Η Oracle επιβεβαιώνει την παραβίαση του Cloud στους πελάτες

Η Oracle έχει τελικά παραδεχθεί σε ορισμένους πελάτες της ότι επιτιθέμενοι έχουν κλέψει παλιά διαπιστευτήρια πελατών μετά από παραβίαση ενός “παλαιού περιβάλλοντος” που χρησιμοποιήθηκε τελευταία φορά το 2017, σύμφωνα με αναφορά του Bloomberg.

Δείτε επίσης: Oracle και Microsoft θέλουν να εξαγοράσουν το TikTok;

Ωστόσο, ενώ η Oracle ενημέρωσε τους πελάτες της ότι αυτά τα δεδομένα είναι παλιά και δεν είναι ευαίσθητα, ο δράστης πίσω από την επίθεση έχει μοιραστεί δεδομένα με το BleepingComputer από το τέλος του 2024 και έχει δημοσιεύσει νεότερες καταγραφές από το 2025 σε ένα φόρουμ hacking.

Σύμφωνα με το Bloomberg, η εταιρεία ενημέρωσε επίσης τους πελάτες της ότι η εταιρεία κυβερνοασφάλειας CrowdStrike και το FBI διερευνούν το περιστατικό.

Η εταιρεία κυβερνοασφάλειας CybelAngel αποκάλυψε ότι η Oracle ενημέρωσε τους πελάτες της σχετικά με έναν επιτιθέμενο που απέκτησε πρόσβαση στους διακομιστές Gen 1 (γνωστοί και ως Oracle Cloud Classic) από τον Ιανουάριο του 2025, χρησιμοποιώντας μια εκμετάλλευση Java του 2020 για να εγκαταστήσει ένα web shell και επιπλέον κακόβουλο λογισμικό.

Κατά τη διάρκεια της παραβίασης, η οποία ανιχνεύθηκε στα τέλη Φεβρουαρίου, ο επιτιθέμενος φέρεται να εξήγαγε δεδομένα από τη βάση δεδομένων του Oracle Identity Manager (IDM), συμπεριλαμβανομένων διευθύνσεων email χρηστών, κωδικών πρόσβασης σε κωδικοποιημένη μορφή και ονομάτων.

Αυτό συνέβη μετά την ανακοίνωση ενός κακόβουλου παράγοντα (γνωστού ως rose87168) που πούλησε 6 εκατομμύρια αρχεία δεδομένων στο BreachForums στις 20 Μαρτίου και δημοσίευσε πολλαπλά αρχεία κειμένου που περιείχαν ένα δείγμα βάσης δεδομένων, πληροφορίες LDAP και μια λίστα με τις εταιρείες ως απόδειξη ότι τα δεδομένα ήταν γνήσια, όλα φερόμενα ως κλεμμένα από τους διακομιστές SSO της Oracle Cloud.

Δείτε ακόμα: Oracle: Πελάτες λένε ότι διέρρευσαν δεδομένα τους μετά από παραβίαση

Όταν ρωτήθηκε να επιβεβαιώσει την αυθεντικότητα των διαρροών δεδομένων, η Oracle δήλωσε στο BleepingComputer ότι “Δεν έχει υπάρξει παραβίαση του Oracle Cloud. Οι δημοσιευμένες διαπιστεύσεις δεν αφορούν το Oracle Cloud. Κανένας πελάτης του Oracle Cloud δεν υπήρξε θύμα παραβίασης ή δεν έχασε δεδομένα.“

Η Oracle αρνήθηκε αυτή την πληροφορία, παρά το γεγονός ότι μια αρχειοθετημένη διεύθυνση URL έδειξε ότι ο δράστης είχε ανεβάσει ένα αρχείο που περιείχε τη διεύθυνση ηλεκτρονικού ταχυδρομείου του σε έναν από τους διακομιστές της Oracle. Αυτή η διεύθυνση URL αφαιρέθηκε αργότερα από το Archive.org, αλλά υπάρχει ακόμα ένα αρχείο της αρχειοθέτησης.

Ωστόσο, λίγες ημέρες αργότερα, το BleepingComputer επιβεβαίωσε με πολλές εταιρείες ότι επιπλέον δείγματα των διαρροών (συμπεριλαμβανομένων των σχετικών ονομάτων εμφάνισης LDAP, διευθύνσεων ηλεκτρονικού ταχυδρομείου, ονομάτων και άλλων αναγνωριστικών πληροφοριών) που ελήφθησαν από τον δράστη ήταν έγκυρα.

Η Oracle έχει σταθερά αρνηθεί τις αναφορές για παραβίαση του Oracle Cloud σε δηλώσεις που έχει μοιραστεί με τον Τύπο από την εμφάνιση του περιστατικού. Αυτό είναι αναμφισβήτητο, καθώς συμφωνεί με τις αναφορές ότι η Oracle ενημερώνει τους πελάτες της ότι η παραβίαση επηρεάζει μια παλαιότερη πλατφόρμα γνωστή ως Oracle Cloud Classic.

Δείτε επίσης: Η CISA προσθέτει ευπάθειες Microsoft και Zimbra στον κατάλογο KEV

Η παραβίαση του Cloud αναφέρεται στην ακατάλληλη πρόσβαση, διαρροή ή καταστρατήγηση των δεδομένων που αποθηκεύονται σε υποδομές cloud (δηλαδή σε εξωτερικούς διακομιστές και αποθηκευτικούς χώρους που διαχειρίζονται τρίτοι, όπως οι υπηρεσίες Amazon Web Services, Microsoft Azure, Google Cloud, κ.λπ.). Για να αποφευχθούν τέτοιες παραβιάσεις, οι οργανισμοί πρέπει να υιοθετούν ισχυρές πρακτικές ασφαλείας, όπως η κρυπτογράφηση δεδομένων, η χρήση ισχυρών κωδικών πρόσβασης και πολλαπλών παραμέτρων ελέγχου ταυτότητας (MFA), η ενημέρωση των συστημάτων τους και η παρακολούθηση για ύποπτη δραστηριότητα.

Πηγή: bleepingcomputer