HUB DE SÉCURITÉ SNOWFLAKE

Nous enquêtons actuellement sur une campagne d’attaque ciblée visant des comptes clients Snowflake. Depuis nos dernières constatations (voir la publication du 2 juin ci‑dessous) soutenues par les experts en cybersécurité CrowdStrike et Mandiant, la situation n’a pas évolué.

Nous soutenons toujours nos clients alors qu’ils renforcent leurs mesures de sécurité pour réduire les cybermenaces qui pèsent sur leurs activités. Nous élaborons également un plan selon lequel nos clients devront mettre en place des contrôles de sécurité avancés (authentification multifactorielle (MFA), politiques réseau, etc.), en particulier pour les comptes clients Snowflake disposant de privilèges. Dans le même temps, nous aidons activement nos clients à activer la MFA et les autres contrôles de sécurité stratégiques requis pour protéger leurs activités.

Déclaration commune relative aux premières constatations de l’enquête de cybersécurité de Snowflake

Snowflake et les experts en cybersécurité CrowdStrike and Mandiant ont rédigé une déclaration commune concernant leur enquête en cours sur une campagne d’attaque ciblée visant des comptes clients Snowflake.

Voici les principales constatations à ce jour :
 

• Nous n’avons identifié aucun élément suggérant qu’une vulnérabilité, un problème de configuration ou une violation de la plateforme de Snowflake était à l’origine de cette activité.
• Nous n’avons identifié aucun élément suggérant que des identifiants compromis de collaborateurs, anciens ou actuels, de Snowflake étaient à l’origine de cette activité.
• Il semble s’agir d’une campagne ciblée visant les utilisateurs utilisant l’authentification à un seul facteur.
• Dans le cadre de cette campagne, les cybercriminels ont exploité des identifiants achetés ou volés par un programme malveillant. 
• Nous avons également trouvé la preuve qu’un cybercriminel a obtenu les identifiants personnels de comptes de démo d’un ancien collaborateur de Snowflake et a accédé à ces comptes. Ces comptes ne contenaient aucune donnée sensible. Les comptes de démo ne sont pas liés aux systèmes de production et d’entreprise de Snowflake. Le cybercriminel a pu accéder à ces comptes parce qu’ils n’étaient pas protégés par Okta ou l’authentification multifactorielle (MFA), contrairement aux systèmes de production et d’entreprise de Snowflake.

Au cours de l’enquête, Snowflake a rapidement informé ses rares clients dont les comptes avaient pu être affectés. Mandiant est également intervenu auprès des entreprises potentiellement touchées par l’attaque.

Nous conseillons aux entreprises d’appliquer les mesures suivantes immédiatement :

1. Activer l’authentification multifactorielle sur tous leurs comptes.
2. Mettre en place des règles de politique réseau acceptant uniquement l’accès des utilisateurs autorisés ou du trafic provenant d’emplacements de confiance (VPN, NAT de charges de travail cloud, etc.).
3. Réinitialiser et modifier régulièrement leurs identifiants Snowflake si elles ont été touchées par l’attaque.

Veuillez également étudier les instructions sur le renforcement et les enquêtes de Snowflake pour savoir comment nous aider à enquêter sur les activités malveillantes pouvant viser des comptes clients Snowflake. Cette enquête est en cours. Nous travaillons également avec les forces de l’ordre et d’autres autorités publiques.

Des rapports récents indiquent que l’environnement de production Snowflake pourrait être compromis. Nous avons donc décidé de répondre à certaines allégations erronées à ce sujet :
 

• Aucun élément en notre possession ne suggère qu’une vulnérabilité, un problème de configuration ou une violation d’un produit Snowflake était à l’origine de cette activité.
• Snowflake pense que les identifiants clients dérobés provenaient d’ailleurs.
• Aucune API (Application Programming Interface) principale ou autre voie ne permet d’accéder aux identifiants des clients et de les extraire depuis l’environnement de production Snowflake.
• Snowflake est un produit basé dans le cloud et tout le monde peut créer un compte quand il le souhaite. Si un cybercriminel obtient les identifiants d’un client, il peut potentiellement accéder au compte de ce dernier. Il en va de même pour les collaborateurs de Snowflake, qui peuvent créer leurs propres comptes « clients » Snowflake avec des identifiants personnels.
• Nous avons trouvé la preuve qu’un cybercriminel a obtenu les identifiants personnels de comptes de démo d’un ancien collaborateur de Snowflake et a accédé à ces comptes, comme il l’aurait fait avec un compte client. Ces comptes ne contenaient aucune donnée sensible. Les comptes de démo ne sont pas liés aux systèmes de production et d’entreprise de Snowflake. Le cybercriminel a pu accéder à ces comptes parce qu’ils n’étaient pas protégés par Okta ou la MFA, contrairement aux systèmes de production et d’entreprise de Snowflake.