Amazon confirma que 2.800.000 líneas de datos de empleados han quedado expuestas en una violación de datos.
En un acontecimiento significativo que subraya el impacto duradero de la vulnerabilidad MOVEit de 2023, Amazon ha confirmado que los datos de los empleados se vieron comprometidos a través de un proveedor forastero de sucursal de propiedades. La infracción, revelada por un actor de amenazas conocido como “Nam3L3ss”, expone los continuos artículos dominó de uno de los ataques a la condena de suministro más devastadores del año pasado.
El vector de ataque
El compromiso surge de la notoria vulnerabilidad de MOVEit Transfer, CVE-2023-34362, una descompostura crítica de inyección SQL que permitió a atacantes no autenticados obtener entrada no calificado a sistemas vulnerables. La vulnerabilidad, explotada por primera vez en mayo de 2023, permitió a los atacantes eludir la autenticación y potencialmente obtener a datos confidenciales almacenados en la cojín de datos MOVEit Transfer, una posibilidad de transferencia de archivos administrada ampliamente utilizada en entornos empresariales.
Perfil de actor de amenazas: Nam3L3ss
Nam3L3ss se ha convertido en un actor importante en el panorama del cibercrimen. Recientemente publicaron más de 2,8 millones de líneas de datos de empleados de Amazon en BreachForums, anejo con datos de otras 25 organizaciones importantes. El actor de amenazas afirma tener “más de 250 TB de archivos de bases de datos archivados” y advierte que “descargan bases de datos completas de fuentes web expuestas, incluidas mysql, postgres, bases de datos y copias de seguridad de SQL Server, bases de datos y copias de seguridad de Azure, etc.”. Nam3L3ss afirmó que los datos publicados representan “menos del 0,001%” de su elegancia total, amenazando con revelar información de hasta 1.000 filtraciones nunca ayer vistas.
Nam3L3ss ha ducho explícitamente a las empresas que “presten atención” a estas filtraciones, destacando la exposición de detalles sensibles, incluidos códigos de centros de costos y estructuras organizativas internas. Si adecuadamente la vulnerabilidad MOVEit fue explotada anteriormente por el conjunto de ransomware Cl0p, los investigadores aún no pueden confirmar si estos datos provienen de Cl0p, sus afiliados o si Nam3L3ss realizó exploits independientes.
Los datos comprometidos
El conjunto de datos de Amazon expuesto incluye información de contacto profesional de los empleados, direcciones de correo electrónico, números de teléfono de escritorio y ubicaciones de edificios. Si adecuadamente el portavoz de Amazon, Adam Montgomery, confirmó la violación, enfatizó en una manifiesto a TechCrunch que los sistemas centrales de Amazon y Amazon Web Services, o AWS, permanecían seguros.
“Los sistemas de Amazon y AWS siguen siendo seguros y no hemos experimentado ningún evento de seguridad. Nos notificaron sobre un evento de seguridad en uno de nuestros proveedores de sucursal de propiedades que afectó a varios de sus clientes, incluido Amazon. La única información de Amazon involucrada fue la información de contacto profesional de los empleados, por ejemplo, direcciones de correo electrónico del trabajo, números de teléfono de escritorio y ubicaciones de los edificios”, dijo Montgomery.
Impacto más amplio
Este incidente es parte de una campaña más amplia que ha afectado a numerosas corporaciones importantes, incluidas Lenovo, HP, HSBC y McDonald’s. Los ataques de MOVEit han afectado a más de 2000 organizaciones y han expuesto los datos de más de 62 millones de personas. La campaña representa una de las operaciones de robo de datos más extensas de la historia nuevo, con víctimas que van desde corporaciones privadas hasta agencias gubernamentales.
La violación resalta la persistente vulnerabilidad de la seguridad de la condena de suministro y la importancia crítica de la dirección de riesgos de los proveedores. A pesar de que la vulnerabilidad auténtico de MOVEit se descubrió y corrigió en 2023, las organizaciones continúan enfrentando las consecuencias de este incidente de seguridad, lo que demuestra cómo los compromisos de la condena de suministro pueden tener artículos duraderos en las posturas de seguridad corporativas. Este incidente además sirve como claro recordatorio de que incluso los gigantes tecnológicos con medidas de seguridad sofisticadas pueden ser víctimas de vulnerabilidades de terceros.