Det er aldrig godt at blive hacket.
Slet ikke, hvis man arbejder inden for cybersikkerhed.
Den amerikanske børsnoterede virksomhed Okta, som blandt andet leverer sikkerhedstjenester inden for identitetsadministration, mistede på få dage i oktober omkring 14 milliarder kroner i børsværdi, da aktien faldt med 11 procent.
Det skyldtes, at Oktas supportsystemer var blevet hacket.
Hackerne fik adgang til informationer om mindst 134 kunder, afslørede Okta, og hackerne havde adgang til systemerne fra 28. september 2023 til 17. oktober 2023.
Oktas chief security officer David Bradbury peger nu på, at hacket skyldtes en ansat.
”Den uautoriserede adgang til Oktas kundesupportsystem udnyttede en servicekonto gemt i selve systemet. Denne servicekonto fik tilladelse til at se og opdatere kundesupportsager,” skriver han i et blogindlæg.
Privat Google-konto gav adgang
Problemet skyldtes, at en medarbejder var logget ind på en privat Google-konto fra en arbejdsenhed.
”Under vores undersøgelse af mistænkelig brug af denne konto identificerede Okta Security, at en medarbejder var logget ind på deres personlige Google-profil i Chrome-browseren på deres Okta-administrerede bærbare computer,” skriver sikkerhedschefen.
Det var et problem, da brugernavnet og adgangskoden til medarbejderens tjenestekonto hos Okta var blevet gemt på vedkommendes personlige Google-konto.
”Den mest sandsynlige mulighed for eksponering af denne legitimation er kompromittering af medarbejderens personlige Google-konto eller personlige enhed,” vurderer sikkerhedschefen.
Blandt de filer, hackerne fik adgangen til om kunderne, var HAR-filer, der indeholdt sessionstokens, som igen kunne bruges til sessionskapringsangreb.
”Trusselsaktøren var i stand til at bruge disse sessionstokens til at kapre de legitime Okta-sessioner af fem kunder, hvoraf tre har delt deres eget svar på denne begivenhed,” skriver David Bradbury.
De tre Okta-kunder, der selv har delt, at de blev udsat for angreb på baggrund Okta-angrebet er 1Password, BeyondTrust og Cloudflare, skriver Bleeping Computer.
