Εισαγωγή στις επιθέσεις ταυτότητας
Οι επιθέσεις ταυτότητας έχουν γίνει ένας από τους πιο ύπουλους τρόπους παραβίασης συστημάτων στο λιανεμπόριο. Από υπερβολικά προνομιακούς ρόλους διαχειριστών μέχρι ξεχασμένα tokens προμηθευτών, οι επιτιθέμενοι εκμεταλλεύονται τις ρωγμές της εμπιστοσύνης και της πρόσβασης. Ας δούμε πώς πέντε παραβιάσεις στο λιανεμπόριο ξεδιπλώθηκαν και τι αποκαλύπτουν για τις σύγχρονες απειλές.
Πρόσφατες παραβιάσεις μεγάλων λιανεμπόρων
Τους τελευταίους μήνες, μεγάλοι λιανέμποροι όπως οι Adidas, The North Face, Dior, Victoria’s Secret, Cartier, Marks & Spencer και Co-op έχουν δεχθεί επιθέσεις. Αυτές οι επιθέσεις δεν ήταν αποτέλεσμα εξελιγμένου κακόβουλου λογισμικού ή εκμετάλλευσης zero-day. Ήταν επιθέσεις που εκμεταλλεύτηκαν την ταυτότητα, χρησιμοποιώντας υπερβολικά προνόμια πρόσβασης και μη παρακολουθούμενους λογαριασμούς υπηρεσιών, ενώ αξιοποίησαν την ανθρώπινη διάσταση μέσω τακτικών όπως η κοινωνική μηχανική.
Η στρατηγική των επιτιθέμενων
Οι επιτιθέμενοι δεν χρειάστηκε να παραβιάσουν συστήματα. Απλά συνδέθηκαν. Μετακινήθηκαν μέσα από εφαρμογές SaaS απαρατήρητοι, χρησιμοποιώντας συχνά πραγματικά διαπιστευτήρια και νόμιμες συνεδρίες. Παρόλο που οι περισσότεροι λιανέμποροι δεν μοιράστηκαν όλες τις τεχνικές λεπτομέρειες, τα πρότυπα είναι σαφή και επαναλαμβανόμενα.
Adidas: Εκμετάλλευση της εμπιστοσύνης τρίτων
Η Adidas επιβεβαίωσε μια παραβίαση δεδομένων που προκλήθηκε από επίθεση σε τρίτο πάροχο υπηρεσιών εξυπηρέτησης πελατών. Η εταιρεία ανέφερε ότι εκτέθηκαν δεδομένα πελατών, όπως ονόματα, διευθύνσεις email και λεπτομέρειες παραγγελιών. Δεν υπήρξε κακόβουλο λογισμικό. Δεν υπήρξε παραβίαση από την πλευρά τους. Απλά η έκταση της ζημιάς ενός προμηθευτή που εμπιστεύονταν.
Πώς εξελίσσονται αυτές οι επιθέσεις στις ταυτότητες SaaS
Τα tokens και οι λογαριασμοί υπηρεσιών SaaS που παρέχονται σε προμηθευτές συχνά δεν απαιτούν MFA, δεν λήγουν και περνούν απαρατήρητα. Όταν η πρόσβαση δεν είναι πλέον απαραίτητη αλλά ποτέ δεν ανακαλείται, γίνονται σιωπηλά σημεία εισόδου, ιδανικά για συμβιβασμούς στην αλυσίδα εφοδιασμού που αντιστοιχούν σε τακτικές όπως το T1195.002, δίνοντας στους επιτιθέμενους έναν τρόπο εισόδου χωρίς να ενεργοποιούν συναγερμούς.
Συμπέρασμα ασφαλείας
Δεν ασφαλίζετε μόνο τους χρήστες σας. Ασφαλίζετε και την πρόσβαση που αφήνουν πίσω τους οι προμηθευτές. Οι ενσωματώσεις SaaS παραμένουν περισσότερο από τα πραγματικά συμβόλαια, και οι επιτιθέμενοι ξέρουν ακριβώς πού να κοιτάξουν.
The North Face: Από την επαναχρησιμοποίηση κωδικών πρόσβασης στην κατάχρηση προνομίων
Η The North Face επιβεβαίωσε μια επίθεση credential stuffing (MITRE T1110.004) όπου οι επιτιθέμενοι χρησιμοποίησαν διαρρεύσαντα διαπιστευτήρια (ονόματα χρήστη και κωδικούς πρόσβασης) για να αποκτήσουν πρόσβαση σε λογαριασμούς πελατών. Χωρίς κακόβουλο λογισμικό, χωρίς phishing, μόνο αδύναμη υγιεινή ταυτότητας και απουσία MFA. Μόλις μπήκαν, εξήγαγαν προσωπικά δεδομένα, αποκαλύπτοντας ένα σημαντικό κενό στους βασικούς ελέγχους ταυτότητας.
Πώς εξελίσσονται αυτές οι επιθέσεις στις ταυτότητες SaaS
Οι συνδέσεις SaaS χωρίς MFA είναι ακόμα παντού. Μόλις οι επιτιθέμενοι αποκτήσουν έγκυρα διαπιστευτήρια, μπορούν να αποκτήσουν πρόσβαση απευθείας και αθόρυβα, χωρίς να χρειάζεται να ενεργοποιήσουν προστασίες τερματικών ή να εγείρουν συναγερμούς.
Συμπέρασμα ασφαλείας
Η επαναχρησιμοποίηση κωδικών πρόσβασης είναι κάτι παλιό. Ήταν η τέταρτη παραβίαση με βάση τα διαπιστευτήρια για την The North Face από το 2020. Κάθε μία είναι μια υπενθύμιση ότι η επαναχρησιμοποίηση κωδικών πρόσβασης χωρίς MFA είναι μια ανοιχτή πόρτα. Και ενώ πολλές οργανώσεις επιβάλλουν MFA για υπαλλήλους, λογαριασμούς υπηρεσιών και προνομιακούς ρόλους, πολλές φορές παραμένουν απροστάτευτοι. Οι επιτιθέμενοι το ξέρουν και πηγαίνουν εκεί που υπάρχουν τα κενά.
M&S & Co-op: Παραβίαση μέσω δανεισμένης εμπιστοσύνης
Οι βρετανικοί λιανέμποροι Marks & Spencer και Co-op φέρεται να στοχοποιήθηκαν από την ομάδα απειλών Scattered Spider, γνωστή για επιθέσεις με βάση την ταυτότητα. Σύμφωνα με αναφορές, χρησιμοποίησαν SIM swapping και κοινωνική μηχανική για να υποδυθούν υπαλλήλους και να παραπλανήσουν τα IT help desks να επαναφέρουν κωδικούς πρόσβασης και MFA, παρακάμπτοντας ουσιαστικά το MFA, χωρίς κακόβουλο λογισμικό ή phishing.
Πώς εξελίσσονται αυτές οι επιθέσεις στις ταυτότητες SaaS
Μόλις οι επιτιθέμενοι παρα
