Ataques a contas da Snowflake afetam clientes como Ticketmaster e Santander

O que aconteceu

O SANS Internet Storm Center reuniu a 4 de junho de 2024 investigações sobre acessos não autorizados a ambientes de clientes da Snowflake, uma plataforma de dados na nuvem. Os indícios apontavam para a utilização de credenciais comprometidas em contas que não tinham a autenticação multifator ativada.

O impacto atingiu organizações como a Ticketmaster e o Santander, entre outras, cujos dados alojados na Snowflake foram acedidos sem autorização através de credenciais previamente roubadas noutros incidentes, e não através de uma vulnerabilidade da própria plataforma.

O que significa para uma média empresa

Migrar dados para a nuvem não elimina a necessidade de proteger identidades: neste caso, o problema não foi a plataforma cloud, mas sim contas de acesso protegidas apenas por palavra-passe, sem uma camada adicional de verificação.

A utilização de credenciais roubadas noutros serviços para aceder a sistemas cloud, conhecida como 'credential stuffing', continua a ser uma das técnicas mais eficazes contra organizações que não exigem autenticação de dois fatores de forma sistemática em todos os acessos a dados sensíveis.

O que convém rever

Controlos essenciais para proteger dados alojados em plataformas cloud:

• Autenticação multifator obrigatória em todas as contas com acesso a dados sensíveis.
• Rotação periódica de credenciais e palavras-passe de contas de serviço.
• Restrições de acesso por endereço de rede ou localização sempre que possível.
• Registos e alertas perante padrões invulgares de acesso aos dados.

Perguntas frequentes

¿Foi uma vulnerabilidade da Snowflake?

Não segundo as investigações reunidas pelo SANS. O acesso ocorreu através de credenciais comprometidas em contas sem autenticação multifator, não devido a uma falha técnica da plataforma.

¿O que é o 'credential stuffing'?

A utilização de credenciais roubadas num serviço para tentar aceder a outros em que o utilizador tenha reutilizado a mesma palavra-passe.

¿Como se protege uma empresa de média dimensão deste risco?

Exigindo autenticação multifator em todos os acessos a dados sensíveis e evitando a reutilização de palavras-passe entre serviços.