Wie der Hack des Okta-Kundensupports sensible Daten und Zugangsdaten offenlegte

Der Marktführer im Bereich Identitätsmanagement Okta gab am 21. Oktober einen Bruch in seinem Kundensupportsystem bekannt. Das Unternehmen offenbarte, dass es bei der Fehlersuche mit Kunden häufig um eine Aufzeichnung einer Web-Browsersitzung bat. Dabei handelt es sich um sensible Dateien, da sie Kunden-Cookies und Session-Tokens enthalten, auf die bösartige Akteure mit einer gestohlenen Berechtigung zugriffen.

Da Kundensupportteams regelmäßig extrem sensible Informationen von internen und externen Benutzern verarbeiten, ist der Hack des Kundensupportsystems von Okta eine gute Erinnerung für Organisationen, sicherzustellen, dass alle Kundensupportdateien, die sensiblen Kundeninhalt enthalten, durch umfassendes Tracking, Kontrollen und Sicherheit geregelt und geschützt sind. Wenn diese Daten nicht ordnungsgemäß gesichert und über Kommunikationskanäle geteilt werden, die beeinträchtigt werden können, kann dies zu schädlichen DSGVO-Verstößen, Klagen und Schäden für Einzelpersonen führen.

Zu den Risiken gehören:

Persönliche Kundendaten ausgesetzt. Supporttickets, Live-Chat-Transkripte und per E-Mail versendete Inhalte enthalten oft persönliche Informationen wie Namen, Adressen, Kontodetails usw. Diese Daten können für Identitätsdiebstahl genutzt oder im Darknet verkauft werden, wenn sie nicht ordnungsgemäß verschlüsselt sind. Eine angemessene Sicherheit ist entscheidend für die Einhaltung von Vorschriften wie DSGVO, CCPA, HIPAA, und anderen.

Quellcode und geistiges Eigentum gefährdet. Entwicklungs- und Ingenieurteams teilen oft proprietären Quellcode und anderes geistiges Eigentum mit Supportmitarbeitern, um Bugs und andere Probleme zu untersuchen. Diese äußerst wertvollen Daten müssen vor Diebstahl und Missbrauch durch Hacker mit granularen Zugriffskontrollen geschützt werden.

Mitarbeiteranmeldedaten sind gefährdet. Benutzernamen, Passwörter, API-Schlüssel, Token und andere Anmeldedaten werden häufig über Kundensupportkanäle für Fehlerbehebungszwecke geteilt. Mehrfaktorauthentifizierung bietet eine wichtige Schutzschicht gegen Angreifer, die diese Anmeldedaten entführen.

Sensitive interne Daten ausgesetzt. HR-Aufzeichnungen, Finanzdokumente, Kundenlisten, strategische Pläne und mehr werden häufig von Supportmitarbeitern gehandhabt. Diese sensiblen internen Daten können zu Klagen und Wettbewerbsschäden führen, wenn sie nicht ordnungsgemäß gesichert und verletzt werden.

Systemzugriff führt zu Verletzungen. Wie jüngste Verstöße gezeigt haben, können Zugriffsberechtigungen wie Sitzungscookies und API-Schlüssel, die aus Supportdateien extrahiert wurden, Kriminellen das leichtgewichtige Nachahmen von Benutzern und den Bruch in vertrauliche Systeme ermöglichen. Verschlüsselung ist essentiell.

Wie Hacker Zugang zum Support-Portal von Okta erhielten

Basierend auf Angaben von Cybersicherheitsforschern konnten die Hacker die Anmeldedaten für ein Okta-Kundensupport-Konto durch einen zuvor nicht gemeldeten Einbruch erlangen. Mit Zugriff auf dieses kompromittierte Konto konnten die Kriminellen sich direkt in das Online-Kundensupport-Portal von Okta einloggen und Support-Tickets sowie von Oktas Kunden hochgeladene Dateien einsehen. Wichtig zu beachten ist hier, dass das kompromittierte Support-Management-System getrennt vom voll funktionsfähigen Produktionsservice von Okta ist, der nicht vom Kundensupportsystemeinbruch betroffen war.

