ما لا تقوله Snowflake عن خروقات بيانات عملائها

إن المشكلات الأمنية التي تواجهها Snowflake في أعقاب الموجة الأخيرة من سرقة بيانات العملاء آخذة في الارتفاع، بسبب عدم وجود كلمة أفضل.

بعد أن كانت Ticketmaster أول شركة تربط خرق بياناتها الأخير بشركة البيانات السحابية Snowflake، أكد موقع مقارنة القروض LendingTree أن شركة QuoteWizard التابعة لها قد سُرقت بيانات من Snowflake.

“يمكننا أن نؤكد أننا نستخدم Snowflake في عملياتنا التجارية وأنه تم إخطارنا بأن فرعنا، QuoteWizard، ربما كان لديه بيانات متأثرة بهذا الحادث،” قالت المتحدثة باسم LendingTree ميغان جريولنج لـ TechCrunch.

“نحن نأخذ هذه الأمور على محمل الجد وعلى الفور بعد أن نسمع منها [Snowflake] وقال المتحدث: “بدأت تحقيقًا داخليًا”. وأضاف المتحدث: “حتى هذا الوقت، لا يبدو أن معلومات الحساب المالي للمستهلك قد تأثرت، ولا المعلومات الواردة من الكيان الأم، LendingTree”، رافضًا التعليق أكثر، مشيرًا إلى التحقيق المستمر.

ومع تقدم المزيد من العملاء المتأثرين، لم تقل شركة Snowflake سوى القليل أبعد من بيان موجز على موقعه على الانترنت التأكيد على أنه لم يكن هناك خرق للبيانات في أنظمتها الخاصة، بل أن عملائها لم يستخدموا المصادقة متعددة العوامل، أو MFA، وهو إجراء أمني لا تفرضه Snowflake أو تطلب من عملائها تمكينه افتراضيًا. لقد فاجأ Snowflake بالحادث وقال إن الحساب “التجريبي” للموظف السابق قد تعرض للاختراق لأنه كان محميًا فقط باسم المستخدم وكلمة المرور.

وفي بيان صدر يوم الجمعة، تمسكت سنوفليك بردها حتى الآن وقالت إن موقفها “لم يتغير”. نقلاً عن بيانه السابق يوم الأحد، قال براد جونز، كبير مسؤولي أمن المعلومات في Snowflake، إن هذه كانت “حملة تستهدف المستخدمين من خلال المصادقة ذات العامل الواحد” وأنها استخدمت بيانات الاعتماد المسروقة من البرامج الضارة لسرقة البيانات أو تم الحصول عليها من خروقات البيانات السابقة.

يبدو أن نقص MFA يرجع إلى الطريقة التي قام بها مجرمو الإنترنت بتنزيل كميات هائلة من البيانات من بيئات عملاء Snowflake، والتي لم تكن محمية بطبقة أمنية إضافية.

عثر موقع TechCrunch في وقت سابق من هذا الأسبوع على مئات من بيانات اعتماد عملاء Snowflake التي تمت سرقتها بواسطة برامج ضارة لسرقة كلمات المرور والتي أصابت أجهزة الكمبيوتر الخاصة بالموظفين الذين يمكنهم الوصول إلى بيئة Snowflake الخاصة بصاحب العمل. يشير عدد بيانات الاعتماد إلى أنه لا يزال هناك خطر بالنسبة لعملاء Snowflake الذين لم يغيروا كلمات المرور الخاصة بهم أو يقومون بتمكين MFA بعد.

على مدار الأسبوع، أرسلت TechCrunch أكثر من عشرة أسئلة إلى Snowflake حول الحادث المستمر الذي يؤثر على عملائها بينما نواصل تقديم التقارير عن القصة. رفضت Snowflake الإجابة على أسئلتنا في ست مناسبات على الأقل.

هذه بعض الأسئلة التي نطرحها على أنفسنا ولماذا.

ليس من المعروف حتى الآن عدد عملاء Snowflake المتأثرين أو ما إذا كانت Snowflake تعرف بالفعل.

