SNOWFLAKE SECURITY HUB

Como atualização da nossa atual investigação envolvendo uma campanha de ameaças direcionadas contra algumas contas de clientes Snowflake, nossas descobertas mais recentes (veja a publicação de 2 de junho abaixo), apoiadas pelos especialistas cibernéticos da CrowdStrike e Mandiant, permanecem inalteradas.

Continuamos a trabalhar em estreita colaboração com nossos clientes conforme eles reforçam suas medidas de segurança para reduzir as ameaças cibernéticas aos seus negócios. Também estamos desenvolvendo um plano para exigir que nossos clientes implementem controles de segurança avançados, como autenticação multifator (MFA) ou políticas de rede, especialmente para contas privilegiadas de clientes Snowflake. Ao mesmo tempo, continuamos a nos envolver fortemente com nossos clientes para ajudá-los a habilitar a MFA e outros controles de segurança como uma etapa essencial para proteger seus negócios.

Declaração conjunta sobre as descobertas preliminares da investigação de segurança cibernética da Snowflake

A Snowflake e as empresas terceirizadas especializadas em segurança cibernética, CrowdStrike e Mandiant, estão emitindo uma declaração conjunta relativa à nossa atual investigação envolvendo uma campanha de ameaças direcionadas contra algumas contas de clientes Snowflake.

Nossas principais conclusões identificadas até o momento são:
 

• Não encontramos provas sugerindo que essa atividade tenha sido causada por uma vulnerabilidade, configuração incorreta ou violação da plataforma Snowflake.
• Não encontramos provas sugerindo que essa atividade tenha sido causada por credenciais comprometidas de funcionários atuais ou antigos da Snowflake.
• Essa campanha parece ter sido direcionada a usuários com autenticação de fator único.
• Como parte dessa campanha, os agentes de ameaças utilizaram credenciais previamente compradas ou obtidas por meio de malware de roubo de informações. 
• Encontramos provas de que um agente de ameaças obteve credenciais pessoais e acessou contas de demonstração pertencentes a um ex-funcionário da Snowflake. Ela não continha dados confidenciais. As contas de demonstração não estão conectadas aos sistemas corporativos ou de produção da Snowflake. O acesso foi possível porque a conta de demonstração não estava protegida pelo Okta ou pela autenticação multifator (MFA), ao contrário dos sistemas corporativos e de produção da Snowflake.

Durante o curso da investigação, a Snowflake informou prontamente o número limitado de clientes Snowflake que poderiam ter sido afetados. A Mandiant também entrou em contato com organizações potencialmente afetadas.

Recomendamos às organizações afetadas adotar imediatamente as seguintes medidas:

1. Implementar a autenticação multifator em todas as contas.
2. Configurar regras de política de rede para permitir apenas usuários autorizados ou permitir apenas o tráfego de locais confiáveis (VPN, NAT de carga de trabalho na nuvem etc.).
3. Redefinir e alternar as credenciais do Snowflake.

Além disso, recomendamos consultar as diretrizes de investigação e proteção da Snowflake para obter as ações recomendadas para auxiliar na investigação de possíveis atividades de ameaças nas contas dos clientes Snowflake. Essa investigação está em andamento. Também estamos trabalhando com as autoridades policiais e outras autoridades governamentais.

Estamos cientes de relatos recentes sobre um possível comprometimento do ambiente de produção do Snowflake. Por isso, estamos respondendo diretamente a algumas afirmações errôneas que foram feitas:
 

• Não temos nenhuma prova sugerindo que essa atividade tenha sido causada por qualquer vulnerabilidade, configuração incorreta ou violação do produto da Snowflake.
• A Snowflake não acredita que tenha sido a fonte de nenhuma das credenciais de clientes que vazaram.
• Não existe uma "interface de programação de aplicativos (API) principal" ou um caminho para que as credenciais dos clientes sejam acessadas e exfiltradas do ambiente de produção da Snowflake.
• O Snowflake é um produto que reside na nuvem e qualquer pessoa pode se inscrever em uma conta a qualquer momento. Se um agente de ameaças obtiver as credenciais do cliente, ele poderá acessar a conta. O mesmo é válido para os funcionários da Snowflake que, portanto, também podem criar suas próprias contas de "cliente" Snowflake usando credenciais pessoais.
• Encontramos provas de que, semelhante às contas de clientes afetadas, o agente de ameaças obteve credenciais pessoais e acessou uma conta de demonstração de propriedade de um ex-funcionário da Snowflake. Ela não continha dados confidenciais. As contas de demonstração não estão conectadas aos sistemas corporativos ou de produção da Snowflake. O acesso foi possível porque a conta de demonstração não estava protegida pelo Okta ou pela MFA, ao contrário dos sistemas corporativos e de produção da Snowflake.