למרות הכחשת Oracle, ברשת מתעקשים: הדלפת הענק אמיתית
לאחר שנטען כי שירות Oracle Cloud נפרץ, מספר לקוחות אישרו כי המידע שדלף - אותנטי. בחברה טרם הגיבו להתפתחויות האחרונות
תמונה:dreamstime
כשבוע לאחר הפרסום על פריצה לשרתי ההתחברות של Oracle Cloud, במסגרתה נגנבו לכאורה נתונים של כ-6 מיליון בני אדם, חברת אורקל ממשיכה להכחיש כי האירוע אכן קרה. אלא שבשטח – סימני השאלה מתרבים.
על פי מספר דיווחים, לא רק שהפריצה בוצעה אלא שמתחילים להגיע אישורים מחברות שנפגעו בפועל. ההאקר, שמזדהה בשם "rose87168", שלח דגימת מידע בהיקף של כ-10,000 שורות לאלון גל, מייסד-שותף וה-CTO של חברת הסייבר Hudson Rock. על פי הדיווח באתר The Register, גל אישר כי שלושה לקוחות שכנסו לדגימה אישרו כי הנתונים אמיתיים – כולל שמות משתמש, כתובות מייל ונתוני LDAP.
גם חברת האבטחה CloudSEK אישרה כי קיבלה את אותה הדגימה, וכי היא מתייחסת ליותר מ-1,500 ארגונים שונים. לדבריהם, היקף ומבנה הנתונים שנמסרו הופכים את האפשרות שמדובר בזיוף לבלתי סבירה.
איך זה קרה?
לטענת rose87168, החדירה לשרתים בוצעה באמצעות ניצול פרצה קריטית מוכרת בשם CVE-2021-35587, שמאפשרת עקיפה של אימות ב-Oracle Access Manager. לפי CloudSEK, השרת שנפרץ הריץ גרסת תוכנה פגיעה עד לפחות פברואר 2025.
במקביל לשליחת הנתונים לחוקרי אבטחה, ההאקר גם שיתף קישור לקובץ טקסט שהעלה בעצמו לשרת ציבורי בבעלות אורקל, ככל הנראה כהוכחת חדירה. הקובץ, שאוחסן באתר login.us2.oraclecloud.com, כלל את כתובת הדוא"ל שלו.
אורקל ממשיכה להכחיש
חרף העדויות, בחברה דבקים בעמדתם. בהודעת החברה ל-BleepingComputer נמסר: "לא הייתה כל פריצה ל-Oracle Cloud. פרטי הגישה שפורסמו אינם קשורים לשירות, ואף לקוח לא חווה פריצה או אובדן מידע". מאז פרסום הדברים, החברה סירבה להגיב על פרטים חדשים שפורסמו בתקשורת.
הנתונים כבר מוצעים למכירה
על פי הדיווחים, המאגר שדלף כולל סיסמאות מוצפנות, מפתחות אבטחה, תעודות דיגיטליות, שמות משתמשים ועוד. ההאקר כבר החל להציע חלק מהמידע למכירה – ואף הודיע כי הוא מוכן לקבל תשלום במזומן או בתמורה לפרצות zero-day. במקביל, הוא פרסם קריאה לקהילת ההאקרים לעזור לו בפענוח הסיסמאות.
לאור הפרסומים השונים, מומחי אבטחה ממליצים לכל ארגון שעובד עם Oracle Cloud – ובפרט כזה המשתמש ב-SSO או LDAP – לבצע ריענון של האישורים הקריפטוגרפיים, לשנות סיסמאות, להפעיל מדיניות סיסמאות חזקה ואימות דו-שלבי (MFA), ולהריץ תהליך תגובה לאירוע (IR) כדי לשלול חדירה פנימית.
