LastPass e BeyondTrust vittime di un attacco in supply chain della piattaforma Klue

L'attacco alla piattaforma Klue ha compromesso i dati di LastPass e BeyondTrust attraverso credenziali obsolete. Gli hacker hanno rubato token OAuth per accedere a Salesforce e altre piattaforme integrate, mettendo a rischio informazioni sensibili come contatti aziendali e dati CRM. Le vittime potrebbero essere molte di più delle 15 confermate.

Le aziende LastPass e BeyondTrust hanno confermato che i dati sono stati rubati dai loro istanti Salesforce durante un attacco alla piattaforma di intelligence competitiva Klue. Il numero delle vittime note si avvicina a 15, ma gli esperti di sicurezza informatica ritengono che il numero reale sia molto più elevato.

L’attacco è stato rivendicato dal gruppo di ransomware Icarus. Gli hacker hanno avuto accesso alla rete della società utilizzando credenziali attive da un servizio di integrazione obsoleto. Una volta dentro, hanno inserito codice dannoso, rubato i token OAuth dei clienti e ne hanno creati di nuovi. Questi token hanno permesso agli hacker criminali di connettersi direttamente alle piattaforme esterne integrate dal servizio Battlecards di Klue, inclusa Salesforce.

Secondo gli esperti, dopo aver violato il sistema, gli hacker hanno esplorato per quasi un giorno le istanze Salesforce delle vittime tramite REST API utilizzando script Python automatizzati. Hanno iniziato analizzando la struttura del CRM alla ricerca di segreti e poi hanno rubato massivamente i dati.

LastPass ha dichiarato che a seguito della violazione, gli hacker hanno ottenuto accesso ai nomi dei clienti, numeri di telefono, indirizzi email, indirizzi fisici, richieste di supporto e informazioni relative alle vendite e al CRM. Tuttavia, la compagnia ha sottolineato che i prodotti, servizi e infrastruttura di LastPass non sono stati compromessi e che gli archivi delle password dei clienti non sono stati colpiti.

Dopo aver scoperto l’incidente, gli esperti di LastPass hanno disattivato l’accesso degli dipendenti a Klue, cambiato i token API e OAuth compromessi e informato le autorità competenti.

BeyondTrust ha confermato il furto di contatti aziendali e informazioni relative alle vendite.

In precedenza era stato riportato che la violazione di Klue aveva colpito aziende come HackerOne, 
Huntress, Jamf, OneTrust, Recorded Future, Snyk, Tanium, Insurity, Sprout Social e la  piattaforma Gong.

Gli esperti di sicurezza avvertono che i contatti aziendali rubati potrebbero essere utilizzati per attacchi di phishing, ingegneria sociale e tentativi di estorsione. LastPass ha specificamente avvertito dei potenziali pericoli legati a email provenienti dai domini baccarat.com.au, robinskitchen.com.au e house.com.au, raccomandando di fidarsi solo delle comunicazioni ufficiali.

Chiara Nardini

Esperta di Cyber Threat intelligence e di cybersecurity awareness, blogger per passione e ricercatrice di sicurezza informatica. Crede che si possa combattere il cybercrime solo conoscendo le minacce informatiche attraverso una costante attività di "lesson learned" e di divulgazione. Analista di punta per quello che concerne gli incidenti di sicurezza informatica del comparto Italia.

Aree di competenza: Cyber threat Intelligence, Incident Response, sicurezza nazionale, divulgazione