Były dyrektor generalny SolarWinds obwinia stażystę za naruszenie bezpieczeństwa hasła

Badacz bezpieczeństwa twierdził, że wcześniej poinformował SolarWinds, że jego serwery skierowane do przodu były dostępne przy użyciu śmiesznie podstawowego hasła w dziwnym obrocie wydarzeń. Badacz bezpieczeństwa poinformował firmę będącą źródłem cyberataku SolarWinds, że w 2019 roku poważnie zabrakło bezpieczeństwa hasła.

Mimo to firma nie zaktualizowała omawianych haseł.

Urzędnicy SolarWinds twierdzili, że złamane hasła zostały wprowadzone przez stażystę, ale to nie zwalnia firmy z jakichkolwiek wykroczeń.

Wyciek hasła z pinów SolarWinds na stażyście

Obecnie naukowcy i firmy zajmujące się bezpieczeństwem na całym świecie próbują poskładać w całość to, co wydarzyło się podczas jednego z najbardziej dalekosiężnych cyberataków we współczesnej historii.

Najwyższa kadra w SolarWinds obwinia byłego stażystę za ujawnienie hasła, a firma twierdzi, że stażysta użył tego samego hasła w swojej sieci. Gdy napastnicy ustalą główne hasło do mechanizmów obronnych witryny, będą mogli swobodnie rządzić w ramach operacji.

Zastanawiasz się, jak podstawowe było hasło? Rzekome hasło, które wyciekło, brzmiało „solarwinds123”, co jest naprawdę zdumiewające, jeśli jest prawdziwe, biorąc pod uwagę zakres operacji SolarWinds i klientów.

Dyrektor generalny SolarWinds, Sudhakar Ramakrishna, powiedział, że firma bada twierdzenia, że ​​brutalna siła napastnika zaatakowała wiele kont, aby znaleźć niezabezpieczoną drogę wejścia. Nawet jeśli to prawda, nadal rodzi to istotne pytania dotyczące praktyk bezpieczeństwa wewnętrznego firmy dostarczającej oprogramowanie dla głównych agencji rządowych.

Zapytany przez przedstawiciela Rashidę Tlaiba, były dyrektor generalny SolarWinds, Kevin Thompson, powiedział, że problem z hasłem był „błędem popełnionym przez stażystę”.

Jednak w tym momencie firma podejmuje się trzech poważnych problemów.

Po pierwsze, firma umożliwiła stażyście dostęp do oprogramowania z przodu ipozwolił im zmienić hasło? Wielu członków społeczności zajmujących się bezpieczeństwem uważa to za niewiarygodne.

Po drugie, zakładając, że tak jest, SolarWinds zrobił zerową ewentualność na koncie stażysty, aby sprawdzić zmiany hasła i inne potencjalnie istotne interakcje z platformą? Ponownie, eksperci ds. Bezpieczeństwa rzucili oszczerstwa na to twierdzenie, biorąc pod uwagę jakość klientów SolarWinds i potencjalne zagrożenie, do którego może doprowadzić włamanie - jak już widzieliśmy.

Po trzecie, SolarWinds powiedział, że hasło zostało zmienione w 2017 roku. Jeśli tak jest, a firma nie zweryfikowała hasła wprowadzonego przez stażystę ponad trzy lata wcześniej, pojawia się kolejny poważny problem z bezpieczeństwem.

Związane z: Microsoft publikuje raport końcowy dotyczący cyberataku SolarWinds

SolarWinds nie jest zrobione

Cyberatak SolarWinds pochłonął kilka głównych skalpów, w szczególności firmy ochroniarskie i departamenty rządowe, które padły ofiarą ataku. Jednak najnowszy zestaw zarzutów, które wynikną z ataku, stawia firmę u podstaw sprawy, SolarWinds, w złym świetle.

Lub, jak powiedziała przedstawicielka Katie Porter z Kalifornii na przesłuchanie w Senacie Stanów Zjednoczonych SolarWinds odbyła się na początku tego tygodnia: „Mam silniejsze hasło niż„ solarwinds123 ”, aby powstrzymać moje dzieci przed oglądaniem za dużo YouTube na iPadzie”.

Co to jest włamanie do łańcucha dostaw i jak zachować bezpieczeństwo?

Nie możesz włamać się przez frontowe drzwi? Zamiast tego zaatakuj sieć łańcucha dostaw. Oto, jak działają te hacki.

O autorze