Die Hauptmethode, mit der die Hacker sensible Kundeninformationen aus dem Kundensupportsystem von Okta extrahierten, bestand darin, HTTP-Archivdateien (HAR), die an Supportvorgänge angehängt waren, herunterzuladen.

HAR-Dateien sind im Wesentlichen Aufzeichnungen von Browsersitzungen, die oft mit Supportmitarbeitern geteilt werden, um technische Probleme zu replizieren und zu beheben. Diese Dateien können äußerst sensible Informationen enthalten, einschließlich:

• Authentifizierungscookies
• API-Schlüssel und Zugriffstoken
• Benutzernamen und Passwörter
• personenbezogene Informationen wie Namen, Adressen usw.
• Eigenes Anwendungscode
• Strategische Dokumente und Kommunikationen

Mit Zugang zu den HAR-Dateien der Kunden konnten die schlechten Akteure aktive Session-Cookies, API-Schlüssel und andere Anmeldedaten erhalten. Sie konnten dann echte Benutzer imitieren und Zugang zu vertraulichen Systemen und Daten von Oktas Kunden Erlangen.

Wie der Okta-Einbruch entdeckt wurde

Der Verstoß wurde ursprünglich am 2. Oktober von BeyondTrust gemeldet. Der Vorfall begann, als BeyondTrust einen Angriff entdeckte, der versuchte, auf ein internes Okta-Administrator-Konto zuzugreifen, um ein gültiges gestohlenes Session-Cookie zu nutzen. BeyondTrust erkannte, dass die Angreifer eine aktive Benutzersitzung aus einer Support-HAR-Datei entführen, um einen Backdoor-Administrationszugang zu ihrem Okta-Portal zu erstellen. Ein weiterer betroffener Kunde, Cloudflare, stellte fest, dass die Hacker gestohlene API-Schlüssel aus einer Mitarbeiter-HAR-Datei verwendet haben, um unangemessen auf einige ihrer Systeme zuzugreifen.

Der Verstoß gegen das Kundensupportsystem von Okta unterstreicht das wachsende Risiko von Supply-Chain-Cyberangriffen und warum Supply-Chain-Angriffe für Cyberkriminelle zu einem Hauptvektor geworden sind. Der IBM Bericht zur Kosten eines Datenverstoßes 2023 hat festgestellt, dass 12% der Datenverstöße im Vorjahr die Software-Supply-Chain betrafen. Gleichzeitig waren an 15% der Verstöße Geschäftspartner beteiligt, wobei Verstöße durch Geschäftspartner fast 12% höhere Kosten verursachten als der durchschnittliche Datenverstoß.

Warum sind diese Datenverstöße schlimmer? Zulieferer und Verkäufer haben häufig breite Zugriffsrechte auf Kundennetzwerke, Daten und Anwendungen. Dies macht sie zu einem attraktiven Sprungbrett für Hacker, um Zielorganisationen zu infiltrieren. Sobald sie sich in den Systemen eines Lieferanten oder Verkäufers befinden, können Angreifer vertrauenswürdige Zugangswege nutzen, um sich leicht seitwärts zu bewegen und leise nachgelagerte Kunden zu kompromittieren. Da dieser Zugriff von einem legitimen Dritten stammt, kann er Sicherheitsmaßnahmen leichter umgehen. Darüber hinaus können Angreifer bei Software-Supply-Chain-Angriffen Zugang zu Hunderten oder sogar Tausenden von Unternehmenssystemen und Daten Erlangen.

Warum modern Support-Plattformen gesichert sein müssen

Diese Datenverletzung unterstreicht die immensen Risiken, die mit Kundensupport-Systemen im Jahr 2023 verbunden sind. Moderne Kundensupport-Teams verarbeiten unglaublich sensible Informationen von internen und externen Nutzern. Einige der Risiken sind:

Persönliche Kundendaten ausgesetzt

Support-Tickets, Live-Chat-Protokolle und per E-Mail versandte Inhalte enthalten oft persönliche Informationen wie Namen, Adressen, Kontodetails usw. Diese Daten können für Identitätsdiebstahl oder Verkauf im Darknet genutzt werden. Eine angemessene Verschlüsselung ist entscheidend für die Compliance mit Vorschriften wie DSGVO, CCPA, HIPAA und anderen.

