Jedna luka w Metabase uderzyła w trzy firmy naraz

Klienci Framework dostali e-mail jako pierwsi

7 sierpnia Framework, producent naprawialnych, modularnych laptopów, napisał do całej bazy klientów, informując, że ich dane zostały ujawnione. Firma dowiedziała się dzień wcześniej, 6 sierpnia, że atakujący włamał się do ich instancji Metabase 3 sierpnia i wyciągnął rekordy klientów. Framework potwierdził, że skradziono imiona i nazwiska, adresy e-mail, numery telefonów oraz adresy rozliczeniowe i wysyłkowe. Dane płatnicze zostały wyraźnie wyłączone z ujawnienia, co Framework jasno zaznaczył w swoim zawiadomieniu.

Sama firma Framework nie została zhakowana w żadnym bezpośrednim sensie. Żadna wadliwa linia kodu we własnym systemie nie była przyczyną. Firma była klientem Metabase, platformy business intelligence, której wiele firm używa do analizy własnych danych operacyjnych i sprzedażowych, a atakujący wszedł przez Metabase, nie przez Framework.

Luka była w Metabase, nie u żadnego z klientów

Metabase ujawniła krytyczną, niewymagającą uwierzytelnienia lukę typu zero-day SQL injection w punkcie końcowym API do resetowania hasła. Atakujący bez żadnych danych uwierzytelniających mógł wstrzykiwać dowolny kod SQL do bazy danych aplikacji, co wystarczyło, by od razu uzyskać dostęp administratora do instancji Metabase. Metabase oświadczyła, że luka dotyczyła również ich produktu Cloud SaaS, i potwierdziła aktywne wykorzystywanie luki, zanim opublikowała poprawkę. Naprawione wersje zaczynają się od 0.58.24 i sięgają aż do 0.63.5 i nowszych, obejmując wszystkie wspierane linie wersji.

To jest szczegół, który właściciele firm często pomijają: podatność tkwiła we własnym kodzie Metabase, a nie w sposobie, w jaki Framework, Tally czy LexisNexis skonfigurowały swoje konta. Każdy klient z dotkniętą, niezałataną instancją był narażony w ten sam sposób, bez własnej winy.

Trzy firmy, jeden dostawca, jedno popołudnie

Framework nie był sam. Również Tally, produkt do formularzy, oraz LexisNexis, firma zajmująca się danymi i badaniami prawniczymi, zostały dotknięte tą samą luką w Metabase. Trzy firmy niemające ze sobą nic wspólnego operacyjnie, obsługujące różne rynki różnymi produktami, w ciągu kilku dni od siebie musiały poinformować klientów o tej samej przyczynie źródłowej. Żadna nie dzieliła z pozostałymi bazy kodu, zespołu bezpieczeństwa ani relacji z tym samym dostawcą. Dzieliły narzędzie BI.

To właśnie ten wzorzec zasługuje na uwagę. Jedna luka w szeroko stosowanej platformie SaaS nie powoduje jednego włamania. Powoduje tyle włamań, ilu klientów ma ta platforma z podatnymi na wykorzystanie danymi w środku, wszystkie naraz, wszystkie możliwe do śledzenia aż do dostawcy, o którym własni klienci dotkniętych firm nigdy nie słyszeli.

Co skradziono i co zawiadomienie wyraźnie wyłącza

Zawiadomienie Framework jest przydatnym wzorcem do czytania każdego powiadomienia o naruszeniu. Wymienia cztery skradzione kategorie: imiona i nazwiska, adresy e-mail, numery telefonów oraz adresy rozliczeniowe lub wysyłkowe. Wymienia jedną wyraźnie wyłączoną kategorię: dane płatnicze. To wyłączenie ma znaczenie, ale nie jest całym obrazem. Imiona i nazwiska, e-maile, telefony i adresy fizyczne to dokładnie surowiec do ukierunkowanego phishingu, prób przejęcia karty SIM i przejmowania kont gdzie indziej, nawet bez jednego numeru karty w grze.

Czytaj każde zawiadomienie o naruszeniu, szukając obu list, tego co potwierdzono jako skradzione i tego co potwierdzono jako nieskradzione, a to, co nie zostało wymienione, traktuj jako nieznane, a nie jako bezpieczne. Zawiadomienie, które uspokaja cię co do danych płatniczych, nie powiedziało ci niczego o twoim numerze telefonu.

Pytanie, które każdy właściciel firmy powinien sobie zadać w tym tygodniu

Większość firm potrafi bez wahania wymienić swój bank i swojego ubezpieczyciela. Znacznie mniej potrafi wymienić każde narzędzie SaaS i BI, które przechowuje żywą kopię danych ich klientów, albo z pewnością powiedzieć, jak wygląda postawa bezpieczeństwa tego dostawcy. Metabase, Salesforce, HubSpot, panel analityczny, platforma wsparcia klienta: każde z nich to drzwi do twojej listy klientów, których nie kontrolujesz i rzadko audytujesz. Dla polskich firm oznacza to również obowiązek zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od wykrycia, niezależnie od tego, gdzie faktycznie tkwiła pierwotna luka.

Praktycznym krokiem nie jest rezygnacja z narzędzi SaaS BI. Jest to sporządzenie krótkiej listy każdego dostawcy mającego dostęp do zapisu lub odczytu danych osobowych klientów, sprawdzenie, którzy z nich mają włączone uwierzytelnianie wieloskładnikowe i szybko łatają luki, oraz bezpośrednie zapytanie każdego z nich, jak wygląda ich harmonogram zgłaszania incydentów. Klienci Framework dowiedzieli się czwartego dnia. Zaplanuj, że twoje własne zawiadomienie dotrze w podobnie krótkim czasie, i zdecyduj już teraz, a nie po nadejściu e-maila, co powiesz swoim własnym klientom.

Czytaj dalej: Wyłącznik Rovo niczego naprawdę nie wyłącza  |  Wasze serwery odziedziczyły 18-letni błąd Linuksa