史诗般的安全噩梦！身份识别与访问管理服务商Okta再次遭到黑客攻击

最近的Okta泄露事件引起了网络安全界的担忧。2023年10月20日，多因素身份验证和单点登录等身份服务提供商Okta披露了一个安全漏洞，涉及未经授权访问其客户支持系统。当黑客利用被盗的凭证渗透Okta的支持案例管理系统时，该事件曝光，他们可以在该系统中查看某些客户上传的文件以进行故障排除。这些文件（通常是HTTP存档(HAR)文件）非常敏感，因为它们可能包含客户的cookie和会话令牌，可能会被利用来冒充有效用户。Okta已与受影响的客户合作进行调查，并采取措施保护客户，包括撤销嵌入式会话令牌。一般来说，Okta建议在共享HAR文件之前清理HAR文件中的所有凭据和cookie/会话令牌。自10月20日该公司披露其支持系统遭到黑客攻击以来，其市值已缩水超过20亿美元。这起备受瞩目的事件是与 Okta或其产品有关的一系列事件中的最新一起，其中包括赌场发生的一系列入侵事件，导致拉斯维加斯酒店客房瘫痪数天。

BeyondTrust的首席技术官Marc Maiffret表示，黑客使用上传的浏览器记录会话中的会话令牌在BeyondTrust 的网络上创建了一个管理员帐户，该帐户立即关闭。Maiffret表示，该事件“是Okta的支持系统遭到破坏导致攻击者能够访问客户上传的敏感文件的结果。”

安全记者布莱恩·克雷布斯最先报道了这一消息。Okta副首席信息安全官Charlotte Wylie在接受KrebsOnSecurity采访时表示，Okta最初认为BeyondTrust于 10 月 2 日发出的警报并不是其系统遭到破坏的结果。Wylie拒绝透露具体有多少客户收到了潜在安全问题的警报，但将其描述为18,000多名客户中的“非常非常小的一部分”。Krebs援引Charlotte Wylie的话说，Okta在10月17 日之前控制了这一事件。

本次数据泄露事件后，Okta在Twitter上面临强烈抗议和嘲笑。

Okta受影响的客户之一Cloudflare表示，“威胁行为者能够从Cloudflare员工创建的支持票证中劫持会话令牌”。补充道，“威胁行为者使用从Okta提取的令牌于10月18日访问了Cloudflare系统。”

1.攻击事件的性质

Okta的支持系统因安全漏洞而受到损害。黑客能够闯入其支持案例管理系统并窃取敏感数据。这些数据可能会被用来冒充有效用户。

2.检测与通知

网络安全公司BeyondTrust检测到针对内部Okta管理员帐户的以身份为中心的攻击。他们于2023年10月2日向 Okta通报了此次违规事件。

3.受影响方

BeyondTrust被确定为受此漏洞影响的客户之一。此次泄露对Okta产生了内部影响，影响了其安全领导力和其他运营方面。

4.攻击方式

攻击者使用窃取的凭据破坏了Okta的支持系统。这使得他们能够在未经授权的情况下访问敏感的客户数据和内部资源。

5、市场影响

网络泄露的消息传出后，Okta的股价大幅下跌。这反映了市场对安全事件的反应及其潜在影响。该公司股价周五（20日）下跌超过11% 。除了一组技术标识符之外，该公司没有提供更多细节。该公司股价周一（10月23日）交易中继续下跌，最终收盘下跌8.1%。

6.官方声明

Okta的安全领导层已确认此次泄露，并承认其内部系统受到损害以及对客户的影响。

此次泄露事件导致Okta股价暴跌，大约1%的Okta客户受到影响，但Okta没有透露受影响客户的确切数量。这一事件也让人们对Okta的安全措施产生了关注，尤其是在2022年发生类似的漏洞之后，黑客成功窃取了Okta的部分源代码并获得了对公司内部网络的访问权限。