Quellcode und IP gefährdet

Entwicklungs- und Ingenieurteams teilen oft proprietären Quellcode und anderes geistiges Eigentum mit Support-Mitarbeitern, um Fehler und andere Probleme zu untersuchen. Diese äußerst wertvollen Daten müssen vor Diebstahl und Missbrauch durch Hacker geschützt werden.

Mitarbeiter-Anmeldedaten in Gefahr

Benutzernamen, Passwörter, API-Schlüssel, Token und andere Anmeldedaten werden häufig über Kundensupport-Kanäle zum Zwecke der Fehlerbehebung geteilt. Angreifer können diese nutzen, um Zugang zu internen Unternehmenssystemen und -daten zu erlangen. Die Multi-Faktor-Authentifizierung bietet eine zusätzliche Schutzebene, um den Diebstahl von Anmeldedaten zu mildern.

Sensible interne Daten ausgesetzt

HR-Dokumente, Finanzunterlagen, Kundenlisten, strategische Pläne und mehr werden häufig von Support-Mitarbeitern bearbeitet. Diese sensiblen internen Daten können zu Compliance-Verstößen, Klagen und Wettbewerbsschäden führen, wenn sie nicht ordnungsgemäß gesichert und verletzt werden.

Systemanmeldungen öffnen Türen

Wie dieser Okta-Zwischenfall zeigt, können Zugangsdaten wie Session-Cookies und API-Schlüssel, die aus Supportdateien extrahiert werden, Kriminellen ermöglichen, Benutzer leicht zu imitieren und in vertrauliche Systeme einzudringen. Die Verschlüsselung dieser Daten ist unerlässlich.

Unverzichtbare Sicherheitsfunktionen für den Kundensupport

Um Sicherheitsverletzungen in Kundensupportsystemen zu verhindern, benötigen Organisationen Lösungen, die Folgendes beinhalten:

Vollständige Inhaltsverschlüsselung

Alle Inhalte, die innerhalb von Kundensupportplattformen übertragen und gespeichert werden, sollten mit starken Standards wie AES-256 Ende-zu-Ende verschlüsselt werden. Dies bietet ein kritisches Sicherheitsnetz, wenn Systeme von Angreifern kompromittiert werden.

Granulare Zugriffskontrollen

Feingranulare Zugriffskontrollen auf Inhalte ermöglichen es Unternehmen, den Zugriff mit minimaler Privilegien auf einer “Need-to-Know”-Basis durchzusetzen. Dies begrenzt den Schaden für den Fall, dass Mitarbeiteranmeldedaten gestohlen werden.

Vollständige Aktivitätsprotokollierung

Detaillierte Protokolle, die alle Zugriffe, Freigaben, Downloads, Löschungen usw. auf Kundensupportplattformen aufzeichnen, sind unerlässlich, um Missbrauch zu erkennen und die Berichtsanforderungen für die Compliance zu erfüllen.

Native App-Integrationen

Nahtlose Integrationen mit weit verbreiteten Tools wie E-Mail, Salesforce, Slack, Zendesk und anderen ermöglichen sichere Inhaltsworkflows ohne Änderung der Benutzerprozesse. Anbaugeräte führen zu riskanten Umgehungen.

Gültige Compliance-Zertifizierungen

Aktuelle Audits wie SOC 2, ISO 27001, FedRAMP und HIPAA zeigen, dass Plattformen strenge Sicherheitsstandards für den Umgang mit sensiblen Daten erfüllen.

Wie Kiteworks sensible Inhalte des Kundensupports sichert

Kiteworks bietet eine speziell entwickelte Inhaltskommunikationsplattform, die entwickelt wurde, um strenge Sicherheitskontrollen zu bieten, die auf moderne Kundensupportteams zugeschnitten sind. Nachfolgend sind einige der zentralen Fähigkeiten:

Erstklassige Verschlüsselung schützt Daten

Kiteworks verwendet branchenführende AES-256-Bit-Verschlüsselung, um Kundensupport-Kommunikation sowohl im Transit als auch im Ruhezustand zu sichern. Diese militärgrade Verschlüsselung macht im Grunde genommen aufgebrochene Inhalte unbrauchbar und für nicht autorisierte Parteien unlesbar. Kiteworks verwaltet Verschlüsselungsschlüssel auf eine höchst sichere proprietäre Art und Weise. Alle Verschlüsselungsoperationen werden vollständig auf der eigenen Infrastruktur des Kunden für optimale Sicherheit behandelt.

