Недавний инцидент с утечкой данных через интеграцию Salesforce и Salesloft Drift затронул несколько организаций, включая компанию Tenable, специализирующуюся на кибербезопасности. Компания подтвердила, что были раскрыты ограниченные данные клиентов и обращения в поддержку, однако подчеркивает, что данные основных продуктов не были скомпрометированы.

Объем утечки информации

Tenable заявила, что доступная информация включала имена, адреса электронной почты, телефонные номера, регионы бизнеса и детали, представленные через темы и описания обращений в поддержку. Компания сообщает, что данные платформы и продуктов не пострадали согласно их расследованию и официальным заявлениям. Эти подробности отражают собственные заявления Tenable о происшествии.

Как злоумышленники использовали интеграции Salesforce

Исследователи связали утечку с продолжающейся киберкампанией, нацеленной на организации, использующие Salesforce с маркетинговым инструментом Salesloft Drift. Издания, такие как CRN и Cybersecurity News, сообщают, что злоумышленники использовали скомпрометированные OAuth-токены и учетные данные для извлечения конфиденциальной информации. Среди других пострадавших компаний сообщается о Palo Alto Networks, Zscaler, Cloudflare, Proofpoint и CyberArk.

Меры Tenable по устранению последствий

После обнаружения инцидента Tenable заявила, что предприняла следующие шаги:

• Отозвала и обновила учетные данные для Salesforce и связанных служб
• Отключила и удалила интеграцию Drift из своей среды Salesforce
• Ужесточила контроль доступа в своей SaaS-инфраструктуре
• Применяла данные об угрозах от Salesforce и сторонних исследователей безопасности
• Развернула инструменты для постоянного мониторинга с целью обнаружения подозрительной активности

Tenable подчеркнула, что её оперативная реакция была направлена на снижение риска дополнительного воздействия.

Угроза в цепочке поставок SaaS в результате утечки данных Salesforce

Утечка данных через интеграцию Salesforce и Salesloft Drift отражает нарастающую тенденцию атак на экосистемы SaaS, а не на традиционные конечные точки. По мере интеграции организациями все большего числа сторонних приложений в платформы, такие как Salesforce, возрастает риск утечек. Эксперты рекомендуют усиливать управление идентификацией и доступом, чаще менять учетные данные и применять строгие политики минимальных привилегий.

Реакция отрасли

CRN сообщает, что поставщики безопасности начали аудит интеграций Salesforce в ответ на кампанию. Salesforce не опубликовала детальные результаты о нападении, однако сторонние исследователи подтвердили, что украденные токены и неправильные настройки интеграции, вероятно, стали причинами.

Ник Персоко, директор по безопасности криптовалютной биржи Kraken, в интервью Reuters отметил, что подобные схемы фишинга и подмены остаются распространенными. Он подчеркнул, что задача проверки подлинности рекрутеров, партнеров или соединителей SaaS становится все сложнее по мере развития методов злоумышленников.

Лучшие практики для организаций

Специалисты по кибербезопасности рекомендуют следующие меры для снижения рисков:

1. Проводить аудит всех сторонних интеграций для подтверждения их необходимости и усиления разрешений.
2. Внедрять сильные политики управления идентификацией и доступом с многофакторной аутентификацией.
3. Мониторить и регулярно обновлять ключи API и OAuth-токены для сокращения времени воздействия.
4. Использовать решения для управления безопасностью SaaS для видимости неправильных настроек.
5. Проводить учебные учения, моделирующие инциденты в цепочке поставок SaaS для повышения готовности.

Прозрачность и раскрытие информации

Подход Tenable отражает растущее давление в индустрии на прозрачность. Хотя данные основных систем и платформ не были скомпрометированы, этот инцидент иллюстрирует, как сторонние подключения могут создавать непредвиденные точки входа для злоумышленников.

По мере того как атаки на цепочки поставок становятся более распространенными, клиенты и поставщики уделяют больше внимания полному раскрытию инцидентов безопасности для поддержания доверия. Аналитики видят в этом часть более широкого сдвига к проактивной коммуникации в области безопасности.

Утечка данных Salesforce, связанная с Tenable и другими поставщиками, подчеркивает сложность защиты взаимосвязанных сред SaaS. Хотя расследование и действия Tenable, похоже, ограничили дальнейшие риски, эксперты подчеркивают важность пересмотра интеграций, внедрения принципов нулевого доверия и укрепления планов реагирования.

Организации, полагающиеся на облачные инструменты, должны рассматривать это событие как напоминание о необходимости постоянного мониторинга, ограничения разрешений на доступ и проактивного устранения уязвимостей до их эксплуатации.