Il gigante della cybersecurity CrowdStrike licenzia un dipendente interno che collaborava con gli hacker

La società americana di cybersecurity con sede in Texas, CrowdStrike, avrebbe licenziato un dipendente accusato di aver filtrato informazioni interne a un collettivo di criminalità informatica che ha recentemente rivendicato la responsabilità di violazioni aziendali che coinvolgono sistemi connessi a Salesforce. 

La società di sicurezza ha licenziato l'"insider" dopo aver scoperto che collaborava con il gruppo noto come Scattered Lapsus$ Hunters, che ha iniziato a pubblicare presunte schermate interne giovedì sera e venerdì mattina sul suo canale Telegram.

Scattered Lapsus$ ha rilasciato diverse immagini che mostravano dashboard collegate alle risorse aziendali, inclusi i pannelli Okta utilizzati dai dipendenti per accedere alle applicazioni interne. Gli hacker hanno affermato che le schermate provenivano dal dipendente compromesso e costituivano la prova che erano riusciti a infiltrarsi in CrowdStrike dopo aver hackerato Gainsight all'inizio di questa settimana.

CrowdStrike e Gainsight stanno ancora indagando sulle informazioni rubate

Secondo CrowdStrike, le affermazioni del gruppo di hacker e le immagini su Telegram appartenevano solo a un dipendente che aveva condiviso foto non autorizzate del suo schermo con parti esterne, e l'azienda insiste sul fatto che non ci siano state violazioni dei suoi sistemi. 

"I nostri sistemi non sono mai stati compromessi e i clienti sono rimasti protetti durante tutto il periodo", ha dichiarato il portavoce Kevin Benacci ha alla pubblicazione di notizie TechCrunch. Ha aggiunto che l'azienda "ha affidato il caso alle autorità competenti" dopo aver revocato l'accesso dell'insider.

CrowdStrike ha affermato di aver imballato la scrivania del dipendente non appena è stato confermato che "condivideva immagini del suo schermo del computer con l'esterno", e le affermazioni circolanti nei canali degli hacker erano "false."

Salesforce conferma la violazione dei dati dei clienti

Venerdì mattina, Salesforce ha aggiornato la sua pagina degli incidenti affermando che una violazione stava interessando alcuni dei suoi clienti causando "mancanze di connessione". Attori non autorizzati avevano accesso ai "dati Salesforce di alcuni clienti", anche se non ha identificato quali organizzazioni fossero state interessate. 

Salesforce ha dichiarato che l'intrusione è avvenuta attraverso applicazioni sviluppate dal fornitore di servizi di supporto clienti e analisi Gainsight.

Più tardi nel giorno, Austin Larsen del Gruppo di Intelligence sulle Minacce di Google, un analista principale delle minacce nella sua divisione di cybersecurity, ha dichiarato che l'azienda "è a conoscenza di oltre 200 istanze Salesforce potenzialmente interessate." 

Scattered Lapsus$ Hunters ha rivendicato pubblicamente la responsabilità dell'accesso ai dati attraverso le integrazioni di Gainsight e ha utilizzato le informazioni rubate per colpire altri clienti aziendali.

Un portavoce di ShinyHunters, uno dei gruppi all'interno del collettivo, ha vantato che "Gainsight era un cliente di Salesloft Drift, è stato interessato e quindi compromesso interamente da noi." 

Gainsight ha pubblicato aggiornamenti sulla sua pagina degli incidenti da quando l'attacco è diventato pubblico. Venerdì, l'azienda ha dichiarato di aver ingaggiato Mandiant, l'unità di risposta agli incidenti di Google, per aiutare a indagare sulla violazione. 

Salesforce ha anche revocato temporaneamente i token di accesso attivi per le app connesse a Gainsight come misura precauzionale, insieme a notificare i clienti i cui dati sono stati rubati, secondo gli aggiornamenti pubblici dell'azienda. 

"I clienti che utilizzano Hubspot potrebbero trovare che l'app Gainsight è stata temporaneamente rimossa dal Marketplace Hubspot come misura precauzionale. Ciò potrebbe anche influire sull'accesso OAuth per le connessioni dei clienti mentre è in corso la revisione. Lavoreremo con Hubspot per la reinserimento dopo un'attenta revisione", ha notato un rapporto di progresso pubblicato giovedì.

La famiglia Scattered Lapsus$ è responsabile di diverse violazioni di alto profilo

Scattered Lapsus$ Hunters è una collaborazione formata da diversi gruppi di criminalità informatica di lingua inglese, tra cui ShinyHunters, Scattered Spider e Lapsus$. Il collettivo è diventato popolare per l'uso di tecniche di ingegneria sociale per ingannare i dipendenti facendogli rivelare i dettagli di accesso, concedendo l'accesso remoto o approvando i prompt di autenticazione. 

Nella loro lista di "conquiste", il gruppo ha precedentemente preso di mira MGM Resorts, Coinbase, DoorDash, Workday, Aflac Insurance, e altre grandi aziende. Già a ottobre, Scattered Lapsus$ Hunters ha affermato di aver rubato oltre un miliardo di record da aziende che utilizzano Salesforce per gestire le informazioni sui clienti. 

Hanno pubblicato un elenco di dati trapelati da fornitori di assicurazioni Allianz Life, la compagnia aerea Qantas, il costruttore automobilistico Stellantis, TransUnion, la piattaforma di gestione dei dipendenti Workday e altro ancora.

Negli ultimi anno e mezzo, la famiglia Scattered Lapsus$ ha anche rivendicato la responsabilità di incidenti su Atlassian, DocuSign, F5, GitLab, LinkedIn, Malwarebytes, SonicWall, Thomson Reuters e Verizon. 

Gli hacker hanno dichiarato sul loro canale Telegram che hanno intenzione di lanciare un nuovo sito di estorsione la prossima settimana per le aziende colpite nella loro ultima operazione. 

"Il prossimo sito di fuga di dati conterrà i dati delle campagne Salesloft e GainSight", hanno condiviso i loro piani con DataBreaches.net.