania
– Numer telefonu
– Hash numeru karty płatniczej oraz 4 ostatnie cyfry
– Historia transakcji

Santander miał ten san problem

Bank wydał oficjalne oświadczenie w sprawie ataku. W Polsce o tym wycieku niewiele mówiono bo dotyczył on klientów z Chile, Hiszpanii i Urugwaju oraz niektórych byłych pracowników banku. Wykradzione dane mają obejmować rekordy o 30 milionach klientów, 6 milionach kont i 28 milionach kart kredytowych.

Skąd wiadomo, że dane pochodzą z usługi Snowflake?

Ani Ticketmaster, ani Santader w swoich oświadczeniach nie wskazały na to, że źródłem wykradzionych danych jest Snowflake. Skąd to wiadomo? Bo taką informację, powołując się na rozmowę z włamywaczem, opublikowała firma Hudson Rock.

Tej informacji w oryginale nie podlinkujemy, bo post został już zdjęty (ponoć ze względu na pismo od działu prawnego Snowflake) — ale podlinkujemy kopię. Przyczyną zdjęcia posta niekoniecznie mógł być sam fakt ujawnienia, że to Snowflake jest źródłem dla wykradzionych danych, ale inne treści, które w tym poście się znajdowały: że atak miał być możliwy dzięki wykorzystaniu danych uwierzytelniających jednego z pracowników Snowflake. Dostawca chmury oficjalnie temu zaprzeczył, wskazując że atakujący dane pobrali korzystając z dostępów ofiar, które nie miały aktywnego 2FA, a nie pracownika Snowflake.

Czy Snowflake jest winny?

W oświadczeniu, które jest wspólnym oświadczeniem zarówno Snowflake jak i CrowdStrike oraz Mandiant, przeczytać można, że:

• nie znaleziono dowodów sugerujących, że “aktywność” była spowodowana luką w zabezpieczeniach, błędną konfiguracją lub naruszeniem platformy Snowflake;
• nie znaleziono dowodów sugerujących, że aktywność była spowodowana przejęciem danych uwierzytelniających obecnych lub byłych pracowników Snowflake;
• miała miejsce “kampania” zorientowana na użytkowników niekorzystających z 2FA;
• faktycznie, znaleziono dowody na to, że sprawca zdobył dane uwierzytelniające i uzyskał dostęp do kont demo należących do byłego pracownika Snowflake. Ale konta te nie zawierały danych wrażliwych. Konta demo nie są połączone z produkcyjnymi ani korporacyjnymi systemami Snowflake. Dostęp był możliwy, ponieważ konto demo nie było zabezpieczone przez Okta ani uwierzytelnianie wieloskładnikowe (MFA), w przeciwieństwie do systemów korporacyjnych i produkcyjnych.

Klienci Snowflake, których dotknął problem, zostali poinformowani o problemach, a Snowflake zalecił im wprowadzenie logowania wieloskładnikowego na wszystkich kontach i ograniczenie dostępu do konkretnych adresów IP. Niektóre firmy mogą być zmuszone do zresetowania danych uwierzytelniających do usług Snowflake.

Czyli:

Snowflake nie zaprzecza, że mogło dojść wycieków danych jego klientów z jego chmury. Nawet potwierdza, że jakieś “złośliwe aktywności” miały miejsce. Ale wskazuje też, że to nie wina chmury a braku odpowiedniej konfiguracji konta po stronie ofiar. Ofiary nie miały włączonego dwuskładnikowego uwierzytelnienie i ktoś jakoś wykradł im loginy i hasła.

Sprawę skomentował Kevin Beaumont, który na Mastodonie skrytykował Snowflake za “okropny” sposób włączania logowania wieloskładnikowego. Beaumont zamieścił też wpis na swoim blogu, w którym stwierdza, że doszło do największego wycieku w historii. Ten incydent podnosi ciekawą kwestię: czy dostawca tak istotnych usług jak Snowflake powinien w ogóle pozwalać klientom na korzystanie z usługi bez wymuszenia aktywacji 2FA?

Zanim zagłębicie się w tej refleksji, sprawdźcie, czy wszędzie gdzie się da macie aktywne 2FA, a jeśli dostawca usługi oferuje zawężenie dostępu do konkretnych adresów IP, to ten mechanizm też skonfigurujcie.

Aktualizacja (11.06.2024 10:20)
Mandiant w swoim artykule potwierdza wcześniejsze informacje, których udzielił Snowflake i dodaje, że poszkodowanych w tej serii ataków jest 165 firm, a niektóre z haseł użytych do ataku były w stealer logach od 2020 roku. Będzie się działo w najbliższych dniach…

Kupowałem w Ticketmasterze/Livenation — co robić, jak żyć?

Jako porady, zacytujemy tu fragment naszego zamkniętego newslettera dla firm. Tak, mamy taką tajną usługę “wczesnego ostrzegania“, w ramach której — zanim jakiś temat publicznie wybuchnie — robimy analizy i ostrzegamy naszych klientów przed ewentualnymi negatywnymi skutkami, które mogą mieć wpływ na ich biznes, ich pracowników lub ich klientów. Jeśli chcecie otrzymywać takie alerty, to napiszcie do nas pod adres tajny@niebezpiecznik.pl.

Zagrożenie dla osób, których dane znalazły się w wycieku:
– utrata prywatności przez ustalenie do kogo należy dany nr telefonu lub pod jakim adresem ktoś mieszka. Te dane mogą zostać wykorzystane do ataków spoofingowych lub phishingowych a także do korelacji z innymi wyciekami
– możliwość wykorzystania informacji o karcie płatniczej do nieautoryzowanego uwierzytelnienia się w serwisie, w którym właściciel karty podpiął ją jako metodę płatności (Atakujący mogą wykorzystać mechanizm odzyskiwania dostępu do konta z wykorzystaniem supportu serwisu, symulując utratę kontroli nad podanym adresem e-mail i numerem telefonu. Wtedy często pytaniem weryfikacyjnym jest pytanie o 4 ostatnie cyfry karty płatniczej)

Rekomendacje:
– Ustalić, czy ktoś w organizacji korzystał z usług ww. firm do zakupu biletów i jakie informacje podał w swoim profilu,
– Usunąć karty płatnicze wykorzystywane do zakupu biletów z serwisów, pod które zostały podpięte. W niektórych bankach można wejść w historię transakcji dla danej karty i w ten sposób ustalić gdzie dokonywane są regularne płatności tą kartą. Karty nie trzeba zastrzegać, ujawnione dane nie pozwalają na jej nieautoryzowane obciążenie.
– Uczulić poszkodowanych na próby kontaktu na nr telefonu lub adres e-mail znajdujące się w wycieku. Oszuści mogą próbować uwierzytelniać się jako pracownicy różnych firm świadczących nam usługi, cytując na dowód dane karty płatniczej.

Z tymi rekomendacjami subskrybenci naszego tajnego newslettera zapoznali się na długo przed publikacją tego artykułu. Wy też możecie, jeśli chcecie — piszcie na tajny@niebezpiecznik.pl (ale żeby nie było rozczarowania, to jest usługa płatna).