L'esposizione a Salesforce si amplia dopo la violazione di Klue e il furto di token
È stato identificato un numero crescente di organizzazioni colpite dopo che gli aggressori hanno compromesso il fornitore di applicazioni Klue e sfruttato token OAuth rubati per accedere agli ambienti...
Secondo recenti rapporti, è stato identificato un numero crescente di organizzazioni colpite dopo che gli aggressori hanno compromesso il fornitore di applicazioni Klue e sfruttato token OAuth rubati per accedere agli ambienti Salesforce dei clienti. L'incidente dimostra come una violazione presso un fornitore di software di terze parti possa propagarsi rapidamente ai clienti a valle che si affidano a servizi cloud integrati.
I token OAuth sono ampiamente utilizzati per consentire alle applicazioni di connettersi alle piattaforme aziendali senza richiedere agli utenti di inserire ripetutamente le password. In questo caso, tale comodità sembra essersi trasformata in una vulnerabilità: una volta ottenuti i token, gli aggressori sono riusciti a utilizzarli per accedere ai dati Salesforce associati ai clienti di Klue. I ricercatori di sicurezza e i responsabili della risposta agli incidenti affermano che l'entità dell'esposizione è ora più ampia di quanto inizialmente ritenuto.
Sebbene i dettagli sull'entità complessiva del furto di dati restino limitati, l'incidente alimenta le preoccupazioni sugli attacchi alla catena di fornitura rivolti ai fornitori di software e alle integrazioni cloud. Questi eventi spesso non iniziano con un'intrusione diretta nell'organizzazione vittima. Gli autori delle minacce compromettono invece un fornitore di servizi considerato affidabile e si spostano poi attraverso connessioni autorizzate nei sistemi dei clienti.
Perché l'incidente è importante
Mette in evidenza il rischio associato all'accesso delle applicazioni di terze parti alle piattaforme aziendali.
Sottolinea l'importanza di monitorare e limitare le connessioni basate su OAuth.
Suggerisce che gli aggressori continuano a concentrarsi sui controlli relativi all'identità cloud e alle integrazioni.
Alle organizzazioni che utilizzano applicazioni connesse viene raccomandato di esaminare le integrazioni attive, ruotare le credenziali quando opportuno e analizzare i log alla ricerca di attività Salesforce anomale. Ai team di sicurezza viene inoltre consigliato di prestare particolare attenzione alle autorizzazioni di accesso dei fornitori e di rimuovere le connessioni non più necessarie.
La violazione legata a Klue è l'ultimo esempio di come una singola compromissione possa portare a molteplici vittime a valle, soprattutto negli ambienti in cui i dati aziendali vengono condivisi tramite API affidabili e strumenti di terze parti.