Доставчикът на услуги за управление на идентичността и удостоверяването Okta разкри в петък, че неотдавнашният пробив в системата за управление на случаи на поддръжка е засегнал 134 от 18 400 негови клиенти.
ОКТА отбеляза още, че неоторизираният нарушител е получил достъп до системите от 28 септември до 17 октомври 2023 г. и в крайна сметка е получил достъп до HAR файлове, съдържащи токени за сесии, които биха могли да се използват за атаки за отвличане на сесии.
„УИзвършителят е успял да използва тези токени за сесии, за да отвлече легитимните сесии на Okta на 5 клиенти“, заяви главният директор по сигурността на Okta Дейвид Бредбъри.
Трима от засегнатите включват 1Password, BeyondTrust и Cloudflare. 1Password беше първата компания, която съобщи за подозрителна дейност на 29 септември. Други двама неназовани клиенти бяха идентифицирани на 12 и 18 октомври.
‘Вероятен път за разкриване на това удостоверение е компрометирането на личния акаунт на служителя в Google или на личното му устройство“, каза Бредбъри.
Оттогава Okta е анулирала сесийните токени, вградени в HAR файловете, споделени от засегнатите клиенти, и е деактивирала компрометирания служебен акаунт.
Компанията също така е блокирала използването на лични профили в Google в корпоративните версии на Google Chrome, като е попречила на служителите си да влизат в личните си акаунти на лаптопи, управлявани от Okta.
„Okta пусна свързване на токени на сесии въз основа на местоположението в мрежата като подобрение на продукта, за да се бори със заплахата от кражба на токени на сесии срещу администраторите на Okta“, каза Бредбъри.
„Сега администраторите на Okta са принудени да се удостоверяват отново, ако открием промяна в мрежата. Тази функция може да бъде активирана от клиентите в секцията за ранен достъп на администраторския портал на Okta.“
Разработката идва няколко дни след като Okta разкри, че лична информация, принадлежаща на 4961 настоящи и бивши служители, е била изложена на риск, след като доставчикът на здравно покритие Rightway Healthcare е бил пробит на 23 септември 2023 г. Компрометираните данни са включвали имена, номера на социални осигуровки и планове за здравно или медицинско осигуряване.
