builderall


Okta dice que los atacantes accedieron a archivos que contienen cookies y tokens de sesión cargados por los clientes en su sistema de gestión de soporte después de violarlo utilizando credenciales robadas.


"El actor de amenazas pudo ver archivos cargados por ciertos clientes de Okta como parte de casos de soporte recientes", dijo el director de seguridad de Okta, David Bradbury.


"Cabe señalar que el sistema de gestión de casos de soporte de Okta está separado del servicio de producción de Okta, que está en pleno funcionamiento y no se ha visto afectado".


El CSO de Okta agregó que este incidente no afectó el sistema de gestión de casos de Auth0/CIC. Okta notificó a todos los clientes cuyo entorno de Okta o tickets de soporte se vieron afectados por el incidente. Aquellos que no hayan recibido una alerta no se verán afectados.


Tokens de sesión y cookies expuestos

Si bien la empresa aún no ha proporcionado detalles sobre qué información del cliente quedó expuesta o a la que se accedió durante la infracción, el sistema de gestión de casos de soporte violado en este ataque también se utilizó para almacenar archivos HTTP Archive (HAR) utilizados para replicar errores de usuarios o administradores para solucionar varios problemas. Problemas reportados por los usuarios.


También contienen datos confidenciales, como cookies y tokens de sesión, que los actores de amenazas podrían utilizar para secuestrar cuentas de clientes.


"Los archivos HAR representan un registro de la actividad del navegador y posiblemente contengan datos confidenciales, incluido el contenido de las páginas visitadas, encabezados, cookies y otros datos", explica Okta en su portal de soporte.


"Si bien esto permite al personal de Okta replicar la actividad del navegador y solucionar problemas, los actores maliciosos podrían usar estos archivos para hacerse pasar por usted".


La empresa trabajó con los clientes afectados durante la investigación del incidente y revocó los tokens de sesión integrados en archivos HAR compartidos. Ahora recomienda a todos los clientes que desinfecten sus archivos HAR antes de compartirlos para asegurarse de que no incluyan credenciales ni cookies/tokens de sesión.


Okta también compartió una lista de indicadores de compromiso observados durante la investigación, incluidas direcciones IP e información del agente de usuario del navegador web vinculada a los atacantes.


Un portavoz de Okta no respondió a las preguntas sobre la fecha de la infracción ni cuántos clientes se vieron afectados.


En cambio, el portavoz dijo que el sistema de soporte "está separado del servicio de producción Okta, que está en pleno funcionamiento y no se ha visto afectado. Hemos notificado a los clientes afectados y hemos tomado medidas para proteger a todos nuestros clientes".


Incumplimiento descubierto por BeyondTrust

Gestión de identidades BeyondTrust dice que fue uno de los clientes afectados y proporcionó información adicional sobre el incidente.


El equipo de seguridad de BeyondTrust detectó y bloqueó un intento de iniciar sesión en una cuenta de administrador interna de Okta el 2 de octubre utilizando una cookie robada del sistema de soporte de Okta.


Si bien BeyondTrust se puso en contacto con Okta y les proporcionó datos forenses que mostraban que su organización de soporte estaba comprometida, Okta tardó más de dos semanas en confirmar la infracción.


"Le planteamos a Okta nuestra preocupación por una infracción el 2 de octubre. Al no haber recibido ningún reconocimiento por parte de Okta de una posible infracción, persistimos con las escaladas dentro de Okta hasta el 19 de octubre, cuando los líderes de seguridad de Okta nos notificaron que efectivamente habían experimentado una infracción y que estábamos uno de sus clientes afectados", dijo BeyondTrust .


BeyondTrust dice que el ataque fue frustrado por "controles de políticas personalizados", pero debido a "limitaciones en el modelo de seguridad de Okta", el actor malicioso pudo realizar "algunas acciones limitadas".


A pesar de esto, la compañía dice que el atacante no obtuvo acceso a ninguno de sus sistemas y que sus clientes no se vieron afectados.


BeyondTrust también compartió la siguiente línea de tiempo del ataque:



Cloudflare también afectado

Cloudflare también descubrió actividad maliciosa relacionada con la violación de Okta en sus servidores el miércoles 18 de octubre de 2023.


"Si bien este fue un incidente de seguridad preocupante, la detección en tiempo real y la respuesta rápida de nuestro Equipo de Respuesta a Incidentes de Seguridad (SIRT) permitieron la contención y minimizaron el impacto en los sistemas y datos de Cloudflare", dijo la compañía .


"Hemos verificado que este evento no afectó la información ni los sistemas de los clientes de Cloudflare".


Los atacantes aprovecharon un token de autenticación robado del sistema de soporte de Okta para acceder a la instancia de Okta de Cloudflare mediante una sesión abierta con privilegios administrativos.


Cloudflare se puso en contacto con Okta con respecto al incidente 24 horas antes de que se les alertara de la infracción que afectaba a los sistemas de Okta.


"Parece que en nuestro caso, el actor de amenazas pudo secuestrar un token de sesión de un ticket de soporte creado por un empleado de Cloudflare. Usando el token extraído de Okta, el actor de amenazas accedió a los sistemas de Cloudflare el 18 de octubre". Dijo Cloudflare.


"En este sofisticado ataque, observamos que los actores de amenazas comprometieron dos cuentas separadas de empleados de Cloudflare dentro de la plataforma Okta".


Múltiples incidentes de seguridad en menos de 2 años

El año pasado, Okta reveló que algunos de los datos de sus clientes quedaron expuestos después de que el grupo de extorsión de datos Lapsus$ obtuviera acceso a sus consolas administrativas en enero de 2022.


Las contraseñas de un solo uso (OTP) entregadas a los clientes de Okta a través de SMS también fueron robadas por el grupo de amenazas Scatter Swine (también conocido como 0ktapus), que violó la empresa de comunicaciones en la nube Twilio en agosto de 2022.


Auth0, proveedor de servicios de autenticación propiedad de Okta, también reveló en septiembre que algunos repositorios de código fuente más antiguos fueron robados de su entorno utilizando un método desconocido.


Okta reveló su propio incidente de robo de código fuente en diciembre después de que los repositorios privados de GitHub de la compañía fueran pirateados .


Fuente: bleepingcomputer.com