0 
0 Os hackers que invadiram o Twilio e o Cloudflare no início de agosto também se infiltraram em mais de 130 outras organizações na mesma campanha, aspirando quase 10.000 conjuntos de credenciais Okta e autenticação de dois fatores (2FA).
Isso está de acordo com uma investigação do Group-IB, que descobriu que várias organizações conhecidas estavam entre os alvos de uma campanha de phishing massiva que chama de 0ktapus. As iscas eram simples, como notificações falsas que os usuários precisavam para redefinir suas senhas. Eles foram enviados por meio de textos com links para sites de phishing estáticos, espelhando a página de autenticação Okta de cada organização específica.
“Apesar de usar métodos de baixa habilidade, [o grupo] conseguiu comprometer um grande número de organizações conhecidas”, disseram os pesquisadores em um post de blog hoje . “Além disso, uma vez que os invasores comprometeram uma organização, eles foram rapidamente capazes de dinamizar e lançar ataques subsequentes à cadeia de suprimentos, indicando que o ataque foi planejado cuidadosamente com antecedência”.
Esse foi o caso da violação do Twilio que ocorreu em 4 de agosto. Os invasores conseguiram fazer engenharia social de vários funcionários para entregar suas credenciais do Okta usadas para logon único em toda a organização, permitindo que eles tivessem acesso a sistemas internos, aplicativos e dados do cliente. A violação afetou cerca de 25 organizações downstream que usam a verificação de telefone do Twilio e outros serviços – incluindo a Signal, que emitiu uma declaração confirmando que cerca de 1.900 usuários poderiam ter seus números de telefone sequestrados no incidente.
A maioria das 130 empresas visadas eram empresas de SaaS e software nos EUA – o que não surpreende, dada a natureza da cadeia de suprimentos do ataque .
Por exemplo, outras vítimas na campanha incluem as empresas de marketing por e-mail Klaviyo e Mailchimp . Em ambos os casos, os bandidos fugiram com nomes, endereços, e-mails e números de telefone de seus clientes relacionados a criptomoedas, inclusive para o cliente do Mailchimp DigitalOcean (que posteriormente descartou o provedor ).
No caso da Cloudflare , alguns funcionários caíram na armadilha, mas o ataque foi frustrado graças às chaves de segurança física emitidas para cada funcionário que são necessárias para acessar todos os aplicativos internos.
Lior Yaari, CEO e cofundador da Grip Security, observa que a extensão e a causa da violação além das descobertas do Grupo IB ainda são desconhecidas, portanto, vítimas adicionais podem vir à tona.
“Identificar todos os usuários de um aplicativo SaaS nem sempre é fácil para uma equipe de segurança, principalmente aqueles em que os usuários usam seus próprios logins e senhas”, alerta. “A descoberta de Shadow SaaS não é um problema simples, mas existem soluções que podem descobrir e redefinir senhas de usuários para shadow SaaS.”
Hora de repensar o IAM?
No geral, o sucesso da campanha ilustra o problema de depender de humanos para detectar a engenharia social e as lacunas nas abordagens existentes de gerenciamento de identidade e acesso (IAM).
“O ataque demonstra como o IAM é frágil hoje e por que a indústria deveria pensar em remover a carga de logins e senhas de funcionários que são suscetíveis a engenharia social e ataques de phishing sofisticados”, diz Yaari. “O melhor esforço proativo de remediação que as empresas podem fazer é fazer com que os usuários redefinam todas as suas senhas, especialmente Okta .”
O incidente também aponta que as empresas dependem cada vez mais do acesso de seus funcionários a terminais móveis para serem produtivos na força de trabalho distribuída moderna, criando um novo e rico campo de phishing para invasores como os atores 0ktapus, de acordo com Richard Melick, diretor de relatórios de ameaças da Zimpério.
“De phishing a ameaças de rede, aplicativos maliciosos a dispositivos comprometidos, é fundamental que as empresas reconheçam que a superfície de ataque móvel é o maior vetor desprotegido para seus dados e acesso”, escreveu ele em um comunicado por e-mail.
FONTE: DARK READING