به گزارش کارگروه امنیت سایبربان؛ این شرکت در یک پست وبلاگی مفصل در روز جمعه گفته است که نقطه دسترسی اولیه نفوذگر، لپتاپ یکی از کارمندان این شرکت بوده است که با بدافزاری در معرض خطر قرار گرفته است که اجازه سرقت توکنهای جلسه مورد استفاده برای ورود کارمند به برنامههای خاص را میدهد، حتی اگر دسترسی به آنها با احراز هویت دومرحلهای محافظت شده باشد.
این شرکت مقصر این حادثه را شناسایی کرده و آن را شکست سیستمی نامیده است و میافزاید که نرمافزار آنتیویروس آن در شناسایی بدافزار دزد توکن در لپتاپ کارمند شکست خورده است.
توکنهای جلسه به کاربر اجازه میدهند بدون نیاز به واردکردن مجدد رمز عبور یا تأیید مجدد با استفاده از احراز هویت دومرحلهای در هر بار وارد سیستم شوند؛ اما یک توکن جلسه به سرقت رفته به یک نفوذگر اجازه میدهد تا بدون نیاز به رمز عبور یا کد دوعاملی، به همان دسترسی صاحب حساب، دسترسی داشته باشد. بهاینترتیب، تمایز بین توکن جلسه مالک حساب یا هکری که توکن را دزدیده ممکن است دشوار باشد.
این شرکت همچنین میگوید که سرقت توکن جلسه به مجرمان سایبری اجازه خواهد داد تا هویت کارمند را جعل کرده و به برخی از سیستمهای تولیدی شرکت که اطلاعات مشتریان را ذخیره میکنند دسترسی پیدا کنند.
راب زوبر، مدیر ارشد فناوری این شرکت میگوید:
ازآنجاییکه کارمند موردنظر دارای امتیازاتی برای تولید توکنهای دسترسی به تولید بهعنوان بخشی از وظایف عادی خود بوده است، شخص ثالث غیرمجاز قادر به دسترسی و استخراج دادهها از زیرمجموعهای از پایگاههای داده و فروشگاهها، ازجمله متغیرهای محیط مشتری، توکنها و کلیدها بوده است. این متجاوزان از 16 دسامبر تا 4 ژانویه به این اطلاعات دسترسی داشتهاند.
درحالیکه دادههای مشتریان رمزگذاری شدهاند، مجرمان سایبری کلیدهای رمزگذاری را که میتوانند اطلاعات مشتری را رمزگشایی کنند نیز به دست آوردهاند. ما مشتریانی را که هنوز اقدامی انجام ندادهاند تشویق میکنیم تا این کار را انجام دهند تا از دسترسی غیرمجاز به سیستمها و فروشگاههای شخص ثالث جلوگیری کنند.
زوبر در ادامه اضافه میکند که چندین مشتری قبلاً سیرکل سی آی را از دسترسی غیرمجاز به سیستمهای خود مطلع کرده بودند.
این کالبدشکافی چند روز پسازآن صورت میگیرد که این شرکت به مشتریان هشدار داده بود که همه اسرار ذخیرهشده در پلتفرم خود را از ترس اینکه هکرها کد مشتریان و سایر اسرار حساس مورد استفاده برای دسترسی به برنامهها و خدمات دیگر را دزدیده باشند، بچرخانند.
زوبر معتقد است که کارمندان این شرکت که دسترسی به سیستمهای تولیدی را حفظ میکنند، مرحلهها و کنترلهای احراز هویت اضافی را به حسابهای خود اضافه کردهاند؛ اتفاقی که باید از تکرار یک حادثه، احتمالاً با استفاده از کلیدهای امنیتی سختافزاری، جلوگیری کند.
نقطه دسترسی اولیه یعنی سرقت توکن در لپتاپ کارمند، شباهت زیادی به نحوه هک شدن غول مدیریت رمز عبور؛ لست پس (LastPass) دارد که همچنین شامل هدف قرار دادن دستگاههای کارمندان توسط یک فرد مهاجم میشود. البته هنوز مشخص نیست که آیا این دو حادثه به هم مرتبط هستند یا خیر. شرکت لست پس در ماه دسامبر تأیید کرده بود که انبارهای رمز عبور رمزگذاری شده مشتریانش در یک رخنه امنیتی به سرقت رفته است. لست پس میگوید که مهاجمان در ابتدا دستگاه و دسترسی حساب کارمندان را به خطر انداخته و به آنها اجازه میدادند تا به محیط توسعهدهنده داخلی لست پس نفوذ کنند.
