SNOWFLAKE SECURITY HUB

Update zu unserer laufenden Untersuchung einer gezielten Bedrohungskampagne gegen einige Konten der Snowflake-Kundschaft: Unsere jüngsten Ergebnisse (siehe Beitrag vom 2. Juni unten), die von den Cybersicherheitsunternehmen CrowdStrike und Mandiant unterstützt werden, bleiben unverändert.

Wir arbeiten weiterhin eng mit unserer Kundschaft zusammen, während diese ihre Sicherheitsmaßnahmen zur Reduzierung von Cyberbedrohungen für ihre Unternehmen verstärkt. Außerdem entwickeln wir einen Plan, der unsere Kundschaft dazu verpflichtet, erweiterte Sicherheitskontrollen wie Multi-Faktor-Authentifizierung (MFA) oder Netzwerkrichtlinien zu implementieren – insbesondere für privilegierte Snowflake-Kundenkonten. Dabei stehen wir weiterhin eng mit unserer Kundschaft im Austausch, um ihr dabei zu helfen, MFA und andere Sicherheitskontrollen als wichtigen Schritt zum Schutz ihrer Unternehmen einzurichten.

Gemeinsame Erklärung zu den vorläufigen Ergebnissen der Cybersicherheitsuntersuchung von Snowflake

Snowflake und die externen Cybersicherheitsunternehmen CrowdStrike und Mandiant geben eine gemeinsame Erklärung zu unserer laufenden Untersuchung einer gezielten Bedrohungskampagne gegen einige Konten der Snowflake-Kundschaft ab.

Unsere bisher wichtigsten vorläufigen Ergebnisse lauten:
 

• Wir haben keine Hinweise darauf gefunden, dass diese Aktivität durch eine Schwachstelle, Fehlkonfiguration oder Kompromittierung der Plattform von Snowflake verursacht wurde.
• Wir haben keine Hinweise darauf gefunden, dass diese Aktivität durch kompromittierte Anmeldedaten aktueller oder ehemaliger Snowflake-Mitarbeitender verursacht wurde.
• Es scheint sich um eine gezielte Kampagne zu handeln, die sich an Nutzende mit Ein-Faktor-Authentifizierung richtet.
• Bei dieser Kampagne haben die Angreifenden Anmeldedaten eingesetzt, die sie zuvor durch Infostealing-Malware erworben oder abgefangen hatten. 
• Wir haben Beweise gefunden, dass bei einem Angriff auf persönliche Anmeldedaten einer zuvor bei Snowflake angestellten Person und auf deren Demokonten zugegriffen wurde. Sensible Daten waren darin nicht enthalten. Demokonten sind nicht mit den Produktions- oder Unternehmenssystemen von Snowflake verbunden. Der Zugriff war möglich, weil das Demokonto – im Gegensatz zu den Unternehmens- und Produktionssystemen von Snowflake – nicht durch Okta oder Multi-Faktor-Authentifizierung (MFA) gesichert war.

Im Laufe der Untersuchung wurde die begrenzte Anzahl an Snowflake-Kund:innen, von denen Snowflake glaubt, dass sie betroffen sein könnten, umgehend informiert. Auch Mandiant hat sich mit potenziell betroffenen Unternehmen in Verbindung gesetzt.

Wir empfehlen Unternehmen, sofort folgende Maßnahmen zu ergreifen:

1. Stellen Sie alle Konten auf Multi-Faktor-Authentifizierung um.
2. Richten Sie die Regeln für Netzwerkrichtlinien so ein, dass nur autorisierte Nutzende oder nur Traffic von vertrauenswürdigen Standorten (VPN, Netzwerkadressübersetzung für Cloud-Workloads usw.) zugelassen werden.
3. Betroffene Unternehmen sollten ihre Snowflake-Anmeldedaten zurücksetzen und ändern.

Lesen Sie zusätzlich die Snowflake-Richtlinien zur Untersuchung und Sicherheitsverstärkung. Darin werden Maßnahmen empfohlenen, um potenzielle Bedrohungsaktivitäten innerhalb von Snowflake-Kundenkonten zu untersuchen. Diese Untersuchung läuft noch. Wir stimmen uns darüber hinaus mit Strafverfolgungs- und anderen Regierungsbehörden ab.

Uns sind aktuelle Berichte über eine potenzielle Kompromittierung der Snowflake-Produktionsumgebung bekannt. Daher wollen wir direkt auf einige fehlerhafte Behauptungen eingehen:
 

• Uns liegen keine Hinweise darauf vor, dass diese Aktivität durch eine Schwachstelle, Fehlkonfiguration oder Kompromittierung des Snowflake-Produkts verursacht wurde.
• Snowflake glaubt nicht, dass die Ursache der kompromittierten Anmeldedaten auf unserer Plattform zu finden ist.
• Es gibt kein „Master-API (Application Programming Interface)“ und keinen Pfad, über den auf die Anmeldedaten der Kundschaft zugegriffen und diese aus der Snowflake-Produktionsumgebung extrahiert werden könnten.
• Snowflake ist ein Cloudprodukt, für das sich jede Person jederzeit ein Konto einrichten kann. Wenn Angreifenden Anmeldedaten in die Hände fallen, können sie möglicherweise auf das zugehörige Konto zugreifen. Gleiches gilt für die Mitarbeitenden von Snowflake: Auch sie können eigene Snowflake-„Kundenkonten“ mit persönlichen Anmeldedaten erstellen.
• Wir haben Beweise gefunden, dass bei dem Angriff – ähnlich wie bei betroffenen Kundenkonten – auf persönliche Anmeldedaten einer zuvor bei Snowflake angestellten Person und auf deren Demokonto zugegriffen wurde. Sensible Daten waren darin nicht enthalten. Demokonten sind nicht mit den Produktions- oder Unternehmenssystemen von Snowflake verbunden. Der Zugriff war möglich, weil das Demokonto – im Gegensatz zu den Unternehmens- und Produktionssystemen von Snowflake – nicht durch Okta oder MFA gesichert war.