Angriffe auf Snowflake-Konten betreffen Kunden wie Ticketmaster und Santander

Was passiert ist

Das SANS Internet Storm Center berichtete am 4. Juni 2024 über Untersuchungen zu unbefugten Zugriffen auf Kundenumgebungen der Cloud-Datenplattform Snowflake. Die Hinweise deuteten auf die Verwendung kompromittierter Zugangsdaten für Konten hin, bei denen keine Multifaktor-Authentifizierung aktiviert war.

Betroffen waren unter anderem Organisationen wie Ticketmaster und Santander, auf deren in Snowflake gespeicherte Daten unbefugt zugegriffen wurde, und zwar mit Zugangsdaten, die zuvor bei anderen Vorfällen gestohlen worden waren, nicht über eine Schwachstelle der Plattform selbst.

Was das für ein mittelständisches Unternehmen bedeutet

Die Migration von Daten in die Cloud macht den Schutz von Identitäten nicht überflüssig: In diesem Fall lag das Problem nicht bei der Cloud-Plattform, sondern bei Zugangskonten, die ausschließlich durch ein Passwort und ohne zusätzliche Verifizierungsebene geschützt waren.

Die Verwendung von bei anderen Diensten gestohlenen Zugangsdaten für den Zugriff auf Cloud-Systeme, bekannt als 'Credential Stuffing', gehört weiterhin zu den wirksamsten Angriffsmethoden gegen Organisationen, die nicht konsequent bei allen Zugriffen auf sensible Daten eine Zwei-Faktor-Authentifizierung verlangen.

Was Sie überprüfen sollten

Wesentliche Schutzmaßnahmen für Daten auf Cloud-Plattformen:

• Verpflichtende Multifaktor-Authentifizierung für alle Konten mit Zugriff auf sensible Daten.
• Regelmäßige Rotation von Zugangsdaten und Passwörtern für Dienstkonten.
• Zugriffsbeschränkungen nach Netzwerkadresse oder Standort, soweit möglich.
• Protokollierung und Warnmeldungen bei ungewöhnlichen Zugriffsmustern auf die Daten.

Häufig gestellte Fragen

War es eine Schwachstelle in Snowflake?

Nein, laut den von SANS zusammengetragenen Untersuchungsergebnissen. Der Zugriff erfolgte mit kompromittierten Zugangsdaten auf Konten ohne Multifaktor-Authentifizierung, nicht aufgrund eines technischen Fehlers der Plattform.

Was ist 'Credential Stuffing'?

Dabei werden Zugangsdaten, die bei einem Dienst gestohlen wurden, für Zugriffsversuche auf andere Dienste verwendet, bei denen der Benutzer dasselbe Passwort wiederverwendet hat.

Wie schützt sich ein mittelständisches Unternehmen vor diesem Risiko?

Indem es bei allen Zugriffen auf sensible Daten eine Multifaktor-Authentifizierung vorschreibt und die Wiederverwendung von Passwörtern über mehrere Dienste hinweg verhindert.