In juni 2024 kwam een aanzienlijk datalek aan het licht waarbij Snowflake betrokken was, een toonaangevende cloudgebaseerde aanbieder van gegevensopslag en -analyse. Dit incident trof talloze spraakmakende bedrijven en miljoenen individuen, waardoor zorgen ontstonden over de gegevensbeveiliging in cloudomgevingen. De Snowflake-inbreuk benadrukt het belang van het vergroten en verbeteren van oplossingen voor gegevensbeveiliging in cloudomgevingen, zoals het implementeren van robuuste beveiligingsmaatregelen, het regelmatig bijwerken van inloggegevens en het handhaven van waakzaam toezicht op cloudgebaseerde systemen. Dit artikel onderzoekt grondig de Sneeuwvlokbreuk, de impact ervan en de geleerde lessen.
Wat is de Sneeuwvlokbreuk
Het datalek bij Snowflake was een reeks gerichte aanvallen op meerdere Snowflake-klantinstanties. Een cyberbeveiligingsbedrijf dat samen met Snowflake het incident onderzocht, identificeerde een financieel gemotiveerde groep dreigingsactorenacties worden bijgehouden als UNC5537.
Wat is UNC5537
UNC5537 is de manier waarop Mandiant de kwaadaardige activiteit volgt die is gekoppeld aan een enkele groep bedreigingsactoren die zich richt op Snowflake-databaseklanten. Deze cybercriminelen zijn gespecialiseerd in het stelen van gevoelige gegevens van organisaties die gebruik maken van het cloudgebaseerde datawarehousingplatform van Snowflake. Hun voornaamste methode ishet misbruiken van gecompromitteerde inloggegevensverkregen via infosteer-malware.De UNC5537-campagne vormt een aanzienlijke bedreigingaan organisaties die afhankelijk zijn van Snowflake voor gegevensopslag en -beheer. Hun vermogen om gecompromitteerde inloggegevens te misbruiken en MFA te omzeilen onderstreept het cruciale belang van robuuste beveiligingsmaatregelen, waaronder sterke wachtwoordhygiëne, MFA-implementatie en voortdurende monitoring op verdachte activiteiten.
Hoe gebeurde de Sneeuwvlokbreuk?
UNC5537 heeft toegang gekregen tot Snowflake-klantinstanties met behulp van gestolen inloggegevens en accounts zonder multi-factor authenticatie (MFA). Deze inloggegevens werden voornamelijk verkregen via verschillende infostealer-malwarecampagnes die systemen die niet het eigendom van Snowflake waren, infecteerden. Sommige van de gestolen inloggegevens dateren uit 2020, wat de langetermijnrisico’s van gecompromitteerde inloggegevens benadrukt. Drie belangrijke factoren hebben tot talloze succesvolle compromissen geleid:
- Gebrek aan multi-factor authenticatie (MFA) op getroffen accounts
- Gebruik van verouderde inloggegevens die jaren geleden zijn gestolen
- Door het ontbreken van een netwerk kunnen lijsten de toegang tot vertrouwde locaties beperken
Eenmaal in een Snowflake-database gebruikt UNC5537 een aangepaste tool genaamd "rapeflake" om verkenningen uit te voeren en mogelijk kwetsbaarheden te misbruiken. Vervolgens exfiltreren ze grote hoeveelheden gegevens met behulp van een reeks SQL-opdrachten. Nadat ze de gegevens hebben gestolen, plegen de dreigingsactoren afpersing en eisen ze losgeld van hun slachtoffers. Bovendien verkopen ze de gestolen gegevens vaak met winstoogmerk op cybercriminaliteitsforums.
Spraakmakende slachtoffers van Snowflake-datalekken
Snowflake werd een bekend geval omdat verschillende bedrijven erdoor werden getroffen, waaronder deDatalek Ticketmaster, een van de grootste inbreuken in 2024.Vrijwaring:Het is belangrijk op te merken dat de bijbehorende inbreuken nog niet waren bevestigd op het moment dat dit artikel werd gepubliceerd.
Ticketmaster
Live Nation, het moederbedrijf van Ticketmaster, heeft dit bevestigdongeautoriseerde toegang tot een clouddatabaseomgeving van derdendie voornamelijk Ticketmaster-gegevens bevatten. De inbreuk had mogelijk gevolgen voor 560 miljoen klanten.
Santander-bank
Santander kondigde ongeoorloofde toegang aan tot een database die wordt gehost door een externe provider, waardoor ongeveer 30 miljoen klanten werden getroffen.
AT&T
AT&Tmaakte bekend dat de bel- en sms-gegevens van bijna al zijn mobiele klanten van 1 mei 2022 tot 31 oktober 2022 en op 2 januari 2023 in gevaar waren gebracht. Deze inbreuk trof ongeveer 110 miljoen klanten.
Lees ook:AT&T-gegevensinbreuk: stappen om uw gegevens en privacy te beschermen
Geavanceerde auto-onderdelen
Geavanceerde auto-onderdelenmeldde dat tussen 14 april en 24 mei 2024 ongeautoriseerde toegang tot de Snowflake-omgeving de persoonlijke gegevens van meer dan 2,3 miljoen mensen openbaarde.
Het antwoord van Sneeuwvlok
Snowflake beweert dat de incidenten het gevolg waren van gecompromitteerde gebruikersgegevens en niet van inherente kwetsbaarheden of gebreken in het product van Snowflake zelf. Het bedrijf heeft met getroffen klanten samengewerkt en gedetailleerde richtlijnen voor detectie en verharding verstrekt.
Geleerde lessen en best practices op het gebied van cyberbeveiliging
Na elk datalek worden nieuwe lessen geleerd. Er blijven echter oude menselijke fouten bestaan, waardoor de kans groter wordt dat bedreigingsactoren succesvol zijn in hun zoektocht. De Snowflake-inbreuk leert ons hoe belangrijk het is om een paar basisoplossingen voor cyberbeveiliging toe te passen. Om hun gegevensbeveiliging te verbeteren, kunnen gebruikers en bedrijven de volgende oplossingen gebruiken.
Schakel meervoudige authenticatie (MFA) in
Een van de toegangspunten tijdens de inbreuk waren zwakke inloggegevens zonder MFA-methode. Het implementeren van MFA voegt een beveiligingslaag toe, waardoor ongeautoriseerde toegang moeilijker wordt omdat de accounteigenaar nieuwe toegang moet autoriseren.
Regelmatige legitimatieroulatie
Oude inloggegevens vergemakkelijkten de toegang van cybercriminelen tot de accounts van gebruikers, wat leidde tot het datalek. Om dit te voorkomen, moet u de inloggegevens regelmatig bijwerken en rouleren, vooral voor accounts met uitgebreide machtigingen.
Controleer op verdachte activiteiten
Bekijk logboeken voor uitgevoerde zoekopdrachten, vooral zoekopdrachten waarbij externe gegevenstoegang betrokken is of die mogelijk gevoelige informatie vrijgeven.
Pas een zero-trust-beleid toe
Om ongeautoriseerde toegang binnen uw netwerk te voorkomen, kunt u ervoor zorgen dat elke persoon in uw personeel alleen toegang heeft tot de informatie die nodig is om zijn dagelijkse taken uit te voeren.
