El gigante de la ciberseguridad CrowdStrike despide a un interno que trabajaba con hackers

La firma de ciberseguridad estadounidense con sede en Texas, CrowdStrike, habría despedido a un empleado acusado de filtrar información interna a una colectividad de cibercrimen que recientemente ha asumido la responsabilidad de brechas corporativas que involucran sistemas conectados a Salesforce. 

La firma de seguridad despidió al “interno” después de descubrir que trabajaba con el grupo conocido como Scattered Lapsus$ Hunters, que comenzó a publicar supuestas capturas de pantalla internas a finales del jueves y la mañana del viernes en su canal de Telegram.

Scattered Lapsus$ publicó varias imágenes que muestran paneles de control vinculados a recursos de la empresa, incluidos paneles de Okta utilizados por los empleados para acceder a aplicaciones internas. Los hackers afirmaron que las capturas de pantalla provenían del empleado comprometido y eran evidencia de que habían infiltrado con éxito a CrowdStrike después de hackear a Gainsight a principios de esta semana.

CrowdStrike y Gainsight aún investigan la información robada

Según CrowdStrike, las afirmaciones del grupo de hackers y las imágenes en Telegram solo pertenecían a un empleado que había compartido fotos no autorizadas de su pantalla con partes externas, y la empresa insiste en que no hubo brechas en sus sistemas. 

“Nuestros sistemas nunca fueron comprometidos y los clientes permanecieron protegidos durante todo el proceso”, declaró el portavoz Kevin Benacci dijo a la publicación de noticias TechCrunch. Añadió que la empresa “entregó el caso a las agencias de aplicación de la ley correspondientes” después de revocar el acceso del interno.

CrowdStrike afirmó que despidió al trabajador en cuanto se confirmó que “compartió imágenes de su pantalla de computadora externamente”, y que las afirmaciones que circulaban en los canales de hackers eran “falsas”.

Salesforce confirma la brecha de datos de clientes

La mañana del viernes, Salesforce actualizó su página de incidentes indicando que una brecha estaba afectando a algunos de sus clientes al causar “fallos de conexión”. Actores no autorizados habían accedido a “ciertos datos de Salesforce de clientes”, aunque no identificó a qué organizaciones afectaba. 

Salesforce dijo que la intrusión ocurrió a través de aplicaciones desarrolladas por Gainsight, proveedor de servicios de soporte al cliente y análisis.

Más tarde ese día, Austin Larsen, del Grupo de Inteligencia de Amenazas de Google y analista principal de amenazas en su división de ciberseguridad, dijo que la empresa “es consciente de más de 200 instancias de Salesforce potencialmente afectadas”. 

Scattered Lapsus$ Hunters afirmó públicamente la responsabilidad por el acceso a datos a través de las integraciones de Gainsight y utilizó la información robada para atacar a otros clientes corporativos.

Un portavoz de ShinyHunters, uno de los grupos dentro del colectivo, se jactó de que “Gainsight era cliente de Salesloft Drift, se vieron afectados y por lo tanto comprometidos completamente por nosotros”. 

Gainsight ha estado emitiendo actualizaciones en su página de incidentes desde que el ataque se hizo público. El viernes, la empresa dijo que había contratado a Mandiant, la unidad de respuesta a incidentes de Google, para ayudar a investigar la brecha. 

Salesforce también revocó temporalmente los tokens de acceso activos para las aplicaciones conectadas a Gainsight como medida de precaución, junto con notificar a los clientes cuyos datos fueron robados, según las actualizaciones públicas de la firma. 

“Los clientes que usan Hubspot podrían encontrar que la aplicación Gainsight ha sido retirada temporalmente del Hubspot Marketplace como medida de precaución. Esto también podría afectar el acceso OAuth para las conexiones de clientes mientras se realiza la revisión. Trabajaremos con Hubspot para volver a publicarla después de una revisión exhaustiva”, señaló un informe de progreso publicado el jueves.

La familia Scattered Lapsus$ es responsable de varias brechas de alto perfil

Scattered Lapsus$ Hunters es una colaboración formada por varios grupos de cibercrimen de habla inglesa, incluidos ShinyHunters, Scattered Spider y Lapsus$. El colectivo se hizo popular por utilizar técnicas de ingeniería social para engañar a los empleados y hacer que revelen detalles de inicio de sesión, otorguen acceso remoto o aprueben solicitudes de autenticación. 

En su lista de “conquistas”, el grupo ha atacado previamente a MGM Resorts, Coinbase, DoorDash, Workday, Aflac Insurance, y otras grandes empresas. En octubre, Scattered Lapsus$ Hunters afirmó haber robado más de mil millones de registros de empresas que utilizan Salesforce para gestionar la información de los clientes. 

Publicaron un directorio filtrado que contenía datos del proveedor de seguros Allianz Life, la aerolínea Qantas, el fabricante de automóviles Stellantis, TransUnion, la plataforma de gestión de empleados Workday, entre otros.

Durante el último año y medio, la familia Scattered Lapsus$ también ha asumido la responsabilidad de incidentes en Atlassian, DocuSign, F5, GitLab, LinkedIn, Malwarebytes, SonicWall, Thomson Reuters y Verizon. 

Los hackers dijeron en su canal de Telegram que planean lanzar un nuevo sitio web de extorsión la próxima semana para las empresas afectadas en su última operación. 

“El próximo sitio de filtración de datos contendrá los datos de las campañas de Salesloft y GainSight”, compartieron los hackers sus planes con DataBreaches.net.