Le géant de la cybersécurité CrowdStrike renvoie un employé interne travaillant avec des pirates

L'entreprise américaine de cybersécurité basée au Texas, CrowdStrike, aurait licencié un employé accusé d'avoir divulgué des informations internes à un collectif de cybercriminalité qui a récemment revendiqué la responsabilité de violations de données impliquant des systèmes connectés à Salesforce. 

Le cabinet de sécurité a licencié l'« insider » après avoir découvert qu'il travaillait avec le groupe connu sous le nom de Scattered Lapsus$ Hunters, qui a commencé à publier des captures d'écran internes présumées jeudi soir et vendredi matin sur sa chaîne Telegram.

Scattered Lapsus$ a publié plusieurs images montrant des tableaux de bord liés aux ressources de l'entreprise, y compris des panneaux Okta utilisés par les employés pour accéder aux applications internes. Les pirates ont affirmé que les captures d'écran provenaient de l'employé compromis et constituaient la preuve qu'ils s'étaient infiltrés avec succès dans CrowdStrike après avoir piraté Gainsight plus tôt cette semaine.

CrowdStrike et Gainsight enquêtent toujours sur les informations volées

Selon CrowdStrike, les affirmations du groupe de pirates et les images sur Telegram ne concernaient qu'un employé qui avait partagé des photos non autorisées de son écran avec des tiers, et l'entreprise insiste sur le fait qu'il n'y a eu aucune violation de ses systèmes. 

« Nos systèmes n'ont jamais été compromis et les clients sont restés protégés tout au long de l'incident », a déclaré le porte-parole Kevin Benacci à à la publication TechCrunch. Il a ajouté que l'entreprise « a transmis l'affaire aux agences répressives compétentes » après avoir résilié l'accès de l'employé interne.

CrowdStrike a affirmé avoir fait emballer le bureau du travailleur dès qu'il a été confirmé qu'il « avait partagé des images de son écran d'ordinateur avec des externes », et les affirmations circulant dans les canaux des pirates étaient « fausses ».

Salesforce confirme une violation des données clients

Vendredi matin, Salesforce a mis à jour sa page d'incident indiquant qu'une violation affectait certains de ses clients en provoquant des « échecs de connexion ». Des acteurs non autorisés avaient accédé aux « données Salesforce de certains clients », bien qu'il n'ait pas identifié les organisations concernées. 

Salesforce a déclaré que l'intrusion s'est produite via des applications développées par Gainsight, un fournisseur de services de support client et d'analyse.

Plus tard dans la journée, Austin Larsen, analyste principal des menaces au sein du groupe d'intelligence des menaces de Google (Google Threat Intelligence Group), a déclaré que l'entreprise « est au courant de plus de 200 instances Salesforce potentiellement affectées ». 

Scattered Lapsus$ Hunters a publiquement revendiqué la responsabilité de l'accès aux données via les intégrations de Gainsight et a utilisé les informations volées pour cibler d'autres clients d'entreprise.

Un porte-parole de ShinyHunters, l'un des groupes au sein du collectif, a vanté le fait que « Gainsight était un client de Salesloft Drift, ils ont été affectés et donc entièrement compromis par nous ». 

Gainsight publie des mises à jour sur sa page d'incident depuis que l'attaque est devenue publique. Vendredi, l'entreprise a déclaré qu'elle avait engagé Mandiant, l'unité de réponse aux incidents de Google, pour aider à enquêter sur la violation. 

Salesforce a également révoqué temporairement les jetons d'accès actifs pour les applications connectées à Gainsight par mesure de précaution, ainsi que notifié les clients dont les données avaient été volées, selon les mises à jour publiques de l'entreprise. 

« Les clients utilisant Hubspot pourraient constater que l'application Gainsight a été temporairement retirée du Hubspot Marketplace par mesure de précaution. Cela pourrait également affecter l'accès OAuth pour les connexions clients pendant que l'examen est en cours. Nous travaillerons avec Hubspot pour la réinscription après un examen approfondi », a noté un rapport d'avancement publié jeudi.

La famille Scattered Lapsus$ est responsable de plusieurs violations de haut profil

Scattered Lapsus$ Hunters est une collaboration formée par plusieurs groupes de cybercriminalité anglophones, dont ShinyHunters, Scattered Spider et Lapsus$. Le collectif est devenu populaire pour avoir utilisé des techniques d'ingénierie sociale pour tromper les employés afin qu'ils révèlent leurs identifiants de connexion, accordent un accès à distance ou approuvent des invites d'authentification. 

Dans leur liste de « conquêtes », le groupe a précédemment ciblé MGM Resorts, Coinbase, DoorDash, Workday, Aflac Insurance, et d'autres grandes entreprises. En octobre dernier, Scattered Lapsus$ Hunters a affirmé avoir volé plus d'un milliard d'enregistrements auprès d'entreprises utilisant Salesforce pour gérer les informations clients. 

Ils ont publié un répertoire contenant des données fuites provenant du fournisseur d'assurance Allianz Life, de la compagnie aérienne Qantas, du constructeur automobile Stellantis, de TransUnion, de la plateforme de gestion des employés Workday, et plus encore.

Au cours des dix-huit derniers mois, la famille Scattered Lapsus$ a également revendiqué la responsabilité d'incidents sur Atlassian, DocuSign, F5, GitLab, LinkedIn, Malwarebytes, SonicWall, Thomson Reuters et Verizon. 

Les pirates ont déclaré sur leur chaîne Telegram qu'ils prévoient de lancer un nouveau site d'extorsion la semaine prochaine pour les entreprises touchées lors de leur dernière opération. 

« Le prochain site de fuite de données contiendra les données des campagnes Salesloft et GainSight », ont partagé les hackers leurs plans avec DataBreaches.net.