Hotaktör påstår att 3,6 miljoner Azure-konton stulits från stora företag

Vad har hänt?

En hotaktör påstår att denne har stulit databaser med anställdas poster från Microsoft Azure-infrastruktur hos flera stora företag. Uppgifterna som rapporteras anger att det rör sig om ungefär 3,6 miljoner kontoposter och att angriparen ska ha använt komprometterade autentiseringsuppgifter för att få åtkomst.

Enligt rapporteringen säljer hotaktören dessa databaser vidare. Det framgår inte i källmaterialet om åtkomsten och datastölden är bekräftad av de drabbade företagen eller av Microsoft — uppgifterna framställs som en påstående från angriparen.

Varför det berör svenska små och medelstora företag

Även om de företag som nämns i rapporten är stora internationella aktörer, är händelsen relevant för svenska SMB av flera skäl:

• Angripare utnyttjar ofta komprometterade autentiseringsuppgifter. De metoder som fungerar mot stora organisationer kan också fungera mot mindre företag om grundläggande identitetsskydd saknas.
• Om leverantörer eller affärspartners blir komprometterade kan det påverka mindre företag i samma ekosystem genom kedjeeffekter och exponering av kontakt- eller personalsystem.
• Data som läcker från större aktörer kan användas i nätfiskekampanjer och riktade attacker mot kunder och underleverantörer.

Det är därför viktigt att inte avfärda sådana rapporter som endast stora företags problem.

Vad bör svenska företag göra nu?

Följande konkreta åtgärder hjälper till att minska risken och att upptäcka om era egna system påverkats:

• Genomför en inventering av molnkonton och administrativa åtkomster, inklusive servicekonton och API-nycklar.
• Säkerställ att multifaktorautentisering (MFA) är obligatoriskt för alla administrativa och privilegierade konton.
• Rotera och återkalla autentiseringsuppgifter som kan ha exponerats, särskilt om ni använder delade eller länge giltiga nycklar och lösenord.
• Granska och begränsa privilegier enligt principen om minsta privilegium. Kontrollera rolltilldelningar i Azure och andra molntjänster.
• Aktivera och övervaka autentiseringsloggar och larm för misstänkt inloggningsbeteende (t.ex. inloggningar från ovanliga platser eller enheter).
• Utför sökningar efter eventuellt läckta interna databaser eller listor på öppna marknadsplatser och kontakta relevanta leverantörer om ni hittar tecken på exponering.
• Säkerställ att incidentresponsplan och kontaktvägar för leverantörer är uppdaterade så ni snabbt kan agera vid misstanke om intrång.
• Överväg att informera berörda anställda och att ge riktad säkerhetsinformation om nätfiske och social manipulation.
• Bedöm om eventuella dataläckor kan utlösa legala eller regulatoriska åtgärder, till exempel under dataskyddslagstiftning.

Avslutande råd

Rapporter om stora datastölder i molnet understryker vikten av identitetsskydd och leverantörskontroll. Prioritera omedelbara steg för att skydda autentiseringsuppgifter, öka övervakningen och säkerställ att ni har en plan för att hantera potentiella avvikelser.

Källa: BleepingComputer