“Somos conscientes de que Advance podría estar implicada en un incidente de seguridad relacionado con Snowflake”, explica a WIRED Darryl Carr, portavoz de la compañía, “estamos investigando el asunto y no tenemos más información que compartir en este momento. No hemos experimentado ningún impacto en nuestras operaciones o sistemas.”
LendingTree no ha respondido a las múltiples peticiones de WIRED sobre las supuestas brechas enviadas en los últimos días. Ni LendingTree ni Advance Auto Parts han presentado notificaciones de violación a la Comisión de Bolsa y Valores en el momento de escribir este artículo. Snowflake ya había mencionado anteriormente a ambas empresas como clientes.
Desde que Snowflake reconoció que las cuentas habían sido atacadas, ha proporcionado más información sobre el incidente. Brad Jones, director de seguridad de la información de Snowflake, apuntó en una entrada de su blog que los autores de la amenaza utilizaron datos de acceso a cuentas que habían sido “compradas u obtenidas mediante malware de robo de información”, diseñado para extraer nombres de usuario y contraseñas de dispositivos comprometidos. El incidente parece ser una “campaña dirigida a usuarios con autenticación de factor único”, añadió Jones.
Según Jones, Snowflake, junto con las empresas de ciberseguridad CrowdStrike y Mandiant, a las que contrató para investigar el incidente, no encontró pruebas de que el ataque fuera “causado por credenciales comprometidas de personal actual o antiguo de Snowflake”, aunque sí ha descubierto que se accedió a las cuentas de demostración de un antiguo empleado, alegando que no contenían datos sensibles.
Cuando se le preguntó sobre posibles violaciones de datos de empresas específicas, una persona de Snowflake señaló la declaración de Jones: “No hemos identificado pruebas que sugieran que esta actividad fue causada por una vulnerabilidad, una configuración incorrecta o una violación de la plataforma de Snowflake”. (La empresa de seguridad Hudson Rock dijo que retiró un post de investigación que incluía varias afirmaciones no verificadas sobre el incidente de Snowflake después de recibir una carta legal de Snowflake).
La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE UU ha emitido una alerta sobre el incidente Snowflake, mientras que el Centro de Seguridad Cibernética de Australia señaló que es “consciente de compromisos exitosos de varias empresas que utilizan entornos Snowflake.”
Orígenes poco claros
Poco se sabe de la cuenta Sp1d3r que anunciaba datos en BreachForums, y no está claro si ShinyHunters obtuvo los datos que vendía de otra fuente o directamente de las cuentas Snowflake de las víctimas: la información sobre una brecha en Ticketmaster y Santander fue publicada originalmente en otro foro de ciberdelincuencia por un nuevo usuario llamado SpidermanData.
La cuenta Sp1d3r publicó en BreachForums que los 2 terabytes de supuestos datos de LendingTree y QuoteWizard estaban a la venta por 2 millones de dólares, mientras que 3 TB de datos supuestamente de Advance Auto Parts costarían a alguien 1,5 millones de dólares. “El precio fijado por el actor de la amenaza parece extremadamente alto para un anuncio típico publicado en BreachForums”, afirma Chris Morgan, analista principal de inteligencia sobre ciberamenazas de la empresa de seguridad ReliaQuest.