ReliaQuest: Okta-Sitzung bei Social-Engineering-Angriff offengelegt

ReliaQuest hat auf Behauptungen über eine Datenschutzverletzung reagiert, nachdem ShinyHunters Screenshots veröffentlicht hatte, die offenbar das Okta-Identitätsdashboard des Cybersicherheitsunternehmens zeigten.

Das Unternehmen bestätigte, dass ein Social-Engineering-Angriff am 22. August einem Bedrohungsakteur kurzzeitig Zugriff auf die Identitätsdashboard-Sitzung eines Mitarbeiters verschaffte. ReliaQuest erklärte jedoch, dass weder auf seine Systeme und Anwendungen noch auf Kundendaten zugegriffen wurde.

Der Vorfall verdeutlicht, warum Identitätsplattformen weiterhin ein bevorzugtes Ziel für Cyberkriminelle sind. Ein einziges kompromittiertes Konto kann potenziell den Zugang zu zahlreichen Arbeitsplatz-Tools ermöglichen.

ShinyHunters veröffentlichte angebliche Okta-Screenshots

ShinyHunters nahm ReliaQuest auf seiner Leak-Seite auf und veröffentlichte Screenshots, die offenbar Anwendungen zeigten, die mit der Identitätsinfrastruktur des Unternehmens verbunden waren.

Die Bilder enthielten Berichten zufolge URLs, die mit ReliaQuest in Verbindung standen, und schienen von einem Mitarbeiterkonto zu stammen. ShinyHunters legte jedoch keine Beweise dafür vor, dass die Gruppe Daten gestohlen oder auf andere Systeme des Unternehmens zugegriffen hatte.

Okta bietet Single-Sign-on-Dienste an, mit denen Mitarbeiter über ein zentrales Portal auf mehrere genehmigte Anwendungen zugreifen können. Je nach Konfiguration eines Unternehmens kann dies E-Mail, Cloud-Speicher, Tools für die Zusammenarbeit und andere Geschäftssysteme umfassen.

Daher kann der Zugriff auf ein Identitätsdashboard für Angreifer äußerst wertvoll sein, selbst wenn die sichtbaren Screenshots nur wenige sensible Informationen enthalten.

ReliaQuest: Zugriff war auf die Anzeige beschränkt

ReliaQuest erklärte, dass die Angreifer eine ähnlich aussehende Domain erstellten und eine gefälschte Single-Sign-on-Seite des Unternehmens hinter einem Content Delivery Network platzierten.

Der Bedrohungsakteur kontaktierte anschließend mehrere Mitarbeiter und gab sich als Sicherheitsmitarbeiter von ReliaQuest aus. Ein Mitarbeiter gab sein Passwort auf der gefälschten Seite ein und bestätigte eine Push-Benachrichtigung für die Multi-Faktor-Authentifizierung.

Laut ReliaQuest verschaffte dies dem Angreifer vorübergehend eine Sitzung im Identitätsdashboard.

Das Unternehmen erklärte, dass die Sitzung ausschließlich über Leserechte verfügte und schnell beendet wurde. Zudem habe der Angreifer versucht, über das Dashboard auf Anwendungen zuzugreifen, sei jedoch durch bestehende Sicherheitskontrollen blockiert worden.

ReliaQuest wies zurück, dass das Unternehmen durch Ransomware kompromittiert worden sei. Außerdem seien während des Vorfalls keine Kundeninformationen abgerufen worden.

Angriff ähnelt größeren Okta-Phishing-Kampagnen

Die Behauptung über eine Datenschutzverletzung bei ReliaQuest scheint mit einer größeren Kampagne in Verbindung zu stehen, die ShinyHunters zugeschrieben wird. Die Gruppe soll telefonbasiertes Social Engineering, gefälschte Anmeldeseiten und den Missbrauch der Multi-Faktor-Authentifizierung eingesetzt haben, um Mitarbeiter anderer Unternehmen ins Visier zu nehmen.

Bei diesen Angriffen geben sich Kriminelle häufig als IT-Supportmitarbeiter aus. Sie überreden ihre Opfer dazu, eine betrügerische Anmeldeseite aufzurufen, ihre Zugangsdaten einzugeben und eine Anmeldeanfrage auf ihrem Smartphone zu bestätigen.

Diese Kombination kann herkömmliche Passwortschutzmaßnahmen umgehen und Angreifern eine legitim wirkende Sitzung verschaffen. Außerdem kann sie ihnen ermöglichen, ohne den Einsatz von Malware auf mehrere verbundene Dienste zuzugreifen.

ReliaQuest erklärte, dass der Vorfall einem bekannten Muster folgte: Anrufe unter falscher Identität, eine kurzlebige ähnlich aussehende Domain, eine Seite zum Abgreifen von Zugangsdaten und Versuche, einen neuen Authentifikator zu registrieren.

Cybersicherheitsunternehmen bleiben attraktive Ziele

Die Behauptung ist bemerkenswert, da ReliaQuest Technologie für Sicherheitsoperationen an Organisationen liefert, die komplexe Bedrohungsumgebungen verwalten.

Cybersicherheitsanbieter haben häufig Zugriff auf sensible Tools, Kundenumgebungen und wertvolle betriebliche Informationen. Das macht sie zu attraktiven Zielen, selbst wenn es Angreifern nicht gelingt, geschützte Systeme zu erreichen.

ShinyHunters hat sich zu mehreren jüngsten Angriffen und Erpressungskampagnen bekannt. Die Gruppe wurde außerdem mit Social-Engineering-Aktivitäten in Verbindung gebracht, bei denen Identitätsanbieter und Unternehmenssoftwareplattformen ins Visier genommen wurden.

Für Organisationen unterstreicht der Vorfall die Notwendigkeit, bei unerwarteten Supportanrufen und Authentifizierungsanfragen vorsichtig zu sein. Mitarbeiter sollten Anfragen über vertrauenswürdige Kanäle überprüfen, insbesondere bevor sie Zugangsdaten eingeben oder Benachrichtigungen zur Multi-Faktor-Authentifizierung bestätigen.