แฮ็กเกอร์ใช้สิทธิ์ AWS ของ Qubole เจาะบัญชีและขโมยข้อมูลลูกค้า

แพลตฟอร์ม Qubole ซึ่งเป็นแพลตฟอร์มดาต้าเลก์ที่ Idera เป็นเจ้าของ ถูกเชื่อมโยงกับเหตุการณ์ขโมยข้อมูลในระบบคลาวด์ เมื่อผู้โจมตีใช้ข้อมูลรับรองของบัญชี AWS ที่แพลตฟอร์มใช้เพื่อเข้าถึงลูกค้า บัญชีของลูกค้าหลายรายจึงถูกเข้าถึง และมีข้อมูลลับรวมถึงข้อมูลที่จัดเก็บไว้ถูกขโมยออกไป

เหตุการณ์ดังกล่าวเกิดขึ้นระหว่างวันที่ 14 ถึง 26 ตุลาคม โดยบริษัทด้านความปลอดภัยในระบบคลาวด์ Wiz เป็นผู้เปิดเผยข้อมูล แม้กลไกการเข้าถึงบัญชีลูกค้าจะชัดเจนว่าเกิดจากการใช้สิทธิ์ที่แพลตฟอร์มมีอยู่ แต่วิธีที่ผู้โจมตีได้สิทธิ์ดังกล่าวยังไม่ถูกเปิดเผย

ผู้โจมตีใช้สิทธิ์ของบัญชีกลางเข้าถึงลูกค้า

กลไกสำคัญ ของเหตุการณ์อยู่ที่การใช้ข้อมูลรับรองของบัญชี AWS บัญชีหนึ่งที่แพลตฟอร์ม Qubole ใช้ในการเข้าถึงบัญชีและข้อมูลของลูกค้า สิทธิ์ดังกล่าวเป็นสิทธิ์ที่มีอยู่และได้รับความเชื่อถือในการเชื่อมต่อ จึงทำหน้าที่เป็นเส้นทางจากผู้โจมตีไปยังสภาพแวดล้อมของลูกค้าใน AWS ได้

เหตุการณ์นี้จึงเกี่ยวข้องกับการนำข้อมูลรับรองที่มีอยู่ในระบบมาใช้ อย่างไรก็ตาม ข้อมูลที่เผยแพร่ยังไม่ระบุขอบเขตของสิทธิ์ที่ถูกนำไปใช้ เช่นเข้าถึงบัญชีใดบ้าง อ่านหรือแก้ไขข้อมูลส่วนใด หรือมีระยะเวลาการใช้งานเท่าใด

ช่วงเวลาและขอบเขตของการเข้าถึง

Wiz ระบุว่าการเข้าถึงบัญชีของลูกค้าหลายรายเกิดขึ้นในช่วงวันที่ 14 ถึง 26 ตุลาคม ช่วงเวลานี้เป็นหลายวันและครอบคลุมการเข้าถึงหลายบัญชีในช่วงเดียวกัน โดยข้อมูลที่เปิดเผยยืนยันว่าผู้โจมตีสามารถเข้าถึงบัญชี AWS ที่เป็นของลูกค้า Qubole หลายราย

แม้ข้อมูลจะยืนยันว่ามีหลายบัญชีของลูกค้าได้รับผลกระทบ แต่ยังไม่มีการเปิดเผยจำนวนบัญชีที่ถูกเข้าถึงทั้งหมด หรือรายละเอียดของการดำเนินการต่อกับบัญชีแต่ละบัญชี ข้อมูลที่เปิดเผยจึงเป็นภาพรวมของการเข้าถึงหลายบัญชี ไม่ใช่รายละเอียดของทุกบัญชี

ข้อมูลที่ถูกขโมยและผลกระทบ

สิ่งที่ถูกขโมยตามข้อมูลของ Wiz คือข้อมูลลับที่จัดเก็บไว้และข้อมูลที่อยู่ในบัญชีของลูกค้า ข้อมูลที่เปิดเผยไม่ได้ระบุรายละเอียดว่าข้อมูลลับเป็นชนิดใด มีจำนวนเท่าใด หรือข้อมูลใดถูกนำไปใช้หลังจากขโมย

ผลกระทบจึงไม่ได้จำกัดอยู่ที่การเข้าถึงบัญชีเท่านั้น แต่ครอบคลุมถึงข้อมูลที่ถูกนำออกจากบัญชีของลูกค้า เหตุการณ์ดังกล่าวจึงแสดงให้เห็นว่าความเชื่อถือที่ระบบให้แก่สิทธิ์สามารถมีผลต่อความปลอดภัยของหลายบัญชีพร้อมกัน แม้รายละเอียดเกี่ยวกับขอบเขตของการขโมยและการนำข้อมูลไปใช้ยังไม่ได้เปิดเผย

ยังไม่ทราบวิธีได้มาของข้อมูลรับรอง

คำถามสำคัญอีกข้อคือผู้โจมตีได้ข้อมูลรับรองของบัญชี AWS ดังกล่าวมาอย่างไร ข้อมูลที่เปิดเผยระบุชัดว่ายังไม่ทราบวิธีการได้มาและยังไม่มีการเปิดเผยรายละเอียดที่เกี่ยวข้อง จึงยังไม่สามารถระบุได้ว่าการได้มาซึ่งข้อมูลรับรองเกิดจากช่องทางใด

เมื่อสาเหตุยังไม่ชัดเจน ก็ยังไม่สามารถสรุปได้ว่าการเข้าถึงทั้งหมดเกิดจากช่องโหว่ของแพลตฟอร์ม การจัดการสิทธิ์ หรือเหตุการณ์อื่น การเปิดเผยวิธีได้มาจึงเป็นข้อมูลสำคัญที่จำเป็นสำหรับการทำความเข้าใจเหตุการณ์และการประเมินผลกระทบอย่างแม่นยำ

สิทธิ์ที่เชื่อถือช่วยขยายผลกระทบได้อย่างไร

Qubole เป็นแพลตฟอร์มดาต้าเลก์ที่ Idera เป็นเจ้าของ และการเข้าถึงลูกค้าผ่านบัญชี AWS ของแพลตฟอร์มเป็นส่วนหนึ่งของวิธีการให้บริการ เมื่อสิทธิ์ในเส้นทางนี้ถูกนำไปใช้โดยผู้โจมตี ผลกระทบจึงสามารถขยายจากบัญชีของแพลตฟอร์มไปยังบัญชีของลูกค้าได้

อย่างไรก็ตาม ข้อมูลที่เปิดเผยยังไม่สรุปว่าช่องโหว่อยู่ในตัว Qubole หรือในบริการของ AWS สิ่งที่ยืนยันได้คือข้อมูลรับรองดังกล่าวถูกนำไปใช้เข้าถึงบัญชีของลูกค้าหลายราย และทำให้ข้อมูลลับกับข้อมูลที่จัดเก็บไว้ถูกขโมย เหตุการณ์จึงเป็นบทเรียนสำคัญสำหรับการประเมินความเสี่ยงของการเชื่อมต่อบัญชีลูกค้าผ่านสิทธิ์ของแพลตฟอร์ม

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th