Internetbedrijf Cloudflare heeft vanwege de aanval op authenticatieprovider Okta de wachtwoorden van meer dan honderdveertig medewerkers gereset. Bij de aanval wisten aanvallers toegang te krijgen tot het account van een support-engineer van Okta. De authenticatieprovider biedt oplossingen voor identity en access management en heeft naar eigen zeggen vijftienduizend klanten wereldwijd. Daarvan zouden er mogelijk 366 door de aanval zijn getroffen.

Onlangs deelden de aanvallers screenshots op internet dat ze toegang tot het account van de Okta-medewerker hadden. Op één van de screenshots was het e-mailadres van een Cloudflare-medewerker zichtbaar met een pop-up dat de aanvaller een wachtwoordreset kon uitvoeren. Daarop besloot Cloudflare het account van de medewerker te blokkeren en verder onderzoek uit te voeren.

Zo werd er gekeken naar alle Cloudflare-medewerkers van wie het wachtwoord sinds 1 december vorig jaar was gereset of hun multifactorauthenticatie aangepast. Het bleek om 144 medewerkers te gaan. Van al deze werknemers besloot Cloudflare het wachtwoord te resetten. Cloudflare gebruikt Okta intern als identiteitsprovider om zo medewerkers toegang tot interne applicaties en systemen te geven.

Gisteren kwam Okta zelf met een verklaring waarin het vertelde dat de aanvaller mogelijk toegang tot de Okta-omgevingen van 366 klanten had gekregen. Volgens de identiteitsprovider zouden klanten geen "corrigerende maatregelen" hoeven te nemen.

In een reactie op de verklaring stellen de aanvallers dat de impact veel groter is dan Okta doet voorkomen. Zo hadden de aanvallers naar eigen zeggen wachtwoorden en multifactorauthenticatie van 95 procent van de klanten kunnen resetten. Daarnaast zou de gecompromitteerde support-engineer toegang tot 8600 Slack-kanalen hebben. Ook vanuit andere kanten kwam er felle kritiek op de verklaring.

Cloudflare adviseert Okta-klanten om wel in actie te komen en voor alle accounts MFA in te schakelen, uitgevoerde wachtwoordresets te onderzoeken, extra aandacht te geven aan acties die door de helpdesk zijn geïnitieerd en van een meerlaagse beveiliging gebruik te maken.