وقالت Snowflake إنها قامت حتى الآن بإخطار “عدد محدود من عملاء Snowflake” الذين تعتقد الشركة أنهم ربما تأثروا. وتقول Snowflake على موقعها الإلكتروني إن لديها أكثر من 9800 عميل، بما في ذلك شركات التكنولوجيا وشركات الاتصالات ومقدمو الرعاية الصحية.

ورفضت دانيكا ستانزاك، المتحدثة باسم سنوفليك، تحديد ما إذا كان عدد العملاء المتأثرين هو العشرات أو العشرات أو المئات أو أكثر.

من المحتمل أنه على الرغم من عدد قليل من انتهاكات العملاء التي تم الإبلاغ عنها هذا الأسبوع، إلا أننا لا نزال في الأيام الأولى لفهم حجم هذه الحادثة.

وحتى Snowflake قد لا يكون من الواضح عدد عملائها الذين ما زالوا متأثرين، حيث سيتعين على الشركة الاعتماد على بياناتها الخاصة، مثل السجلات، أو التعلم مباشرة من العميل المتأثر.

ومن غير المعروف متى علمت شركة Snowflake بالتطفل على حسابات عملائها. يقول بيان Snowflake إنها أصبحت على علم في 23 مايو بـ “نشاط التهديد” (الوصول إلى حسابات العملاء وتنزيل محتوياتها)، لكنها عثرت لاحقًا على أدلة على عمليات اختراق لا يعود تاريخها إلى أكثر من منتصف أبريل، مما يشير إلى أن الشركة لديها بعض البيانات التي يمكن الاعتماد عليها على.

لكن هذا يترك أيضًا السؤال مفتوحًا حول سبب عدم اكتشاف Snowflake بعد ذلك تسرب كميات كبيرة من بيانات العملاء من خوادمها حتى وقت لاحق من شهر مايو، أو إذا فعلت ذلك، فلماذا لم تنبه Snowflake عملائها علنًا عاجلاً.

شركة الاستجابة للحوادث Mandiant، التي لجأت إليها Snowflake للمساعدة في الوصول إلى عملائها، قال لـ Bleeping Computer في أواخر مايو أن الشركة كانت تساعد بالفعل المنظمات المتضررة “لعدة أسابيع”.

ما زلنا لا نعرف ما الذي كان موجودًا في الحساب التجريبي لموظف Snowflake السابق أو ما إذا كان ذا صلة بانتهاكات بيانات العملاء.

وجاء في سطر رئيسي من بيان Snowflake ما يلي: “لقد وجدنا دليلاً على أن ممثل التهديد حصل على بيانات اعتماد شخصية ووصل إلى حسابات تجريبية تخص موظفًا سابقًا في Snowflake. ولم تكن تحتوي على بيانات حساسة.”

تتضمن بعض بيانات اعتماد العملاء المسروقة المرتبطة بالبرامج الضارة لسرقة البيانات تلك التي تخص موظفًا في Snowflake آنذاك، وفقًا لمراجعة TechCrunch.

كما ذكرنا أعلاه، لا تقوم TechCrunch بتسمية الموظف لأنه ليس من الواضح أنه ارتكب أي خطأ. إن حقيقة أن Snowflake قد تم القبض عليها بسبب افتقارها إلى الامتثال لـ MFA، مما يسمح لمجرمي الإنترنت بتنزيل البيانات من الحساب “التجريبي” الخاص بالموظف في ذلك الوقت باستخدام اسم المستخدم وكلمة المرور الخاصة بهم فقط، يسلط الضوء على مشكلة أساسية في أمان Snowflake.

ولكن لا يزال من غير الواضح ما هو الدور الذي يلعبه هذا الحساب التجريبي، إن وجد، في سرقة بيانات العملاء لأنه ليس من المعروف بعد ما هي البيانات التي تم تخزينها عليه أو ما إذا كان يحتوي على بيانات من عملاء Snowflake الآخرين.

