Cloudflare baru-baru ini mengungkapkan pelanggaran keamanan yang mengekspos data dukungan pelanggan melalui integrasi pihak ketiga yang dikompromikan. Insiden ini menyoroti kekhawatiran yang berkembang tentang serangan rantai pasokan yang menargetkan integrasi perangkat lunak bisnis-ke-bisnis, mempengaruhi ratusan organisasi di seluruh dunia.
Organisasi Lain yang Terdampak:
- Zscaler
- Palo Alto Networks
- Setidaknya 700 total korban yang dilacak oleh Google Threat Intelligence
- Serangan menargetkan pelanggan Salesloft dengan integrasi Salesforce
Detail Pelanggaran dan Dampak Pelanggan
Serangan terjadi antara 9-17 Agustus 2023, ketika pelaku ancaman memperoleh akses ke instance Salesforce milik Cloudflare melalui kredensial OAuth yang dikompromikan dari Salesloft , sebuah platform keterlibatan penjualan. Pelanggaran tersebut mengekspos informasi kontak pelanggan, detail kasus dukungan, dan data yang berpotensi sensitif seperti token API yang mungkin telah dibagikan pelanggan dalam tiket dukungan.
Cloudflare menemukan 104 token API dalam data yang dikompromikan dan secara proaktif merotasi semuanya sebagai tindakan pencegahan. Perusahaan menekankan bahwa tidak ada layanan inti Cloudflare atau infrastruktur yang dikompromikan, membatasi dampak pada data sistem dukungan pelanggan mereka.
Jenis Data yang Terkompromi:
- Informasi kontak pelanggan (nama, email, nomor telepon)
- Baris subjek kasus dukungan dan korespondensi
- Data sensitif yang berpotensi dibagikan dalam tiket dukungan ( API tokens , log, kata sandi)
- 104 Cloudflare API tokens teridentifikasi dan dirotasi
Respons Komunitas dan Masalah Akses
Notifikasi pelanggaran telah memicu diskusi di antara pengguna tentang akses data dan akuntabilitas vendor. Beberapa pelanggan yang terdampak melaporkan kesulitan mengakses riwayat kasus dukungan mereka untuk meninjau informasi apa yang mungkin telah terekspos. Pengguna tingkat gratis khususnya mengalami kesulitan dengan mengakses catatan dukungan, meskipun menerima notifikasi pelanggaran.
Mereka jelas gagal menguji proses mereka pada setiap jenis akun.
Beberapa pengguna mencatat bahwa respons Cloudflare menonjol dibandingkan dengan pelanggaran vendor lain yang baru terjadi, memuji timeline detail perusahaan dan penerimaan tanggung jawab atas pilihan vendor pihak ketiga mereka.
 |
|---|
| Ilustrasi ini menangkap suasana introspektif mengenai tantangan yang dihadapi pengguna dalam mengakses data mereka di tengah pelanggaran data, menekankan pentingnya akuntabilitas vendor |
Kampanye Serangan Rantai Pasokan yang Lebih Luas
Insiden ini merupakan bagian dari serangan rantai pasokan yang lebih besar yang mempengaruhi perusahaan teknologi besar termasuk Google , Zscaler , dan Palo Alto Networks . Google Threat Intelligence Group melacak setidaknya 700 korban dalam kampanye ini, menunjukkan dampak luas dari menargetkan integrasi perangkat lunak bisnis yang populer.
Metode serangan melibatkan kompromi sistem Salesloft untuk mencuri kredensial OAuth, yang kemudian memberikan akses ke sistem pelanggan yang terhubung. Teknik ini memungkinkan penyerang untuk melanggar beberapa organisasi melalui kompromi vendor tunggal, membuatnya menjadi target yang menarik bagi pelaku ancaman yang canggih.
Kronologi Serangan:
- 9 Agustus 2023: Upaya reconnaissance awal
- 12 Agustus 2023: Pelaku ancaman memperoleh akses melalui kredensial Salesloft yang dicuri
- 13-14 Agustus 2023: Enumerasi data dan pemetaan lingkungan
- 16-17 Agustus 2023: Eksfiltrasi data tahap akhir
- 20 Agustus 2023: Salesloft mencabut koneksi OAuth
- 23 Agustus 2023: Cloudflare memulai respons insiden
Rekomendasi Keamanan dan Pelajaran yang Dipetik
Cloudflare memberikan rekomendasi keamanan detail bagi organisasi untuk melindungi dari serangan serupa. Langkah-langkah kunci termasuk segera memutuskan integrasi Salesloft , merotasi semua kredensial aplikasi pihak ketiga, dan menerapkan jadwal rotasi kredensial reguler.
Perusahaan juga menekankan pentingnya meninjau data kasus dukungan untuk informasi sensitif dan menerapkan kontrol akses hak istimewa minimum untuk integrasi pihak ketiga. Pemantauan yang ditingkatkan untuk pola akses data yang tidak biasa dan login dari lokasi yang tidak familiar dapat membantu mendeteksi serangan semacam itu lebih awal.
Insiden ini berfungsi sebagai pengingat bahwa bahkan perusahaan yang berfokus pada keamanan tetap rentan terhadap serangan rantai pasokan. Karena bisnis semakin bergantung pada layanan perangkat lunak yang saling terhubung, keamanan vendor pihak ketiga menjadi sama kritisnya dengan langkah-langkah keamanan internal.
Referensi: The impact of the Salesloft Drift breach on Cloudflare and our customers