В конце апреля видеохостинг Vimeo, занимающий вторую строчку по популярности после YouTube, официально подтвердил инцидент информационной безопасности. В результате взлома пострадали около 119 000 пользователей и клиентов сервиса. Однако реальные масштабы проблемы выходят далеко за пределы одной платформы, затрагивая десятки компаний по всему миру.
Содержание
Вектор атаки через стороннего поставщика
Ответственность за инцидент взяла на себя хакерская группировка ShinyHunters. Источником проблемы стала компания Anodot, специализирующаяся на аналитике и выявлении аномалий в режиме реального времени. Продукт Anodot требует предоставления прямого доступа к облачным хранилищам данных клиентов, включая такие платформы, как Snowflake, BigQuery, S3 и Kinesis.
В начале апреля в Anodot был зафиксирован масштабный сбой в работе систем сбора данных. Как выяснилось позже, под видом технического сбоя скрывалось целенаправленное вторжение. Злоумышленники получили доступ к среде Anodot, где смогли перехватить OAuth-токены и ключи API, использовавшиеся для взаимодействия с облаками клиентов. Это позволило хакерам получить прямой доступ к данным десятков организаций, включая Rockstar Games.
Масштабы ущерба
По данным аналитиков, в список жертв, чьи данные оказались скомпрометированы через инфраструктуру Anodot, попали многие известные бренды:
- Vimeo (метаданные видео, названия роликов и адреса электронной почты; пароли и платежная информация не пострадали)
- Rockstar Games
- Zara
- Adidas
- Crunchyroll
- Udemy
- ADT
Новая модель рисков в B2B-секторе
Данный случай наглядно демонстрирует изменение стратегии киберпреступников. Сегодня поставщик услуг, имеющий привилегированный доступ к инфраструктуре заказчика, становится «ценной целью». Взлом одного такого партнера открывает злоумышленникам путь к множеству дочерних и клиентских сред.
Современные архитектуры, основанные на облачных решениях, SaaS-моделях и интеграциях через API, значительно усложняют периметр защиты. Взаимосвязанность систем, которая упрощает автоматизацию, создает скрытые пути для атак. В подобных условиях сертификаты соответствия и регулярные аудиты не всегда гарантируют безопасность, так как они не учитывают риски распространения угрозы в случае компрометации доверенного посредника.
Стратегии защиты и пересмотр подходов
Специалисты по информационной безопасности рекомендуют пересмотреть принципы делегирования доступа. К числу приоритетных мер относятся:
- Минимизация привилегий и отказ от постоянного доступа в пользу временных учетных данных.
- Внедрение механизмов отзыва прав доступа, контролируемых непосредственно клиентом.
- Ограничение хранения корпоративных данных на стороне сторонних поставщиков.
- Переход к модели, при которой данные передаются от поставщика к клиенту, а не наоборот.
Эксперты подчеркивают, что наиболее надежной защитой является выбор архитектуры, при которой поставщик не получает ключи от инфраструктуры заказчика. Если данные поступают через управляемый поток или API, взлом среды поставщика не превращается в «универсальный ключ» к системе безопасности клиента.
* — деятельность компании запрещена на территории РФ
