Nhà cung cấp dịch vụ xác thực Okta hôm thứ Tư đã chỉ định Sitel là bên thứ ba có liên quan đến một sự cố bảo mật mà công ty đã trải qua vào cuối tháng 1 cho phép băng nhóm tống tiền LAPSUS $ chiếm đoạt từ xa một tài khoản nội bộ của một kỹ sư hỗ trợ khách hàng.
Công ty nói thêm rằng 366 khách hàng doanh nghiệp, tương đương khoảng 2,5% cơ sở khách hàng, có thể đã bị ảnh hưởng bởi thỏa hiệp “có tính ràng buộc cao”.
“Vào ngày 20 tháng 1 năm 2022, nhóm Okta Security được cảnh báo rằng một nhân tố mới đã được thêm vào tài khoản Okta của kỹ sư hỗ trợ khách hàng Sitel [from a new location]”, Giám đốc An ninh của Okta, David Bradbury, cho biết trong một tuyên bố.” Yếu tố này là một mật khẩu. “
Tiết lộ được đưa ra sau khi LAPSUS $ đăng ảnh chụp màn hình của các ứng dụng và hệ thống của Okta vào đầu tuần này, khoảng hai tháng sau khi tin tặc giành được quyền truy cập vào mạng nội bộ của công ty trong khoảng thời gian 5 ngày từ ngày 16 đến ngày 21 tháng 1 năm 2022 bằng giao thức máy tính từ xa (RDP) cho đến khi hoạt động MFA được phát hiện và tài khoản bị tạm ngưng trong khi chờ điều tra thêm.
Mặc dù ban đầu công ty cố gắng hạ thấp vụ việc, nhóm LAPSUS $ đã lên tiếng chỉ trích công ty có trụ sở tại San Francisco vì những gì họ bị cáo buộc là dối trá, nói rằng “Tôi VẪN không chắc đó là [sic] cố gắng không thành công? Đăng nhập vào [sic] cổng SuperUser với khả năng đặt lại Mật khẩu và MFA của ~ 95% khách hàng không thành công? “
Trái ngược với tên gọi của nó, SuperUser, Okta cho biết, được sử dụng để thực hiện các chức năng quản lý cơ bản liên quan đến khách hàng thuê của mình và hoạt động với nguyên tắc ít đặc quyền nhất (PoLP), chỉ cấp cho nhân viên hỗ trợ quyền truy cập vào những tài nguyên phù hợp với vai trò của họ .
Okta, công ty đã phải đối mặt với những lời chỉ trích vì sự chậm trễ trong việc thông báo cho khách hàng về vụ việc, lưu ý rằng họ đã chia sẻ các chỉ số về sự thỏa hiệp với Sitel vào ngày 21 tháng 1, sau đó công ty này đã thuê các dịch vụ của một công ty pháp y giấu tên, tiếp tục thực hiện điều tra và chia sẻ những phát hiện của nó vào ngày 10 tháng 3 năm 2022.
Theo dòng thời gian của các sự kiện được chia sẻ bởi công ty, “Okta đã nhận được báo cáo tóm tắt về sự cố từ Sitel” vào tuần trước vào ngày 17 tháng 3 năm 2022.
Bradbury nói: “Tôi rất thất vọng về khoảng thời gian dài giữa thông báo của chúng tôi với Sitel và việc ban hành báo cáo điều tra hoàn chỉnh. “Sau khi phản ánh, khi chúng tôi nhận được báo cáo tóm tắt Sitel, đáng lẽ chúng tôi phải di chuyển nhanh hơn để hiểu ý nghĩa của nó.”
Nhà nghiên cứu bảo mật Runa Sandvik nói trên Twitter: “Nếu bạn bối rối về việc Okta nói rằng ‘dịch vụ không bị vi phạm', hãy nhớ rằng tuyên bố đó hoàn toàn là một món súp từ pháp lý. “Sự thật là bên thứ ba đã bị vi phạm; vi phạm đó đã ảnh hưởng đến Okta; việc không tiết lộ nó đã ảnh hưởng đến khách hàng của Okta.”
Các vi phạm bảo mật của Okta và Microsoft là vụ mới nhất trong đợt xâm nhập tràn lan do nhóm LAPSUS $ dàn dựng, nhóm này cũng đã tấn công các nạn nhân nổi tiếng như Impresa, nvidia, Samsung, Vodafone và Ubisoft. Nó cũng được biết đến với việc công khai các cuộc chinh phục của mình trên một kênh Telegram đang hoạt động có hơn 46.200 thành viên.
Công ty an ninh mạng Check Point mô tả LAPSUS $ là một “nhóm hack người Bồ Đào Nha đến từ Brazil”, với việc Microsoft gọi là “sự pha trộn độc đáo của nghề” liên quan đến việc nhắm mục tiêu nạn nhân của họ bằng cách tráo SIM, lỗi máy chủ chưa được vá, do thám web tối và lừa đảo qua điện thoại chiến thuật.
Công ty Israel cho biết: “Động cơ thực sự của nhóm vẫn chưa rõ ràng, ngay cả khi nó tuyên bố là động cơ hoàn toàn về tài chính”. “LAPSUS $ có sự tương tác mạnh mẽ với những người theo dõi của họ và thậm chí còn đăng các cuộc thăm dò tương tác về mục tiêu không may tiếp theo của họ.”
Một đứa trẻ 16 tuổi sau LAPSUS $?
Nhưng trong một bước ngoặt thú vị, Bloomberg đưa tin rằng “một thanh niên 16 tuổi sống tại nhà mẹ anh ta gần Oxford, Anh” có thể là bộ não đằng sau hoạt động này, trích dẫn bốn nhà nghiên cứu đang điều tra nhóm. Một thành viên khác của LAPSUS $ được nghi ngờ là một thiếu niên sống ở Brazil.
Hơn nữa, hacker tuổi teen bị cáo buộc, người có bí danh trực tuyến “White” và “breachbase”, cũng có thể có vai trò trong vụ xâm nhập vào nhà sản xuất trò chơi Electronic Arts (EA) vào tháng 7 năm ngoái, theo thông tin mới nhất của chuyên gia an ninh mạng Brian Krebs. báo cáo chi tiết các hoạt động của một thành viên LAPSUS $ cốt lõi có biệt danh là “Oklaqq” hay còn gọi là “WhiteDoxbin”.
“Trở lại vào tháng 5 năm 2021, ID Telegram của WhiteDoxbin đã được sử dụng để tạo tài khoản trên một dịch vụ dựa trên Telegram để khởi chạy các cuộc tấn công từ chối dịch vụ (DDoS) phân tán, nơi họ tự giới thiệu là ‘@breachbase'”, Krebs lưu ý. “Tin tức về vụ hack của EA vào năm ngoái lần đầu tiên được đăng lên mạng tội phạm mạng bởi người dùng ‘Breachbase' trên cộng đồng hacker nói tiếng Anh RaidForums, gần đây đã bị FBI thu giữ.”
.
