Un chercheur indépendant en sécurité a partagé une chronologie détaillée des événements qui se sont produits lorsque le célèbre gang d’extorsion de dollars LAPSUS a fait irruption dans un fournisseur tiers lié au cyberincident d’Okta fin janvier 2022.
Dans une série de captures d’écran publiées sur Twitter, Bill Demirkapi publié une « chronologie d’intrusion » de deux pages prétendument préparée par Mandiant, la société de cybersécurité engagée par Sitel pour enquêter sur la faille de sécurité. Sitel, par le biais de son acquisition de Sykes Enterprises en septembre 2021, est le fournisseur de services tiers qui fournit le support client pour le compte d’Okta.
Le fournisseur de services d’authentification a révélé la semaine dernière que le 20 janvier, il avait été alerté d’un nouveau facteur qui avait été ajouté au compte Okta d’un ingénieur du support client de Sitel, une tentative qui, selon lui, avait réussi et était bloquée.
L’incident n’a été révélé que deux mois plus tard après que LAPSUS$ ait publié des captures d’écran sur sa chaîne Telegram comme preuve de la violation le 22 mars.
Les activités malveillantes, qui ont permis à l’auteur de la menace d’accéder à près de 366 clients Okta, se sont déroulées sur une fenêtre de cinq jours entre le 16 et le 21 janvier, au cours de laquelle les pirates ont effectué différentes phases de l’attaque, y compris l’élévation des privilèges après avoir pris pied, maintenir la persévérance, le mouvement latéral et la reconnaissance interne du réseau.
Okta a affirmé qu’il avait partagé des indicateurs de compromis avec Sitel le 21 janvier et qu’il n’avait reçu un rapport de synthèse sur l’incident de Sitel que le 17 mars. Par la suite, le 22 mars, le même jour, le groupe criminel a partagé les captures d’écran, il l’a dit. obtenu une copie du rapport d’enquête complet.
Par la suite, le 22 mars, le jour même où le groupe criminel a partagé les captures d’écran, il a obtenu une copie du rapport d’enquête complet.
« Même lorsque Okta a reçu le rapport Mandiant en mars détaillant explicitement l’attaque, ils ont continué à ignorer les signes évidents de violation de leur environnement jusqu’à ce que LAPSUS$ braque les projecteurs sur leur inaction », a écrit Demirkapi dans un fil de tweet.
La société basée à San Francisco, dans une FAQ détaillée publiée le 25 mars, a reconnu que son incapacité à informer ses utilisateurs de la violation en janvier était une « erreur ».
« À la lumière des preuves que nous avons recueillies la semaine dernière, il est clair que nous aurions pris une décision différente si nous avions été en possession de tous les faits dont nous disposons aujourd’hui », a déclaré Okta. mentionnéajoutant qu’il « devrait obtenir des informations plus activement et avec plus de force de la part de Sitel ».
Le développement intervient alors que la police de la ville de Londres a déclaré à The Hacker News la semaine dernière que sept personnes liées au gang LAPSUS $ avaient été arrêtées puis relâchées sous enquête. « Nos enquêtes sont toujours en cours », a ajouté l’agence.