Okta попала в ловушку собственной функции аутентификации

Компания Okta сообщила о росте числа атак методом подстановки учётных данных на фирменную облачную платформу идентификации клиентов Customer Identity Cloud (CIC). Атаки направлены в первую очередь на уязвимость в аутентификации между разными источниками (Cross-Origin Authentication).

Подозрительная активность началась 15 апреля 2024 года. Okta оперативно уведомила клиентов, у которых эта функция была включена, но не раскрыла точное количество пострадавших.

Подстановка учётных данных — это тип кибератаки, при котором злоумышленники пытаются войти в онлайн-сервисы, используя уже доступный список имён пользователей и паролей, полученный из предыдущих утечек данных, фишинговых атак или вредоносного ПО.

Okta рекомендует пользователям проверить журналы на наличие неожиданных событий входа, таких как неудачные попытки аутентификации между разными источниками (failed cross-origin authentication, fcoa), успешные попытки такой аутентификации (success cross-origin authentication, scoa) и утечки паролей (password leak, pwd_leak). Также компания советует сменить учётные данные и ограничить или отключить аутентификацию между разными источниками.

Клиенты компании, вероятно, были подвергнуты атаке методом подстановки учётных данных, независимо от использования данного типа аутентификации, если в журналах событий присутствуют scoa или fcoa и наблюдается рост неудачных попыток входа.

Среди других мер по смягчению последствий атак — включение обнаружения утечек паролей или Credential Guard, запрет на использование слабых паролей и внедрение методов аутентификации без паролей, устойчивых к фишингу, с использованием новых стандартов, таких как технология Passkey.

Ранее Okta уже предупреждала о росте частоты и масштабов атак методом подстановки учётных данных на онлайн-сервисы, которые поддерживаются с помощью локальных прокси-сервисов.