Un investigador de seguridad independiente compartió una cronología detallada de los eventos que ocurrieron cuando la notoria banda de extorsión de LAPSUS$ irrumpió en un proveedor externo vinculado al incidente cibernético en Okta a fines de enero de 2022.
En un conjunto de capturas de pantalla publicadas en Twitter, Bill Demirkapi publicado una «línea de tiempo de intrusión» de dos páginas supuestamente preparada por Mandiant, la firma de seguridad cibernética contratada por Sitel para investigar la brecha de seguridad. Sitel, a través de la adquisición de Sykes Enterprises en septiembre de 2021, es el proveedor de servicios externo que brinda atención al cliente en nombre de Okta.
El proveedor de servicios de autenticación reveló la semana pasada que el 20 de enero fue alertado sobre un nuevo factor que se agregó a la cuenta Okta de un ingeniero de atención al cliente de Sitel, un intento que, según dijo, fue exitoso y se bloqueó.
El incidente solo salió a la luz dos meses después de que LAPSUS$ publicara capturas de pantalla en su canal de Telegram como evidencia de la filtración el 22 de marzo.
Las actividades maliciosas, que le dieron acceso al actor de amenazas a casi 366 clientes de Okta, ocurrieron durante un período de cinco días entre el 16 y el 21 de enero, durante el cual los piratas informáticos llevaron a cabo diferentes fases del ataque, incluida la escalada de privilegios después de obtener un punto de apoyo inicial. manteniendo la persistencia, el movimiento lateral y el reconocimiento interno de la red.
Okta afirmó que había compartido indicadores de compromiso con Sitel el 21 de enero y que recibió un informe resumido sobre el incidente de Sitel recién el 17 de marzo. Posteriormente, el 22 de marzo, el mismo día que el grupo criminal compartió las capturas de pantalla, dijo que obtuvo una copia del informe completo de la investigación.
Posteriormente, el 22 de marzo, el mismo día que el grupo criminal compartió las capturas de pantalla, obtuvo una copia del informe completo de la investigación.
«Incluso cuando Okta recibió el informe de Mandiant en marzo que detallaba explícitamente el ataque, continuaron ignorando las señales obvias de que su entorno había sido violado hasta que LAPSUS$ destacó su inacción», escribió Demirkapi en un hilo de tuit.
La empresa con sede en San Francisco, en un FAQ detallado publicado el 25 de marzo, reconoció que no notificar a sus usuarios sobre la infracción en enero fue un «error».
«A la luz de la evidencia que reunimos en la última semana, está claro que habríamos tomado una decisión diferente si hubiéramos tenido todos los hechos que tenemos hoy», dijo Okta. dijoy agregó que «debería haber obtenido información de Sitel de manera más activa y contundente».
El desarrollo se produce cuando la policía de la ciudad de Londres le dijo a The Hacker News la semana pasada que siete personas conectadas con la pandilla LAPSUS$ fueron arrestadas y posteriormente liberadas bajo investigación. «Nuestras investigaciones siguen en curso», agregó la agencia.