Siber Muhbir

Ayrıca, yetkisiz davetsiz misafirin 28 Eylül - 17 Ekim 2023 tarihleri arasında sistemlerine erişim sağladığını ve nihayetinde oturum ele geçirme saldırıları için kullanılabilecek oturum belirteçlerini içeren HAR dosyalarına eriştiğini kaydetti.

Okta'nın Baş Güvenlik Sorumlusu David Bradbury, "Tehdit aktörü, 5 müşterinin meşru Okta oturumlarını ele geçirmek için bu oturum belirteçlerini kullanabildi" dedi.

Etkilenenlerden üçü 1Password, BeyondTrust ve Cloudflare'dir. 1Password, 29 Eylül'de şüpheli etkinliği bildiren ilk şirket oldu. 12 Ekim ve 18 Ekim'de ismi açıklanmayan iki müşteri daha tespit edildi.

Okta, 20 Ekim'de güvenlik olayını resmen açıkladı ve tehdit aktörünün Okta'nın destek vaka yönetim sistemine erişmek için çalınan bir kimlik bilgisine erişimden yararlandığını belirtti.

Şimdi, şirket bunun nasıl olduğuna dair daha fazla ayrıntı paylaştı.

Okta'nın müşteri destek sistemine erişimin, sistemin kendisinde depolanan ve müşteri destek vakalarını görüntüleme ve güncelleme ayrıcalıklarına sahip bir hizmet hesabını kötüye kullandığını söyledi.

Daha fazla araştırma, hizmet hesabının kullanıcı adı ve şifresinin bir çalışanın kişisel Google hesabına kaydedildiğini ve kişinin Okta tarafından yönetilen dizüstü bilgisayarının Chrome web tarayıcısında kişisel hesabında oturum açtığını ortaya çıkardı.

Bradbury, "Bu kimlik bilgisinin açığa çıkması için en olası yol, çalışanın kişisel Google hesabının veya kişisel cihazının ele geçirilmesidir" dedi.

Okta o zamandan beri, etkilenen müşteriler tarafından paylaşılan HAR dosyalarına katıştırılmış oturum belirteçlerini iptal etti ve güvenliği ihlal edilmiş hizmet hesabını devre dışı bıraktı.

Ayrıca, Google Chrome'un kurumsal sürümlerinde kişisel Google profillerinin kullanımını engelleyerek, çalışanlarının Okta tarafından yönetilen dizüstü bilgisayarlarda kişisel hesaplarında oturum açmasını engelledi.

Bradbury, "Okta, Okta yöneticilerine karşı oturum belirteci hırsızlığı tehdidiyle mücadele etmek için bir ürün geliştirmesi olarak ağ konumuna dayalı oturum belirteci bağlamasını yayınladı" dedi.

"Okta yöneticileri artık bir ağ değişikliği tespit edersek yeniden kimlik doğrulaması yapmak zorunda kalıyor. Bu özellik, müşteriler tarafından Okta yönetici portalının erken erişim bölümünde etkinleştirilebilir."

Gelişme, Okta'nın 4 Eylül 961'te sağlık sigortası sağlayıcısı Rightway Healthcare'in ihlal edilmesinin ardından 23.2023 mevcut ve eski çalışana ait kişisel bilgilerin ifşa edildiğini açıklamasından günler sonra geldi. Güvenliği ihlal edilen veriler arasında isimler, Sosyal Güvenlik numaraları ve sağlık veya sağlık sigortası planları yer aldı.