ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Okta, gennaio 2022: l'assistenza esterna come porta d'ingresso
Tra il 16 e il 21 gennaio 2022 un attaccante ha avuto accesso all'ambiente di Sitel, il fornitore esterno dell'assistenza clienti di Okta. Okta ne ha parlato solo a marzo, dopo che Lapsus$ aveva pubblicato le schermate, indicando fino a 366 clienti potenzialmente coinvolti; ad aprile ha ridotto il bilancio a due clienti.
- Vittima
- Okta e i suoi clienti
- Settore
- Gestione delle identità e degli accessi
- Paese
- Stati Uniti, con clienti in tutto il mondo
- Data
- 16 gennaio 2022
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Accesso tramite fornitore o terza parte
- Attore
- Criminale (rivendicato). Lapsus$, che ha rivendicato l'attacco
- Scenari di danno
- Responsabilità verso terzi · Notifica e responsabilità privacy
Le cause in breve
- Fornitore esterno. L'intruso ha raggiunto un computer di Sitel collegato a Okta in desktop remoto (Malwarebytes).
- Strumenti di assistenza. I tecnici di Sitel avevano accesso limitato a Jira, Slack, Splunk, Salesforce e allo strumento interno SuperUser (Malwarebytes).
- Comunicazione tardiva. Okta ha riconosciuto l'accesso circa due mesi dopo, quando Lapsus$ lo ha reso pubblico (Malwarebytes).
L'impatto
- A marzo Okta ha indicato fino a 366 clienti potenzialmente coinvolti, circa il 2,5% del totale (Malwarebytes).
- Ad aprile l'indagine ha concluso che il controllo era durato 25 minuti su una postazione, con accesso a due clienti in SuperUser (The Record; Malwarebytes).
- L'attaccante non poteva cambiare configurazioni, reimpostare password o autenticazione a due fattori, né accedere ai conti dei clienti (Malwarebytes).
- Costo per Okta e per i clienti: non noto.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondePer Okta e per i clienti rispondono l'indagine forense e la consulenza legale per capire chi è stato toccato.
- Ripristino di dati e sistemiNon pertinenteNon risultano sistemi da ricostruire.
- Business interruption propriaNon pertinenteIl servizio di Okta non si è fermato.
- Business interruption dipendente (fornitore)Risponde con limitiI clienti non hanno avuto fermi; resta solo il costo delle verifiche, se la garanzia di dipendenza lo prevede.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRisponde con limitiI tecnici vedevano dati di assistenza dei clienti: la garanzia risponde solo se ci sono dati personali da notificare.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso Okta rientrano nella responsabilità professionale tecnologica, non nella cyber base.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Fornitori. Il danno nato da un subfornitore come Sitel è coperto solo se la polizza include i sistemi dei fornitori.
- Responsabilità professionale. Le richieste dei clienti verso il fornitore di identità vanno nella garanzia tecnologica.
- Danno di reputazione. La perdita di fiducia per la comunicazione tardiva di solito non è coperta.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Danno diretto piccolo, ma su un fornitore di accessi da cui dipendono migliaia di aziende.
Segnale di cumulo per il portafoglio.
Cumulo sul fornitore di identità: un accesso al suo supporto è un rischio per tutti i suoi clienti nello stesso momento.