ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
CircleCI, dicembre 2022: i segreti di tutti i clienti da cambiare
Il 16 dicembre 2022 un malware sul portatile di un ingegnere di CircleCI ha rubato la sessione già convalidata con autenticazione a due fattori. Con quella gli attaccanti hanno copiato variabili d'ambiente, token e chiavi dei clienti della piattaforma di integrazione continua; il 4 gennaio 2023 CircleCI ha chiesto a tutti i clienti di sostituire i segreti.
- Vittima
- CircleCI e i suoi clienti
- Settore
- Piattaforma di integrazione continua
- Paese
- Stati Uniti, con clienti in tutto il mondo
- Data
- 16 dicembre 2022
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Token OAuth o chiavi API rubati
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Responsabilità verso terzi · Ripristino di dati e sistemi
Le cause in breve
- Malware non rilevato. L'antivirus non ha individuato il malware sul portatile dell'ingegnere (CircleCI).
- Sessione rubata. I cookie di sessione hanno permesso di impersonare il dipendente aggirando l'autenticazione a due fattori (CircleCI).
- Chiavi in memoria. I dati erano cifrati, ma gli attaccanti hanno estratto le chiavi da un processo in esecuzione (CircleCI).
L'impatto
- Copiati il 22 dicembre variabili d'ambiente, token e chiavi di sistemi terzi dei clienti (CircleCI).
- Scoperta il 29 dicembre grazie alla segnalazione di un cliente su un token GitHub usato in modo sospetto (CircleCI).
- Meno di 5 clienti avevano segnalato accessi abusivi a sistemi terzi alla data del rapporto (CircleCI).
- Tutti i clienti invitati a considerare compromessi i segreti salvati dal 16 dicembre in poi (CircleCI).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondePer CircleCI e per ogni cliente rispondono l'indagine e la verifica degli accessi fatti con i segreti rubati.
- Ripristino di dati e sistemiRispondeLa sostituzione di token, chiavi e host di produzione rientra nel ripristino.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Risponde con limitiPer i clienti il costo è soprattutto il lavoro di sostituzione dei segreti: risponde solo se la garanzia copre i costi aggiuntivi.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRisponde con limitiI dati rubati erano segreti tecnici: la garanzia risponde solo se hanno portato a dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso CircleCI rientrano nella responsabilità professionale tecnologica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Responsabilità professionale. Le richieste dei clienti verso il fornitore vanno nella garanzia tecnologica.
- Costi di gestione. Cambiare i segreti senza prova di un accesso può essere considerato prevenzione, non sinistro.
- Cumulo. Una piattaforma di sviluppo violata espone i sistemi di molti clienti insieme.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Pochi danni accertati, ma un'esposizione potenziale dei sistemi di produzione di tutti i clienti.
Segnale di cumulo per il portafoglio.
Cumulo sulla catena di sviluppo: i segreti di molte aziende stavano nello stesso fornitore.