Wachtwoordmanager 1Password zegt ‘verdachte activiteiten’ te hebben ontdekt op haar Okta-account. De aanvallers slaagden er niet in om toegang te krijgen tot systemen van 1Password buiten de digitale omgeving van Okta. Gebruikers hoeven zich geen zorgen te maken: hun wachtwoorden zijn veilig.
Dat schrijft Chief Technology Officer (CTO) Pedro Canahuati in een blog over het incident.
Aanvaller heeft geen wachtwoorden buitgemaakt
Op vrijdag 29 september ontdekten IT-medewerkers van 1Password de ‘verdachte activiteiten’ op de Okta-account die het bedrijf gebruikt om apps voor werknemers te beheren. “We hebben de activiteit onmiddellijk beëindigd, onderzocht en geen compromittering van gebruikersgegevens of andere gevoelige systemen gevonden, noch voor werknemers, noch voor gebruikers”, zo vertelt Canahuati.
Okta is een bedrijf dat authenticatiemanagementsoftware levert aan commerciële en niet-commerciële bedrijven en organisaties. Samen met 1Password deed Okta onderzoek naar het voorval. Beveiligingsonderzoekers concludeerden dat de oorzaak van het incident bij Okta gezocht moest worden.
‘Geen toegang tot systemen buiten Okta’
Hackers waren erin geslaagd om toegang te krijgen tot de supportsystemen van Okta. Daardoor hadden ze eveneens toegang tot de omgeving van 1Password, inclusief adminrechten. De aanvaller had deze rechten verkregen door een IT-medewerker van Okta op verzoek van de helpdesk van het bedrijf gevoelige informatie deelde, waaronder sessiecookies. Zo kon hij inbreken op de Okta-account van 1Password.
Vervolgens probeerde de aanvaller toegang te krijgen tot het dashboard van de IT-medewerker. Deze poging werd echter tijdig opgemerkt door Okta en geblokkeerd. Om op een later moment toegang te krijgen tot aanvullende gegevens, probeerde de dader een identiteitsprovider van 1Password te updaten en activeren. Toen de aanvaller een overzicht van beheerders opvroeg, werd er een e-mail verstuurd naar de IT-medewerkers van 1Password.
Zodoende kreeg het securityteam van de wachtwoordmanager argwaan en kwam de hackpoging aan het licht, zo schrijft 1Password in het onderzoeksrapport (pdf) naar het beveiligingsincident. “Op basis van onze eerste beoordeling hebben we geen bewijs dat laat zien dat de threat actor toegang heeft gehad tot systemen buiten Okta”, zo meldt het bedrijf.
1Password voert beveiligingsmaatregelen op
1Password heeft inmiddels maatregelen genomen om herhaling te voorkomen. Zo zijn inlogpogingen van andere identiteitsproviders dan Okta geblokkeerd, is de sessieduur voor beheerders ingekort, zijn er strengere regels opgesteld voor multifactorauthenticatie (MFA) voor beheerders en is het aantal ‘super administrators’ teruggebracht.
