Cybersicherheitsriese CrowdStrike feuert Insider, der mit Hackern zusammenarbeitete

Das in Texas ansässige amerikanische Cybersicherheitsunternehmen CrowdStrike hat Berichten zufolge einen Mitarbeiter gefeuert, der beschuldigt wird, interne Informationen an ein Cyberkriminalitätskollektiv weitergegeben zu haben, das kürzlich die Verantwortung für Unternehmensverletzungen übernommen hat, die Systeme mit Salesforce-Verbindung betreffen. 

Das Sicherheitsunternehmen entließ den „Insider“, nachdem es festgestellt hatte, dass er mit der Gruppe namens Scattered Lapsus$ Hunters zusammengearbeitet hatte, die am späten Donnerstag und frühen Freitagmorgen angebliche interne Screenshots auf ihrem Telegram-Kanal veröffentlichte.

Scattered Lapsus$ veröffentlichte mehrere Bilder, die Dashboards mit Unternehmensressourcen zeigten, einschließlich Okta-Panels, die von Mitarbeitern zum Zugriff auf interne Anwendungen verwendet wurden. Die Hacker behaupteten, die Screenshots stammten vom kompromittierten Mitarbeiter und seien ein Beweis dafür, dass sie erfolgreich in CrowdStrike eingedrungen waren, nachdem sie zuvor in der Woche Gainsight gehackt hatten.

CrowdStrike und Gainsight untersuchen weiterhin gestohlene Informationen

Laut CrowdStrike gehörten die Behauptungen der Hackergruppe und die Bilder auf Telegram nur zu einem Mitarbeiter, der unbefugt Fotos seines Bildschirms mit externen Parteien geteilt hatte, und das Unternehmen besteht darauf, dass es keine Verletzungen seiner Systeme gab. 

„Unsere Systeme wurden niemals kompromittiert und Kunden blieben throughout geschützt“, sagte Sprecher Kevin Benacci sagte Nachrichtenpublication TechCrunch. Er fügte hinzu, dass das Unternehmen „den Fall an die zuständigen Strafverfolgungsbehörden übergeben“ habe, nachdem es den Zugriff des Insiders beendet habe.

CrowdStrike behauptete, den Schreibtisch des Mitarbeiters sofort geräumt zu haben, sobald bestätigt wurde, dass er „Bilder seines Computerbildschirms nach extern geteilt“ habe, und die in Hacker-Kanälen kursierenden Behauptungen seien „falsch“ gewesen.

Salesforce bestätigt Datenleck bei Kundendaten

Am Freitagmorgen aktualisierte Salesforce seine Vorfallseite und gab an, dass ein Datenleck einige seiner Kunden betreffe, indem es „Verbindungsfehler“ verursache. Unbefugte hätten auf „bestimmte Kundendaten von Salesforce“ zugegriffen, nannte jedoch nicht, welche Organisationen betroffen waren. 

Salesforce gab an, dass die Intrusion über Anwendungen erfolgte, die vom Kundensupport- und Analytics-Dienstleister Gainsight entwickelt wurden.

Später am Tag sagte Austin Larsen von der Threat Intelligence Group von Google, ein leitender Bedrohungsanalyst in der Cybersicherheitsabteilung, dass das Unternehmen „von mehr als 200 potenziell betroffenen Salesforce-Instanzen weiß.“ 

Scattered Lapsus$ Hunters übernahmen öffentlich die Verantwortung für den Zugriff auf Daten über Gainsight-Integrationen und nutzten gestohlene Informationen, um andere Unternehmenskunden zu attackieren.

Ein Sprecher von ShinyHunters, einer der Gruppen innerhalb des Kollektivs, rühmte sich, dass „Gainsight ein Kunde von Salesloft Drift war, sie waren betroffen und daher vollständig von uns kompromittiert.“ 

Gainsight gibt seitdem der Angriff öffentlich wurde, Updates auf seiner Vorfallseite heraus. Am Freitag sagte das Unternehmen, es habe Mandiant, die Incident-Response-Einheit von Google, engagiert, um die Untersuchung des Datenlecks zu unterstützen. 

Salesford hat auch vorübergehend aktive Zugriffstoken für Gainsight-verbundene Apps als Vorsichtsmaßnahme widerrufen, zusammen mit der Benachrichtigung von Kunden, deren Daten gestohlen wurden, laut den öffentlichen Updates des Unternehmens. 

„Kunden, die Hubspot nutzen, könnten feststellen, dass die Gainsight-App vorübergehend aus dem Hubspot Marketplace entfernt wurde, als Vorsichtsmaßnahme. Dies kann auch den OAuth-Zugriff für Kundenverbindungen beeinträchtigen, während die Überprüfung stattfindet. Wir werden mit Hubspot an der Wiederaufnahme nach gründlicher Überprüfung arbeiten“, hieß es in einem am Donnerstag veröffentlichten Fortschrittsbericht.

Die Scattered Lapsus$-Familie ist für mehrere hochkarätige Datenlecks verantwortlich

Scattered Lapsus$ Hunters ist eine Zusammenarbeit, die von mehreren englischsprachigen Cybercrime-Gruppen gebildet wurde, darunter ShinyHunters, Scattered Spider und Lapsus$. Das Kollektiv wurde populär, weil es Social-Engineering-Techniken einsetzte, um Mitarbeiter dazu zu bringen, Login-Daten preiszugeben, Fernzugriff zu gewähren oder Authentifizierungsanfragen zu genehmigen. 

In ihrer Liste der „Eroberungen“ hat die Gruppe zuvor MGM Resorts, Coinbase, DoorDash, Workday, Aflac Insurance, und andere große Unternehmen angegriffen. Im Oktober behaupteten Scattered Lapsus$ Hunters, mehr als eine Milliarde Datensätze von Unternehmen gestohlen zu haben, die Salesforce zur Verwaltung von Kundeninformationen nutzen. 

Sie veröffentlichten eine geleakte Verzeichnisliste mit Daten des Versicherungsanbieters Allianz Life, der Fluggesellschaft Qantas, des Automobilherstellers Stellantis, TransUnion, der Personalmanagement-Plattform Workday und mehr.

Im Laufe des letzten anderthalb Jahre hat die Scattered Lapsus$-Familie auch die Verantwortung für Vorfälle bei Atlassian, DocuSign, F5, GitLab, LinkedIn, Malwarebytes, SonicWall, Thomson Reuters und Verizon übernommen. 

Die Hacker sagten in ihrem Telegram-Kanal, dass sie planen, nächste Woche eine neue Erpressungs-Website für die Unternehmen zu starten, die in ihrer neuesten Operation betroffen waren. 

„Die nächste Datenlecks-Website wird die Daten der Salesloft- und GainSight-Kampagnen enthalten“, teilten die Hacker ihre Pläne mit DataBreaches.net mit.