Klanten van Accellion zijn door een probleem met een mailtool afgelopen december niet door het softwarebedrijf gewaarschuwd voor een zeroday-aanval waarbij twee tot dan toe onbekende kwetsbaarheden werden gebruikt om systemen over te nemen. Dat blijkt uit een rapport van KPMG dat onderzoek deed naar misbruik van de beveiligingslekken bij de centrale bank van Nieuw-Zeeland (pdf).

De zeroday-aanval was gericht tegen de Accellion File Transfer Appliance (FTA)-server. FTA was een twintig jaar oude oplossing die organisaties gebruikten voor het uitwisselen van grote bestanden. Op 16 december waarschuwde een klant Accellion voor een aanval. Verder onderzoek wees uit dat de aanvallers misbruik van twee zerodaylekken maakten om toegang tot FTA-servers te krijgen. Nadat er toegang was verkregen installeerden de aanvallers een webshell om hun toegang te behouden en gegevens te stelen. Onder andere de Clop-ransomwaregroep maakte misbruik van de lekken.

Op 20 december kwam Accellion met een beveiligingsupdate voor de kwetsbaarheden. Eén van de organisaties die op 25 december via de beveiligingslekken werd aangevallen was de centrale bank van Nieuw-Zeeland. De bank liet KPMG de aanval en het resulterende datalek onderzoeken. Daaruit blijkt dat Accellion klanten via e-mail had willen waarschuwen. Een probleem met de e-mailtool zorgde er echter voor dat deze waarschuwing niet werd verstuurd.

De bank werd uiteindelijk op 6 januari van dit jaar alsnog ingelicht en rolde een dag later de beschikbare beveiligingsupdate uit. Volgens de onderzoekers heeft de vertraagde waarschuwing bijgedragen aan de inbraak en de manier waarop de bank had kunnen reageren om de aanval te voorkomen. "We waren te afhankelijk van Accelloin, de leverancier van de FTA, om ons voor kwetsbaarheden in hun systeem te waarschuwen. In dit geval bleven de waarschuwingen op hun systeem achter en bereikten de centrale bank niet voordat de aanval plaatsvond. We hebben geen voorafgaande waarschuwing ontvangen", aldus de bank.

De bank erkent dat het maatregelen had kunnen treffen om de impact van de aanval te beperken. Inmiddels is FTA door Accellion uitgefaseerd. Naast de centrale bank van Nieuw-Zeeland lieten de Nederlandse Aardolie Maatschappij (NAM), securitybedrijf Qualys, de Australian Securities and Investments Commission (ASIC), de Amerikaanse staat Washington, de Amerikaanse supermarktketen Kroger en advocatenkantoor Jones Day weten dat erop hun FTA-server was ingebroken.