Des attaques contre des comptes Snowflake touchent des clients comme Ticketmaster et Santander

Ce qui s’est passé

Le SANS Internet Storm Center a relayé le 4 juin 2024 des enquêtes sur des accès non autorisés aux environnements de clients de Snowflake, une plateforme de données cloud. Les éléments recueillis indiquaient l'utilisation d'identifiants compromis sur des comptes pour lesquels l'authentification multifacteur n'était pas activée.

Des organisations comme Ticketmaster et Santander ont notamment été touchées, leurs données hébergées sur Snowflake ayant fait l'objet d'accès non autorisés au moyen d'identifiants volés lors d'incidents antérieurs, et non par l'exploitation d'une vulnérabilité de la plateforme elle-même.

Ce que cela signifie pour une entreprise de taille moyenne

Migrer des données vers le cloud ne dispense pas de protéger les identités: dans ce cas, le problème ne venait pas de la plateforme cloud, mais de comptes d'accès protégés uniquement par un mot de passe, sans mécanisme de vérification supplémentaire.

L'utilisation d'identifiants volés sur d'autres services pour accéder à des systèmes cloud, connue sous le nom de 'credential stuffing', reste l'une des techniques les plus efficaces contre les organisations qui n'imposent pas systématiquement une authentification à deux facteurs pour tous les accès aux données sensibles.

Les points à vérifier

Mesures de contrôle essentielles pour protéger les données hébergées sur des plateformes cloud:

• Authentification multifacteur obligatoire pour tous les comptes ayant accès à des données sensibles.
• Renouvellement périodique des identifiants et des mots de passe des comptes de service.
• Restrictions d'accès par adresse réseau ou par localisation lorsque cela est possible.
• Journalisation et alertes en cas de schémas inhabituels d'accès aux données.

Questions fréquentes

¿S'agissait-il d'une vulnérabilité de Snowflake?

Non selon les enquêtes relayées par SANS. L'accès a été obtenu à l'aide d'identifiants compromis sur des comptes sans authentification multifacteur, et non à cause d'une défaillance technique de la plateforme.

¿Qu'est-ce que le 'credential stuffing'?

L'utilisation d'identifiants volés sur un service pour tenter d'accéder à d'autres services sur lesquels l'utilisateur a réutilisé le même mot de passe.

¿Comment une entreprise de taille moyenne peut-elle se protéger contre ce risque?

En imposant l'authentification multifacteur pour tous les accès aux données sensibles et en évitant la réutilisation des mots de passe entre services.