ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Okta, settembre 2023: i file dell'assistenza con le chiavi dei clienti
Dal 28 settembre al 17 ottobre 2023 un attaccante è entrato nel sistema di assistenza clienti di Okta con un account di servizio e ha preso file con token di sessione, usati contro cinque clienti tra cui 1Password, BeyondTrust e Cloudflare. A novembre Okta ha ammesso che erano stati scaricati anche nomi ed e-mail di tutti gli utenti del sistema di assistenza.
- Vittima
- Okta e i suoi clienti
- Settore
- Gestione delle identità e degli accessi
- Paese
- Stati Uniti, con clienti in tutto il mondo
- Data
- 28 settembre 2023
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Token OAuth o chiavi API rubati
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Responsabilità verso terzi · Notifica e responsabilità privacy
Le cause in breve
- Account personale. Un dipendente aveva effettuato l'accesso al proprio profilo Google personale in Chrome sul portatile aziendale, e le credenziali dell'account di servizio erano salvate lì (Help Net Security).
- File non ripuliti. I clienti avevano inviato all'assistenza file HAR con token di sessione validi (Help Net Security).
- Rilevamento lento. 1Password ha segnalato attività sospette il 29 settembre; Okta ha trovato l'account abusato circa 14 giorni dopo (Help Net Security).
L'impatto
- File di 134 clienti consultati; sessioni dirottate presso 5 clienti (Security Affairs).
- Scaricati nomi ed e-mail di tutti gli utenti del sistema di assistenza, molti dei quali amministratori (Axios).
- Il titolo Okta ha chiuso in calo dell'11,5% il giorno dell'annuncio (CNBC).
- Esclusi i clienti negli ambienti FedRAMP High e DoD IL4 (Security Affairs).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondePer Okta e per i clienti colpiti rispondono indagine forense, consulenza legale e comunicazione.
- Ripristino di dati e sistemiRispondeLa disattivazione dell'account e la revoca delle sessioni rubate rientrano nel ripristino.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Risponde con limitiI clienti non hanno avuto fermi; restano i costi di verifica, se la garanzia di dipendenza li prevede.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeNomi ed e-mail degli utenti dell'assistenza sono dati personali da notificare.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso Okta rientrano nella responsabilità professionale tecnologica, non nella cyber base.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Perdita di valore delle azioni. Il calo del titolo non è un danno coperto; lo sono semmai le cause degli azionisti, in una polizza D&O.
- Responsabilità professionale. Le richieste dei clienti vanno nella garanzia tecnologica.
- Dispositivi e account personali. Un accesso nato da un account personale può essere contestato se la polizza richiede controlli sui dispositivi.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Danno diretto contenuto, ma secondo incidente in due anni sul fornitore di accessi di migliaia di aziende.
Segnale di cumulo per il portafoglio.
Cumulo sul fornitore di identità: i token dei clienti erano tutti nello stesso sistema di assistenza.