Granulare Zugriffsrichtlinien begrenzen Datenexposition

Kiteworks ermöglicht es Admins, kontextbezogene Zugriffsrichtlinien auf der Grundlage von Benutzerrollen, Inhaltsattributen und anderen Variablen zu konfigurieren. Dies ermöglicht präzise Einschränkungen des Zugriffs auf vertrauliche Daten basierend auf dem Prinzip der geringstmöglichen Berechtigung. Beispielsweise können Richtlinien einschränken, welche Supportmitarbeiter bestimmte Arten von sensiblen Kundendaten oder internen Dokumenten basierend auf ihrer Zuständigkeitsbereich, Clearance-Ebene, Fallart, und anderen Faktoren einsehen können. Dies minimiert den Schaden, wenn Zugangsdaten kompromittiert werden.

Vollständige Aktivitäts-Audit-Protokolle erkennen Bedrohungen

Kiteworks protokolliert automatisch alle Benutzer-, Inhalts- und Systemaktivitäten innerhalb der Plattform und erstellt vollständige Audit-Protokolle. Dies ermöglicht es Organisationen, Zugriff auf sensible Kommunikation zu überwachen und Compliance-Anforderungen zu erfüllen. Audit-Protokolle erfassen sensible Vorgänge wie Inhalt-Uploads, Downloads, Löschungen, Richtlinienänderungen, Logins und Berechtigungsänderungen. Alerts markieren automatisch verdächtige Aktivitäten zur Untersuchung.

Enge Integration mit bestehenden Systemen

Die Kiteworks-Plattform ist tief mit Salesforce Service Cloud und anderen Unternehmensanwendungen integriert. Dies ermöglicht nahtlose Kundensupport-Workflows ohne Störungen. Supportmitarbeiter können Kommunikation direkt in vertrauten Tools effizient teilen, ohne riskante manuelle Workarounds wie das Herunterladen und erneute Hochladen sensibler Inhalte, die Daten freigeben können.

Streng geprüft für Sicherheitskonformität

Kiteworks unterzieht sich strengen Audits und Zertifizierungen durch Dritte, einschließlich FedRAMP, IRAP, SOC 2 Typ II, HIPAA, ISO 27001, und PCI DSS, um seine Sicherheitsposition zu überprüfen. Kunden können die umfangreiche Kontrolle von Kiteworks zur Sicherung sensibler Daten überprüfen. Compliance-Berichte schaffen Transparenz über relevante Sicherheitsrichtlinien, Verfahren und Kontrollen. Kunden können diese Berichte an Prüfer, Regulierungsbehörden und Partner weitergeben, um strenge Datensicherung nachzuweisen.

Modernes Kundensupport für sensible Datenkommunikation

Der Okta-Breach bietet eine ernüchternde Erinnerung an die immensen Risiken, die Kundensupport-Plattformen bei der Handhabung von äußerst vertraulichen Kundendaten, Quellcodes, Anmeldeinformationen und anderen sensiblen Informationen schaffen. Moderne Lösungen wie Kiteworks wurden speziell entwickelt, um diese Kanäle durch militärgrade Verschlüsselung, granulare Zugriffskontrollen, Aktivitätsüberwachung, Sicherheitszertifizierungen und private On-Premises-Infrastruktur vor unbefugtem Zugriff zu schützen. Durch die Nutzung dieser Technologien können Unternehmen ihre Kundensupport-Teams sicher mit den erforderlichen Tools ausstatten, um einen hervorragenden Service zu bieten, ohne Massen von sensiblen Daten preiszugeben.

Um die Plattform von Kiteworks in Aktion zu sehen, vereinbaren Sie heute eine individuell angepasste Demo.