Hackere brugte stjålen cloud-nøgle til at slette data

Microsoft har afsløret et angreb, hvor hackergruppen Storm-3168 fik adgang til en virksomheds konto i Microsoft-skyen (Azure) og brugte den til at ødelægge store mængder data.

Angrebet ramte såkaldte »service principals« - det er en slags automatisk konto, som apps og systemer bruger til at logge ind i skyen uden en menneskelig bruger. Ifølge Microsoft fandt hackerne sandsynligvis adgangen, fordi en medarbejder ved et uheld havde delt en hemmelig adgangskode i et offentligt GitHub-opslag. Selvom medarbejderen senere fjernede koden, lå den stadig gemt i opslagets redigeringshistorik, hvor hackerne kunne finde den.

Med adgangen brugte angriberne omkring 16 timer på at kortlægge virksomhedens systemer og foretog over 300 opslag. Derefter gik det stærkt: På bare syv minutter forsøgte de at slette over 100 datalagre (Azure Storage Accounts), og de fik desuden slettet en nøglelager-tjeneste og en app. I alt udførte de over 150 ødelæggende handlinger på cirka 35 minutter. Nogle sletninger af databaser og backup-systemer mislykkedes, fordi virksomheden havde sikret dem ekstra godt.

Efter ødelæggelserne stjal hackerne adgangsnøgler til mere end 30 datalagre, hvilket kunne give dem mulighed for at læse eller kopiere data. Microsoft har dog ikke fundet beviser for, at data faktisk blev stjålet, og der blev ikke efterladt nogen løsesumskrav.

Microsoft kalder angrebet »agent-drevet«, fordi hastigheden og mønstret i handlingerne ligner automatiserede værktøjer snarere end en person, der klikker manuelt.

For almindelige medarbejdere er pointen enkel: Del aldrig adgangskoder eller nøgler i kode, chat eller offentlige opslag - selv hvis I sletter det bagefter, kan det stadig findes. Virksomheder anbefales at skifte lækkede koder med det samme og begrænse, hvad automatiske konti må gøre.