Todd McKinnon, Mitbegründer und CEO von Okta will Vertrauen nach Lapsus$-Hack wiederherstellen. Die Offenlegung der Datenschutzverletzung dauerte Monate und wurde schlussendlich erst durch die Hackergruppe Lapsus$ öffentlich gemacht. Danach gab auch Okta die erfolgreiche Attacke zu. So Todd McKinnon im Interview auf dem Portal „Protocol“.
Im Januar fand die Hackergruppe Lapsus$ ihren Weg auf den Laptop eines Technikers bei einem Drittanbieter von Okta-Support – ursprünglich wurde angenommen, dass sie der Gruppe Zugang zu potenziell Hunderten von Okta-Kunden verschafft hatte. Eine spätere Untersuchung, die zusätzliche Informationen enthielt, ergab, dass laut Okta nur zwei Kunden betroffen waren.
Laut Okta waren nur zwei Kunden betroffen
Aber der Databreach selbst war ohnehin nie das Hauptanliegen. Viele betonten die Tatsache, dass es Lapsus$ und nicht Okta war, der der Welt von dem Vorfall erzählte und im März Screenshots als Beweise auf Telegram veröffentlichten. Dies warf mehr als nur ein paar Fragen an Okta auf, wie sie mit dem monatelangen bekannten Verstoß umgehen.
Die Ironie ist, dass Okta als prominenter Anbieter von Identitäts- und Zugriffsverwaltung im Geschäft ist um die Art von Angriff zu stoppen, die seinen ehemaligen Support-Anbieter Sitel getroffen hat. McKinnon sagte, die Firma habe weder das Okta-Produkt noch die Multifaktor-Authentifizierung für die VPN- und Office 365-Konten des kompromittierten Ingenieurs verwendet. Dadurch waren sie anfällig für die Attacke.
Der Angriff und der Ablauf
Okta hat viel Mühe darauf verwendet, sicherzustellen, dass das Produkt und die Plattform von Okta sicher sind, sowie dass die Mitarbeiter von Okta in sicheren Umgebungen arbeiten. Die externe Support-Organisation befand sich in einem anderen Ring außerhalb davon. Okta sagt selbstkritisch, man hätte prüfen müssen, dass der Zugriff auch sicher ist.
Okta hat inzwischen die geschäftlichen Beziehungen mit dem Support-Anbieter Sitel beendet. Zur Aufarbeitung hat Okta eine forensische Firma hinzugezogen, um eine vollständige Bewertung der Sicherheitsverletzung durchzuführen. Daraus wurde klar, dass der Angreifer ursprünglich über ein VPN-Gateway eingedrungen ist, welche keine Multifaktor-Authentifizierung hatte. Danach stieg Lapsus$ ein und nutzte eine Reihe von Windows-Schwachstellen aus, um sich zu bewegen und Berechtigungen zu eskalieren. Sie waren auch in der Lage, in Office 365 einzusteigen – weil es wiederum keine Multifaktor-Authentifizierung hatte.
Das ganze Interview mit weiteren Aussagen des Todd McKinnon, Mitbegründer und CEO von Okta gibt es auf dem Portal von Protocol.
Eine weitere Auswertung der Attacke gab es auch schon von Kasperky.
Mehr bei Protocol.com