Salesforce-Exposition weitet sich nach Klue-Breach und Token-Diebstahl aus

Eine wachsende Zahl von Organisationen wurde als betroffen identifiziert, nachdem Angreifer den Anwendungsanbieter Klue kompromittiert und gestohlene OAuth-Tokens genutzt hatten, um auf die Salesforce-Umgebungen von Kunden zuzugreifen, wie aus aktuellen Berichten hervorgeht. Der Vorfall zeigt, wie sich ein Angriff auf einen Drittanbieter von Software schnell auf nachgelagerte Kunden auswirken kann, die auf integrierte Cloud-Dienste angewiesen sind.

OAuth-Tokens werden häufig verwendet, damit Anwendungen eine Verbindung zu Geschäftsplattformen herstellen können, ohne dass Benutzer wiederholt Passwörter eingeben müssen. In diesem Fall scheint sich dieser Komfort jedoch als Schwachstelle erwiesen zu haben: Nachdem die Tokens erlangt worden waren, konnten die Angreifer damit auf Salesforce-Daten von Klue-Kunden zugreifen. Sicherheitsforscher und Experten für die Reaktion auf Sicherheitsvorfälle erklären, dass das Ausmaß der Gefährdung nun größer ist als zunächst angenommen.

Obwohl die Einzelheiten zum vollständigen Umfang des Datendiebstahls weiterhin begrenzt sind, verstärkt der Vorfall die Bedenken hinsichtlich Angriffen nach dem Muster von Lieferkettenangriffen, die auf Softwareanbieter und Cloud-Integrationen abzielen. Solche Ereignisse beginnen häufig nicht mit einem direkten Eindringen in die betroffene Organisation selbst. Stattdessen kompromittieren Angreifer einen vertrauenswürdigen Dienstanbieter und bewegen sich anschließend über autorisierte Verbindungen in die Systeme der Kunden.

Warum der Vorfall wichtig ist

• Er verdeutlicht das Risiko des Zugriffs von Drittanbieteranwendungen auf Unternehmensplattformen.

• Er unterstreicht, wie wichtig die Überwachung und Begrenzung von Verbindungen auf OAuth-Basis ist.

• Er deutet darauf hin, dass Angreifer weiterhin Cloud-Identitäten und Integrationskontrollen ins Visier nehmen.

Organisationen, die verbundene Anwendungen nutzen, werden aufgefordert, aktive Integrationen zu überprüfen, gegebenenfalls Zugangsdaten zu rotieren und Protokolle auf ungewöhnliche Salesforce-Aktivitäten zu untersuchen. Sicherheitsteams wird außerdem empfohlen, den Zugriffsberechtigungen von Anbietern besondere Aufmerksamkeit zu schenken und nicht mehr benötigte Verbindungen zu entfernen.

Der mit Klue verbundene Angriff ist das jüngste Beispiel dafür, wie eine einzige Kompromittierung zu mehreren nachgelagerten Opfern führen kann, insbesondere in Umgebungen, in denen Geschäftsdaten über vertrauenswürdige APIs und Tools von Drittanbietern geteilt werden.