ورفضت Snowflake تحديد الدور الذي يلعبه الحساب التجريبي لموظف Snowflake آنذاك، إن وجد، في انتهاكات العملاء الأخيرة. وأكد سنوفليك مجددًا أن الحساب التجريبي “لا يحتوي على أي بيانات حساسة”، لكنه رفض مرارًا وتكرارًا تحديد كيفية تعريف الشركة لما تعتبره “بيانات حساسة”.

نسأل ما إذا كانت Snowflake تعتقد أن المعلومات الشخصية للأشخاص هي معلومات حساسة. ورفضت ندفة الثلج التعليق.

ليس من الواضح لماذا لم تقم Snowflake بإعادة تعيين كلمات المرور بشكل استباقي، ولم تطلب وتفرض استخدام MFA على حسابات عملائها.

ليس من غير المعتاد أن تقوم الشركات بفرض إعادة تعيين كلمات مرور عملائها بعد حدوث خرق للبيانات. ولكن إذا سألت Snowflake، لم يكن هناك أي خرق. وعلى الرغم من أن هذا قد يكون صحيحًا، بمعنى أنه لم يكن هناك أي تنازل واضح عن بنيتها التحتية الأساسية، إلا أن عملاء Snowflake يتعرضون لهجوم كبير.

رقاقات الثلج نصيحة لعملائك هو إعادة تعيين وتدوير بيانات اعتماد Snowflake وتطبيق MFA على جميع الحسابات. صرحت Snowflake سابقًا لـ TechCrunch أن عملائها في مأزق من أجل أمنهم الخاص: “بموجب نموذج المسؤولية المشتركة لـ Snowflake، يتحمل العملاء مسؤولية فرض MFA مع مستخدميهم.”

لكن بالنظر إلى أن هذه السرقات لبيانات عملاء Snowflake مرتبطة باستخدام أسماء مستخدمين وكلمات مرور مسروقة من حسابات غير محمية بـ MFA، فمن غير المعتاد ألا تتدخل Snowflake نيابة عن عملائها لحماية حساباتهم من خلال إعادة تعيين كلمات المرور أو وزارة الخارجية المطلوبة.

وهو ليس شيئا غير مسبوق. في العام الماضي، قام مجرمو الإنترنت بحذف 6.9 مليون سجل جيني وسجل مستخدم من حسابات 23andMe التي لم تكن محمية بقانون MFA. تقوم 23andMe بإعادة تعيين كلمات مرور المستخدم كإجراء وقائي لمنع المزيد من هجمات التجريد، وبالتالي تطلبت استخدام MFA على جميع حسابات مستخدميها.

لقد سألنا Snowflake عما إذا كانت الشركة تخطط لإعادة تعيين كلمات المرور على حسابات عملائها لمنع عمليات التطفل الجديدة المحتملة. ورفضت ندفة الثلج التعليق.

يبدو أن Snowflake يتجه نحو تنفيذ MFA افتراضيًا، وفقًا لـ موقع أخبار التكنولوجيا وقت التشغيلنقلاً عن الرئيس التنفيذي لشركة Snowflake Sridhar Ramaswamy في مقابلة هذا الأسبوع. تم تأكيد ذلك لاحقًا بواسطة Snowflake CISO Jones في تحديث يوم الجمعة.

وقال جونز: “نحن نعمل أيضًا على تطوير خطة لمطالبة عملائنا بتنفيذ ضوابط أمنية متقدمة، مثل المصادقة متعددة العوامل (MFA) أو سياسات الشبكة، خاصة لحسابات عملاء Snowflake المميزة”.

ولم يتم تحديد جدول زمني للخطة.

هل تعرف المزيد عن عمليات اقتحام حساب Snowflake؟ ابقى على تواصل. للتواصل مع هذا المراسل، يرجى الاتصال عبر تطبيق Signal وWhatsApp على الرقم +1 646-755-8849، أو عبر البريد الإلكتروني. يمكنك أيضًا إرسال الملفات والمستندات عبر SecureDrop.