Утечка данных HackerOne после атаки на администратора льгот Navia: что важно знать организациям

Компания HackerOne недавно сообщила о серьезном инциденте с утечкой данных, затронувшем 287 её сотрудников. Причиной послужила кибератака на Navia Benefit Solutions — администратора льгот в США, который обслуживает HackerOne. В результате злоумышленники получили доступ к личной и медицинской информации около 2,7 миллиона человек по всей стране через уязвимость в API Navia.

Подробности инцидента

Атака была реализована благодаря уязвимости типа Broken Object Level Authorization (BOLA) в API Navia. Эта уязвимость позволила злоумышленникам обходить механизмы контроля доступа и получать доступ к данным, которые должны были быть защищены. В результате были скомпрометированы не только данные сотрудников HackerOne, но и информация миллионов других пользователей, обслуживаемых Navia.

BOLA является одной из наиболее опасных уязвимостей в современных веб-приложениях и API, поскольку она позволяет злоумышленникам получать доступ к объектам данных, к которым у них не должно быть разрешения. В данном случае это привело к масштабной утечке персональных и медицинских данных, что может иметь серьезные последствия для пострадавших лиц и компаний.

Почему это важно для организаций, управляющих внешней атакующей поверхностью

Для компаний, которые управляют внешней атакующей поверхностью, инцидент с HackerOne и Navia служит наглядным примером того, насколько уязвимости в сторонних сервисах могут повлиять на безопасность собственной организации. Даже если ваша компания не является прямой целью атаки, использование внешних провайдеров и партнеров с недостаточно защищенными системами может привести к серьезным рискам.

Особенно это актуально для организаций, которые обрабатывают и хранят чувствительные данные сотрудников, клиентов или партнеров. Уязвимости в API и недостаточный контроль доступа могут привести к масштабным утечкам, подрывая доверие и нанося финансовый и репутационный ущерб.

Практические рекомендации для команд безопасности

• Проводите регулярный аудит и тестирование безопасности API. Особое внимание уделяйте проверке механизмов авторизации и контроля доступа, чтобы исключить уязвимости типа BOLA.
• Оценивайте безопасность сторонних поставщиков и партнеров. Включайте в договоры требования по безопасности и регулярно проверяйте их соответствие.
• Внедряйте мониторинг и анализ аномалий в доступе к данным. Это поможет быстро обнаруживать подозрительную активность и реагировать на инциденты.
• Обучайте сотрудников основам кибербезопасности и особенностям работы с персональными данными. Повышение осведомленности снижает риски человеческих ошибок.
• Разрабатывайте и тестируйте планы реагирования на инциденты. Быстрая и скоординированная реакция помогает минимизировать последствия утечек данных.
• Используйте платформы внешнего управления атакующей поверхностью (EASM) для постоянного мониторинга и выявления уязвимостей как во внутренних, так и во внешних системах.

Инцидент с HackerOne и Navia наглядно демонстрирует, что безопасность организации зависит не только от собственных систем, но и от надежности партнеров и поставщиков. Комплексный подход к управлению внешней атакующей поверхностью и своевременное выявление уязвимостей позволяют существенно снизить риски и защитить критически важные данные.