CrowdStrike потвърди уволнението на служител, който според данните е предоставил чувствителни вътрешни системни детайли на известна хакерска група.

Инцидентът стана публичен в края на четвъртък и сутринта на петък, когато Scattered Lapsus$ Hunters публикуваха на свой Telegram канал скрийншотове, които уж показват достъп до вътрешната среда на компанията.

Какво разкриват скрийншотовете

Разкритите изображения показват вътрешни табла и панели, включително Okta Single Sign-On (SSO), използван от служителите за достъп до корпоративни приложения.

Хакерите твърдят, че тези снимки доказват по-широк компромис, постигнат чрез трети страни – конкретно платформата Gainsight, използвана от клиенти на Salesforce.

Човешка слабост, а не системен пробив

Доклади показват, че хакерите са предложили на служителя 25 000 долара, за да улесни достъпа. Въпреки твърденията за получени authentication cookies, CrowdStrike потвърди, че центърът им за сигурност засича действията преди да е настъпил реален пробив.

Представител на компанията заяви:

„Идентифицирахме и освободихме съмнителен служител миналия месец след вътрешно разследване, което установи, че той е споделял снимки на екрана си външно. Нашите системи не са били компрометирани, а клиентите останаха защитени. Делото е предадено на компетентните органи.“

Повтарящ се модел: атаки чрез трети страни и социално инженерство

Scattered Lapsus$ Hunters са супергрупа, обединяваща членове от Scattered Spider, LAPSUS$ и ShinyHunters, която в последните месеци е насочена към големи корпорации, използвайки трети страни като Gainsight и Salesloft.

През октомври 2025 г. групата твърди, че е ексфилтрирала почти 1 милиард записа от клиенти на Salesforce, включително Allianz Life, Qantas и Stellantis.

Методологията им включва:

• Интензивно социално инженерство

• Вербуване на вътрешни лица за заобикаляне на стандартните защитни механизми

• Комбиниране на ресурсите на три големи киберпрестъпни групи

Изводи и предупреждения

Въпреки че CrowdStrike успешно е ограничила конкретната вътрешна заплаха без да засегне клиентите, инцидентът подчертава постоянната опасност от служители, вербувани чрез социално инженерство.

Ключови послания за индустрията:

• Човешкият фактор остава критична слабост в киберсигурността.

• Множество киберпрестъпни групи могат да координират действията си, създавайки ново ниво на заплаха.

• Постоянното обучение и наблюдение на служителите е жизненоважно за защитата на критични системи.