Fortinet confirma la violación de datos de clientes de terceros

Fortinet ha confirmado el uso indebido de los datos de un «pequeño número» de sus clientes después de que un hacker con el apodo algo colorido «Fortibitch» filtrara 440 GB de esa información a través de BreachForums esta semana.

El pirata informático afirmó haber obtenido los datos de un sitio de Azure SharePoint y afirmó que los compartió después de que la empresa se negó a negociar una demanda de rescate con la persona. La situación pone de relieve una vez más la responsabilidad de las empresas, Datos almacenados en repositorios en la nube de tercerosdicen los investigadores.

Acceso no autorizado al entorno SaaS

La propia Fortinet no ha identificado específicamente la fuente de la infracción. Pero en una advertencia del 12 de septiembreLa compañía dijo que alguien «obtuvo acceso no autorizado a una cantidad limitada de archivos almacenados en la instancia Fortinets de una unidad de archivos compartida de terceros basada en la nube».

El proveedor de seguridad, uno de los más grandes del mundo por capitalización de mercado, dijo que el problema afectó a menos del 0,3% de sus más de 775.000 clientes en todo el mundo. Esto elevaría el número de organizaciones afectadas a unas 2.325.

Fortinet dijo que no vio signos de actividad maliciosa relacionada con los datos comprometidos. «Fortinet implementó inmediatamente un plan para proteger a los clientes y se comunicó directamente con los clientes cuando fue necesario y apoyó sus planes de mitigación de riesgos», señaló el proveedor de seguridad en el comunicado. «El incidente no implicó cifrado de datos, el uso de ransomware o acceso a la red corporativa de Fortinet. Fortinet dijo que no espera que el incidente cause ningún daño». impacto significativo en las actividades comerciales o finanzas.

En un informe de inteligencia de amenazas obtenido por Dark Reading, CloudSEK explicó que la compañía observó que un actor de amenazas que usaba el nombre Fortibitch aparentemente filtraba no solo datos de clientes, sino también documentos financieros y de marketing, información de productos, datos de recursos humanos de la India y algunos datos de empleados.

«El actor intentó chantajear a la empresa, pero divulgó los datos tras negociaciones infructuosas», dijo CloudSEK. La empresa sospechaba que el hacker habría intentado inicialmente vender los datos si tuvieran algún valor real.

Fortinet no ha confirmado ni negado si el pirata informático intentó ponerse en contacto con la empresa sobre los datos robados.

La publicación del hacker en BreachForums contenía referencias algo fuera de contexto a La adquisición de Lacework por parte de Fortinet y SiguienteDLP. También se mencionaron algunos otros actores de amenazas, el más interesante de los cuales es una empresa ucraniana llamada DC8044. «No existen conexiones directas entre Fortibitch y DC8044, pero el tono sugiere una historia compartida entre los dos», dijo CloudSEK. «Con base en la información disponible, podemos determinar con moderada certeza que el actor de la amenaza tiene su base en Ucrania».

La infracción como recordatorio de los riesgos de la exposición de los datos en la nube

El ataque a Fortinet -aunque aparentemente no demasiado grave- es un recordatorio del aumento del Riesgos de la divulgación de datos para que las empresas utilicen Software como servicio (SaaS) y otros servicios en la nube sin las barandillas adecuadas. Un escaneo reciente de Metomic Un estudio de aproximadamente 6,5 millones de archivos de Google Drive descubrió que más del 40% de ellos contenían datos confidenciales, incluidos datos de empleados y hojas de cálculo con contraseñas.

Las organizaciones suelen almacenar datos en archivos de Google Drive con poca protección. Más de un tercio (34,2%) de los archivos escaneados se compartieron con direcciones de correo electrónico externas y más de 350.000 archivos se compartieron públicamente.

Según Rich Vibert, CEO y fundador de Metomic, las empresas cometen tres errores fundamentales a la hora de proteger los datos en entornos de nube: No uso Autenticación multifactor (MFA) controlar el acceso a aplicaciones SaaS; Dar a los empleados demasiado acceso a carpetas y activos confidenciales dentro de la propia aplicación; y almacenar datos confidenciales durante demasiado tiempo.

Aún no está claro cómo el hacker pudo haber accedido a los datos del entorno SharePoint de Fortinet. Sin embargo, un escenario probable es que el atacante haya obtenido acceso a credenciales válidas, por ejemplo mediante phishing, y luego haya iniciado sesión y extraído datos de SharePoint y entornos similares, afirma Koushik Pal, reportero de inteligencia de amenazas en CloudSEK. Los ladrones de información también son un vector de ataque «realmente común», señala Pal.

Nuevas consideraciones para la seguridad en la nube

«Por lo general, los desarrolladores deben utilizar variables de entorno, bóvedas o almacenamiento cifrado para información confidencial y evitar codificar credenciales en el código fuente», dice Pal. A menudo, los desarrolladores codifican credenciales como claves API, nombres de usuario y contraseñas en el código fuente y, sin darse cuenta, mueven el código a un repositorio público o privado no seguro desde donde se puede acceder a él con relativa facilidad.

«Las organizaciones deberían hacer que MFA sea obligatorio para el acceso a SharePoint y otros sistemas críticos para evitar el acceso no autorizado, incluso si las credenciales están comprometidas», explica Pal. «Supervise periódicamente los repositorios en busca de credenciales expuestas, datos confidenciales o configuraciones incorrectas, y aplique las mejores prácticas de seguridad en todos los equipos».

Akhil Mittal, gerente senior de ciberseguridad de Synopsys Software Integrity Group, dice que incidentes como el de Fortinet muestran por qué es un error que las empresas dejen la seguridad de sus recursos en la nube completamente en manos de los proveedores de servicios en la nube. “Las empresas deberían Reconsidere cómo almacena los datos de los clientes en unidades compartidas para garantizar que la información importante se mantenga separada de los archivos menos confidenciales», afirma.

También es una buena idea cifrar los datos confidenciales tanto en tránsito como en reposo para limitar los daños, incluso si los atacantes obtienen acceso. Mittal considera fundamental el monitoreo continuo de los activos de la nube para protegerlos. «La aplicación de los principios de Confianza Cero a plataformas de terceros también garantiza que ningún servicio externo sea automáticamente confiable, lo que reduce el riesgo de acceso no autorizado», añade.

No te pierdas lo último Podcast confidencial de lectura oscura, Allí hablamos con dos expertos en ciberseguridad que fueron arrestados en el condado de Dallas, Iowa, y obligados a pasar una noche en la cárcel sólo por realizar sus pruebas de penetración. ¡Escuche ahora!