Okta披露此事的几周前，赌场巨头凯撒娱乐公司(Caesar's Entertainment)和米高梅度假村(MGM Resorts)遭到黑客攻击。在这两种情况下，攻击者都设法通过社会工程手段让员工重置Okta管理员帐户的多因素登录要求。

Okta公司没有正面答复有关入侵者可能访问该公司案例管理帐户的时间有多长，或者谁可能对这次攻击负责的问题。不过，该公司表示，攻击者是他们以前见过的对手。

以下是已知违规行为的摘要：

（1）Lapsus$事件（2022年1月）：2022年1月，名为Lapsus$的黑客组织渗透到其第三方支持提供商Sitel，Okta遭受了泄露。Okta因未及时披露违规行为而面临批评。

（2）源代码盗窃：在未公开的时间表中，Okta确认了一起重大安全事件，黑客在其GitHub存储库遭到破坏后访问了其源代码。

（3）2022年1月数据泄露：Okta首席执行官托德·麦金农(Todd McKinnon)确认了2022年1月下旬发生的另一起事件，其中一些客户数据可能已被泄露。没有提供此次违规的具体细节。

（4）Lapsus$事件（未公开日期）：在与Lapsus$的另一次遭遇中，数百名Okta客户可能受到安全漏洞的影响，而Okta因其对该事件反应缓慢而遭到强烈抗议。

（5）2023年10月20日违规：黑客在2023年10月20日未经授权访问了Okta的支持案例管理系统，并窃取了可用于冒充有效用户的敏感数据。

这些事件反映了即使是成熟的身份管理提供商在确保其系统和客户数据的安全和隐私方面也面临的挑战。

此次泄露事件清楚地提醒人们，现代企业面临着复杂的威胁，以及强有力的网络安全措施对于保护敏感数据和系统免遭未经授权的访问的至关重要性。Okta的泄露凸显了即使是身份服务提供商在网络安全领域也面临的漏洞。该事件导致敏感数据泄露，影响了Okta及其客户，并产生了重大的市场影响。

Okta漏洞充满了多维影响，强调了加强网络防御并为数字领域的不可预测性做好准备的紧迫性和重要性。从股东价值的侵蚀到公众的怀疑，向所有企业发出了关于网络安全严重性的严厉警告。这不仅涉及保护数据，还涉及维护信任、声誉和财务稳定。对于在数字时代运营的公司来说，投资并不断更新网络安全措施不仅仅是可选的，而是势在必行。

关于Okta

Okta是全球领先的企业级身份与访问管理（IAM）解决方案提供商，致力于在企业和应用之间打造安全、边界的入口和用户身份管理平台。Okta提供基于云的单点登录、通用目录、生命周期管理、API 访问管理等全方位身份认证和访问管理服务，实现企业和多种应用程序之间的用户身份认证保护和用户身份管理。Okta提前内置和集成的应用程序及基础设施提供商已经超过7000多家，强大的接入能力形成了网络效应和独特的竞争优势，并进一步吸引更多应用的加入。

凭借能够同时服务于B2E、B2C、B2B场景的应用广泛性，平台中立性，产品安全、易用性，以及所集成应用、云服务的丰富性，Okta收获了大量客户，服务的机构超过14000家，包括JetBlue, Nordstrom, Siemens, Slack, Takeda, Teach for America, 以及Twilio等。

Okta于2017年4月公开上市，经历2022年初的攻击事件，公司市值达到近两年低点，但目前市值仍然达206亿美元。

参考资源

1、https://www.securitynewspaper.com/2023/10/23/from-trusted-to-busted-okta-hacked-again-epic-tale-of-security-nightmares-4-times-in-2-years/

2、https://www.securitynewspaper.com/2022/09/29/auth0-an-authentication-service-provider-and-okta-subsidiary-hacked/

3、https://www.cnbc.com/2023/10/23/okta-hack-wipes-out-more-than-2-billion-in-market-cap.html

4、https://krebsonsecurity.com/2023/10/hackers-stole-access-tokens-from-oktas-support-unit/

5、https://thecyberexpress.com/okta-data-breach-five-key-learnings/

6、https://www.secrss.com/articles/41933